Microsoft Sentinel でアラートの詳細をカスタマイズする
[アーティクル] 2024/11/05
3 人の共同作成者
適用対象:
Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal
フィードバック
この記事の内容
アラートの詳細をカスタマイズする方法
サービスの制限
次のステップ
この記事では、基になるクエリ結果のコンテンツでアラートの既定のプロパティをオーバーライドする方法について説明します。
スケジュールされた分析ルール を作成するプロセスでは、最初の手順としてルールの名前と説明を定義し、それに重大度と MITRE ATT&CK 戦術を割り当てます。 特定のルールによって生成されたすべてのアラート (および結果として作成されたすべてのインシデント) は、アラートの特定のインスタンスの特定のコンテンツに関係なく、ルールで定義されている名前、説明、重大度、戦術を継承します。
アラートの詳細 機能を使用すると、次の 2 つの方法で、アラートの次などの既定のプロパティをオーバーライドできます。
アラートのカスタムの変数名と説明を作成します。 アラートのクエリ出力で、アラートの各インスタンスの名前または説明にその内容を含めることができるフィールドを選択できます。 特定のインスタンスで選択したフィールドに値がない場合、そのインスタンスのアラートの詳細は、ウィザードの最初のページで指定した既定値に戻ります。
クエリ出力の該当フィールドの値を使用して、アラートの特定のインスタンスの重大度、戦術、およびその他のプロパティをカスタマイズします (以下のプロパティの全一覧を参照)。 選択したフィールドが空であるか、フィールド のデータ型と一致しない値がある場合、それぞれのアラート プロパティは既定値に戻ります (戦術と重大度については、ウィザードの最初のページで指定されたもの)。
重要
一部のアラートの詳細のカスタマイズ性 (以下でそのように示されているものを参照) は、現在プレビュー 段階にあります。 ベータ版、プレビュー版、または一般提供としてまだリリースされていない Azure の機能に適用されるその他の法律条項については、「Microsoft Azure プレビューの追加使用条件 」を参照してください。
Microsoft Sentinel は、Microsoft Defender ポータルの Microsoft の統合セキュリティ オペレーション プラットフォーム内で一般提供されています。 プレビューの場合、Microsoft Sentinel は、Microsoft Defender XDR または E5 ライセンスなしで Defender ポータルで使用できます。 詳しくは、「Microsoft Defender ポータルの Microsoft Sentinel 」を参照してください。
アラートの詳細機能を使用するには、以下の手順に従います。 この手順は分析ルール作成ウィザード の一部ですが、既存の分析ルールに対してアラートの詳細を追加または変更するシナリオを取り上げるために、ここでは別個に取り上げています。
Microsoft Sentinel 経由で、ポータルの [分析] ページに移動します。
Microsoft Sentinel のナビゲーション メニューの [構成] セクションで、[分析] を選びます。
Microsoft Defender のナビゲーション メニューで、[Microsoft Sentinel] 、[構成] の順に展開します。 分析 を選択します。
スケジュール済みクエリ ルールを選択し、[編集] を選択します。 または、画面の上部にある [作成] > [スケジュール済みクエリ ルール] を選択して新しいルールを作成します。
[ルールのロジックを設定] タブを選択します。
[アラート エンリッチメント] セクションで、[アラートの詳細] を展開します。
展開された [アラートの詳細] セクションで、アラートに表示する詳細に対応するプロパティを含むフリー テキストを追加します。
[Alert Name Format] (アラート名の形式) フィールドに、アラートの名前として表示するテキスト (アラート テキスト) を入力し、そのアラート テキストに含めるクエリ出力フィールドを二重中かっこで囲みます。
例: Alert from {{ProviderName}}: {{AccountName}} failed to sign in to computer {{ComputerName}}.
[Alert Description Format](アラートの説明の形式) フィールドでも同じ操作を行います。
注意
[Alert Name Format] (アラート名の形式) と [Alert Description Format] (アラートの説明の形式) フィールドでは現在、それぞれ 3 つのパラメーター に制限されています。
その他の既定のプロパティをオーバーライドするには、[アラート プロパティ] ドロップダウン リストからアラート プロパティを選択します。 次に、[値] ドロップダウン リストから、アラート プロパティに内容を設定するクエリ結果のフィールドを選択します。
さらに既定のプロパティをオーバーライドするには、[+ 新規追加] を選択し、前の手順を繰り返します。 次のプロパティをオーバーライドできます。
テーブルを展開する
名前
説明
AlertName
String
説明
String
AlertSeverity
次のいずれかの値です。 - 情報 - 低 - Medium - 高
方針
次のいずれかの値です。 - 偵察 - ResourceDevelopment - 初期アクセス - 実行 - 永続化 - 特権エスカレーション - 防御回避 - 資格情報アクセス - 検出 - 横移動 - コレクション - 流出 - 指揮統制 - 影響 - 攻撃前 - ImpairProcessControl - InhibitResponseFunction
Techniques (プレビュー)
正規表現 (^T(?<Digits>\d{4})$
) に一致する文字列。 例: T1234
AlertLink (プレビュー)
String
ConfidenceLevel (プレビュー)
次のいずれかの値です。 - 低 - 高 - 不明
ConfidenceScore (プレビュー)
0 -1 間の整数 (包含)
ExtendedLinks (プレビュー)
String
ProductComponentName (プレビュー)
String
ProductName (プレビュー) * この表の後にある注をご覧ください。
String
ProviderName (プレビュー)
String
RemediationSteps (プレビュー)
String
注意
Microsoft Sentinel を Microsoft Defender ポータルにオンボードした場合、Microsoft ソースからのアラートの ProductName フィールドをカスタマイズしないでください 。 それを行うと、これらのアラートは Microsoft Defender XDR から破棄されて、インシデントが作成されません。
気が変わった場合や、間違った場合は、[アラート プロパティ] と [値] ペアの横にあるごみ箱アイコンをクリックしてアラートの詳細を削除するか、[Alert Name Format] (アラート名の形式) と [Alert Description Format] (アラートの説明の形式) のフィールドからフリー テキストを削除できます。
アラートの詳細のカスタマイズが完了したら、ルールを作成する場合は、ウィザードの次のタブに進みます。 既存のルールを編集する場合は、[レビューと作成] タブを選択します。ルールの確認が正常に完了したら、[保存] を選択します。
1 回のクエリでの値が最大 50 個 のフィールドをオーバーライドできます。 クエリからの、カスタマイズされた値が 50 個を超えるときは、カスタマイズされた値がすべて 削除され、そのフィールドはすべてのクエリ結果で既定値に戻ります。 カスタマイズされた値の削除を防ぐために、返される値が 50 個以下となるようにクエリを調整してください。
AlertName
フィールド、およびその他の非コレクション プロパティのサイズ上限は 256 バイト です。
Description
フィールド、およびその他のコレクション プロパティのサイズ上限は 5 KB です。
サイズ制限を超える値は削除されます。
このドキュメントでは、Microsoft Sentinel 分析ルールでアラートの詳細をカスタマイズする方法について学習しました。 Microsoft Sentinel の詳細については、次の記事を参照してください。