Microsoft Sentinel データ レイクと Microsoft Sentinel グラフに接続する

Microsoft Sentinel データ レイクは、さまざまなソースから大量のセキュリティ関連データを収集、格納、管理するためのテナント全体のリポジトリです。 これにより、セキュリティ環境全体で包括的で統合された分析と可視性が可能になります。 Microsoft Sentinelグラフは、セキュリティ、コンプライアンス、ID、エコシステム全体にわたってグラフ ベースのエクスペリエンスを強化Microsoft Sentinelプラットフォーム内の統合されたグラフ機能です。 これらのソリューションでは、高度な分析、機械学習、グラフ、AI を使用して、脅威の検出、インシデントの調査と対応、全体的なセキュリティ体制の改善に役立ちます。

Microsoft Sentinelデータ レイクとグラフは、次のソリューションで利用できます。

• Microsoft Defender XDR
• Microsoft Purview データ セキュリティ調査
• Microsoft Purview インサイダー リスク管理

前提条件

重要

organizationでデータ暗号化に Customer-Managed キー (CMK) を使用する場合は、Microsoft Sentinel データ レイクに格納されているデータに対して CMK がサポートされていないことに注意してください。 Sentinel CMK を適用するワークスペースには、データ レイク エクスペリエンスを介してアクセスできません。

カスタム テーブルや変換されたデータなど、データ レイクに取り込まれたデータはすべて、Microsoft が管理するキーを使用して暗号化されます。

Microsoft Sentinel データ レイクへのオンボードは、organizationの暗号化ポリシーまたはデータ保護標準と完全には一致しない場合があります。

Microsoft Defender XDR、データ セキュリティ調査、Insider Risk Management のMicrosoft Sentinel データ レイクとグラフにオンボードするには、次の前提条件を満たす必要があります。

• Microsoft Defender (security.microsoft.com) とMicrosoft Sentinelを構成する必要があります。 Microsoft Defender ポータルで Microsoft Sentinel と共に Microsoft Sentinel data lake を使用するために、Microsoft Defender XDR ライセンスは必要ありません。
• データレイクの課金を設定するための既存の Azure サブスクリプション と Azure リソース グループ。 直接サブスクリプション所有者である必要があります。管理グループ レベルのサブスクリプション所有者だけでは不十分です。 既存のMicrosoft Sentinel SIEM Azure サブスクリプションとリソース グループを使用するか、新しく作成できます。 課金の詳細については、「コストの計画」を参照し、Microsoft Sentinelの価格と課金について理解します。
• Microsoft Defender ポータルに接続されている Microsoft Sentinel のプライマリ ワークスペース。 データ レイクは、プライマリ Sentinel ワークスペース リージョンと同じリージョンにプロビジョニングされます。
• データ レイクにアタッチできるように、プライマリワークスペースとその他のワークスペースに対する読み取り権限が必要です。 プライマリ Sentinel ワークスペース リージョンと同じリージョンに存在するワークスペースのみがデータ レイクにアタッチされます。
• Microsoft 365 データがデータ レイクと同じリージョンにない場合は、データ レイクにオンボードすることで、Microsoft 365 データをデータ レイクが存在するリージョンに取り込むのに同意します。

注:

オンボードする前に、Microsoft Sentinelの地理的な可用性とデータ所在地に関するページを参照して、お使いのリージョンでの Microsoft Data Lake と Graph の可用性をチェックします。

Microsoft Purview のその他の前提条件

Microsoft Purviewシナリオでは、オンボードする前に次の前提条件も満たす必要があります。

• プライマリ ワークスペースへの Microsoft 365 アクティビティ データのインジェストを承認するための、Microsoft Sentinel プライマリ ワークスペースへの共同作成者アクセス。

• Defender に接続されているSentinel ワークスペースにデータを送信するように、次のデータ コネクタをインストールして構成します。

  • Microsoft 365 グラフをビルドするには、SharePoint レコードの種類を収集する必要があります。
  • Microsoft Entra ID。 Sign-In ログとユーザー リスク イベントを収集する必要があります。

  Microsoft Purview データ リスク グラフは、Office アクティビティと Entra サインイン ログのコネクタを介して Sentinel データ レイクに取り込まれたデータから構築されます。

必要な役割

課金を構成し、データ レイクへの資産データ インジェストを有効にするには、既定のアクセス許可アカウントを 持つテナント メンバー に次のロールを割り当てる必要があります。

