ID 攻撃グラフとは (プレビュー)

Microsoft Sentinel の ID 攻撃グラフでは、アクセス許可とグループ メンバーシップを使用して ID が Azure リソースに接続する方法が視覚化されます。 セキュリティ アナリストは、グラフを使用して横移動パスを特定できます。これは、多くの場合、特権をエスカレートしたり、機密性の高い資産に到達したりするために、既存のアクセス許可、グループ メンバーシップ、または信頼関係を利用することで、攻撃者が ID またはリソース間の移動に要する可能性のあるルートです。

定義済みの ID 攻撃グラフは、環境を相互接続されたエンティティとリレーションシップとして表しているため、「このアカウントが侵害された場合に攻撃者が到達できるリソースは何か」や「重要な資産へのパスを持つ ID はどれですか」など、複雑な質問に簡単に答えることができます。

SOC アナリスト、脅威ハンター、クラウド セキュリティ エンジニア、IAM チームは、このグラフを使用して、Azure と Entra 全体の ID リスクを理解し、軽減できます。

ID 攻撃グラフのしくみ

ID 攻撃グラフでは、Microsoft Sentinel Lake の Entra ID 資産と Azure リソース グラフ コネクタの資産データを使用して、環境の包括的なモデルを構築します。

• ID: ユーザー、サービス プリンシパル、マネージド ID、およびグループ
• リソース: Azure サブスクリプション、リソース グループ、仮想マシン、ストレージ アカウント、およびその他の資産
• アクセスとアクセス許可の関係: アクセス可能なリソースへのパスを作成する、ロールの割り当てとグループ メンバーシップ

セットアップ後、Graph クエリ言語 (GQL) を使用して、従来の方法では検出しにくい隠されたリスクを明らかにします。

グラフに対してクエリを実行すると、次のことができます。

• Surface の横移動パス: 侵害された ID から重要なリソースに到達するために攻撃者が取る可能性があるすべてのルートを検索します
• 特権が過剰なアカウントを識別する: 特権ロールへの過剰なアクセス許可または間接パスを持つ ID を検出する
• 修復の優先順位付け: 最も機密性の高い資産への最短パスに焦点を当てる

前提条件

ID 攻撃グラフを設定するには、次の前提条件を満たしていることを確認します。

• 環境内で有効になっている Microsoft Sentinel データ レイク
• Microsoft Entra ID 資産と Azure Resource Graph コネクタを有効または更新するためのアクセス許可
• グラフを作成するグローバル管理者、セキュリティ管理者

ID 攻撃グラフを設定する

ID 攻撃グラフを設定するには、次の手順に従います。

1. Microsoft Defender ポータルで、 Microsoft Sentinel>Graphs に移動します。

2. ID 攻撃グラフ カードを見つけて、[グラフの設定] を選択します。

3. セットアップ手順に従って、必要なコネクタをオンまたは更新します。

4. [ グラフを有効にする] を選択してグラフを作成します。

5. グラフ クエリ ページを表示 するには、グラフ タイルの [クエリ グラフ] を選択します。

   

グラフをオンにすると、グラフはデータの取り込みとリレーションシップの構築を開始します。 初期処理には最大 48 時間かかることがあります。

ID 攻撃グラフを調べてクエリを実行する

グラフを使用する準備ができたら、次の手順に従ってグラフを照会します。

1. [ スキーマ ] タブを使用して、グラフ内のエンティティとリレーションシップの種類を理解します。

   

2. 詳細なメタデータを表示するには、任意のノードを選択します。

3. [ グラフ ] タブを使用して、リレーションシップと特権パスを視覚化します。 独自の GQL クエリを記述するか、定義済みのクエリを使用して開始します。

   

   注:

   一般的で価値の高い調査シナリオを示すために設計された定義済みのクエリから開始することをお勧めします。 これらのクエリを使用すると、GQL をゼロから記述せずにすぐに値を取得できます。

4. [ GQL クエリの実行 ] を選択して結果を表示します。

   

関連コンテンツ

• Microsoft Sentinel グラフとは
• Microsoft Sentinel データ レイクの概要