• Azureサブスクリプション所有者またはサブスクリプション共同作成者が課金設定を行う
• Microsoft Entra、Microsoft 365、Azure からのデータ取り込み承認のための Microsoft Entra グローバル管理者またはセキュリティ管理者
• それらのワークスペースをデータ レイクにアタッチできるようにするための、すべてのワークスペースへの読み取りアクセス

Sentinel データ レイクとグラフへのオンボード時に発生する変更

Data Lake とグラフにオンボードすると、プロセスによって次の変更が行われます。

• 選択したサブスクリプションとリソース グループのデータ レイクがプロビジョニングされます。

• プライマリ Sentinel ワークスペースと同じリージョンにデータ レイクがプロビジョニングされます。

• プライマリ Sentinel ワークスペース リージョンと同じリージョンにある Defender に接続されているすべてのワークスペースが、Microsoft Sentinel データ レイクにアタッチされます。 Defender に接続されていないワークスペースは、データ レイクにアタッチされません。

• データ レイクMicrosoft Sentinel有効にすると、Microsoft Sentinel分析レベルのデータは、その時点からMicrosoft Sentinelデータ レイク層でも追加料金なしで使用できます。 既存の Microsoft Sentinel ワークスペース コネクタを使用して、分析とデータ レイク層の両方、またはデータ レイク層のみに新しいデータを取り込むことができます。

• データのインジェストを初めて有効にしたり、レベル間でインジェストを切り替えたりすると、テーブルにデータが表示されるまでに 90 分から 120 分かかります。 データ レイク層に対してインジェストが有効になると、データはデータ レイクと分析層テーブルに同時に表示されます。

• 以下の Microsoft サービスのアセット データは、Sentinel データ レイクの System テーブルに自動的に取り込まれます。

  • Microsoft Entra
  • Microsoft 365
  • Azure Resource Graph

  システム テーブルは、Lake 探索エクスペリエンス内のワークスペース選択ユーザー インターフェイス (UI) に表示されます。

• Microsoft 365 データがデータ レイクと同じリージョンにない場合は、データ レイクにオンボードすることで、Microsoft 365 データをデータ レイクが存在するリージョンに取り込むのに同意します。

• グラフ機能をプロビジョニングし、データ レイク内のデータを使用して、Defender でのグラフ調査とハンティング エクスペリエンスを強化します。

• Lake 探索、テーブル管理、データ コネクタ、設定、コスト管理、グラフに対して有効になっている新機能が表示されます。

• 現在お使いの組織で Microsoft Sentinel のセキュリティ情報およびイベント管理 (SIEM) を使用している場合、検索ジョブやクエリ、補助ログ、長期保持 (「アーカイブ」とも呼ばれます) などの機能の課金と料金は、Microsoft Sentinel のデータ レイクベースの課金メーターに切り替わるため、コストが増加する可能性があります。

• 補助ログ テーブルをMicrosoft Sentinelデータ レイクに統合します。 Microsoft Sentinel データ レイクにオンボードされている接続されたワークスペースMicrosoft Defenderの補助ログ テーブルは、データ レイクの不可欠な部分となり、KQL クエリやジョブなどのデータ レイク エクスペリエンスで使用できるようになります。 オンボード後は、Microsoft Defender の高度なハンティングで補助ログ テーブルを利用できなくなります。 代わりに、Defender ポータルでデータ レイク探索 KQL クエリを使用してそれらにアクセスできます。

  注:

  Microsoft Defender接続されたワークスペースの補助ログ テーブルには、データ レイクが有効になると、Microsoft Defender Advanced ハンティングからアクセスできません。

• msg-resources- というプレフィックス、その後にグローバル一意識別子 (GUID) が続くマネージド ID が作成されます。 このマネージド ID は、データ レイク機能に必要です。 ID には、データ レイクにオンボードされたサブスクリプションに対して Azure Reader ロールが付与されています。 このマネージド ID から必要なアクセス許可を削除または削除しないでください。 分析レベルでカスタム テーブルの作成を有効にするには、関連する Log Analytics ワークスペースのこの ID に Log Analytics 共同作成者 ロールを割り当てます。 詳細については、「Microsoft Sentinel データ レイクでの KQL ジョブの作成」を参照してください。

Microsoft Sentinel データ レイクにオンボードしたら、Defender ポータルで次の機能を使用できます。

• データ レイク探索用 KQL クエリ
• Microsoft Sentinel データ レイク ジョブ
• データ層とリテンション期間の管理
• Microsoft Sentinel のコスト管理
• インシデント調査における爆発半径分析
• 高度な追求のハンティング グラフ

データ レイクにオンボードしたら、Microsoft Purview ソリューション ポータルで次の機能を使用することもできます。

• データ セキュリティ調査のデータ リスク グラフ
• Insider Risk Management のデータ リスク グラフ

この記事では、Microsoft Defender、データ セキュリティ調査、Insider Risk Management、Microsoft Sentinelを使用しているお客様が、Microsoft Sentinel データ レイクにオンボードする方法について説明します。 新しいMicrosoft Sentinelのお客様は、これらのソリューションへの初期オンボード後にこの手順に従うことができます。

Microsoft Sentinel データ レイクのオンボーディングに対するポリシーの例外

Microsoft Sentinel Data Lake のオンボード中に、既存のAzure Policy定義によって、必要なリソースのデプロイ (DL103) がブロックされる可能性があります。 広範なポリシーの適用を損なわずにオンボードを成功させるには、オンボードするリソース グループを対象にしたポリシー除外を構成します。 具体的には、リソースの種類 : Microsoft.SentinelPlatformServices/sentinelplatformservicesを除外します。

Microsoft.SentinelPlatformServices/sentinelplatformservices リソースの種類に対するこのポリシーの除外により、Sentinel データ レイクのコンポーネントを正しくデプロイしながら、既に適用している可能性がある包括的なAzureガバナンス ポリシーへの準拠を維持できます。

オンボード中にデータを追加して格納する方法

オンボード中、データ レイクは、プライマリ Sentinel ワークスペースと同じ サポートされているリージョン にプロビジョニングされます。 また、Microsoft Entra、Microsoft 365、およびAzure Resource Graph資産データを自動的に有効にすることもできます。 Microsoft Entra、Microsoft 365、または Azure Resource Graph の資産データがデータ レイクと同じリージョンに存在しない場合、データ レイクへのオンボードにより、お客様は、Microsoft Sentinel のデータ レイク機能およびグラフ機能で使用できるように、当該資産データをお客様のデータ レイクが存在するリージョンに取り込み、保存することに同意することになります。 資産データは、Lake 探索エクスペリエンスのワークスペース選択 UI で選択できるシステム テーブルを使用して使用できます。 詳細については、「Microsoft Sentinelの地理的な可用性とデータ所在地」を参照してください。

オンボーディングが既存の Microsoft Sentinel ワークスペースに与える影響

データ レイクにオンボードするには、Microsoft Sentinel プライマリ ワークスペースを Defender ポータルに接続する必要があります。 データ レイクは、プライマリ Sentinel ワークスペースと同じリージョンにあります。 プライマリ ワークスペースと同じリージョン内の他のワークスペースを Defender ポータルに接続して、データ レイクで使用できます。 データ レイクにオンボードした場合、Microsoft Sentinel ワークスペース内のデータは Defender に接続され、データ レイクでの使用が有効になります。 Microsoft Sentinelを Defender ポータルに接続する方法の詳細については、「Microsoft Defender ポータルにMicrosoft Sentinelを接続する」を参照してください。

データ レイクにオンボードするワークスペースを選択することはできません。 プライマリ Sentinel ワークスペースと同じリージョン内の Defender に接続されているすべてのワークスペースが自動的にオンボードされます。 データ レイクから特定のワークスペースを自分でオフボードすることはできません。 ワークスペースをオフボードする場合は、Microsoft Defenderサポート要求を送信します。

Microsoft Sentinel データ レイクおよびグラフからオフボードする

Microsoft Sentinel のデータ レイクとグラフを無効にするには、Microsoft Defender サポート リクエストを送信してください。

オンボード プロセスを開始する

Microsoft ソリューションで Microsoft Sentinel のデータ レイクとグラフをオンボードおよび構成するための手順ごとのガイダンスについては、次の記事を参照してください。

• Microsoft Defender で Microsoft Sentinel のデータ レイクとグラフを構成する
• Microsoft Purview データ セキュリティ調査 で Microsoft Sentinel のデータ レイクとグラフを構成する
• Microsoft Purview インサイダー リスク管理 で Microsoft Sentinel のデータ レイクとグラフを構成する

関連するコンテンツ

• Microsoft Sentinel Data Lake とは
• Microsoft Sentinel のグラフとは何ですか？