データをMicrosoft Sentinel Data Lakeに取り込む

サンプル IdentityDrift テレメトリとサポート テーブルを Sentinel データ レイクに取り込みます。 このデータは、このシリーズの後続の記事でクエリを実行できます。

この記事は、データ レイクへのテスト データの取り込み、エージェントの開発、IdentityDrift プラットフォーム ソリューションの例の公開について説明するシリーズの一部です。 このソリューションには、脅威の調査を自動化するための ID、エンドポイント、クラウド セキュリティシグナルを関連付けるセキュリティ Copilot エージェントが含まれています。

ISV の一般的な運用アプローチ

ISV では、Sentinel にデータを取り込むには、次の方法を使用する必要があります。

  1. データ コネクタの開発
    • GitHub Copilotを使用して VS Code で Sentinel コネクタ ビルダー エージェントを使用して Sentinel データ コネクタを作成します。 この AI 支援型アプローチでは、開発時間を数週間から数時間に短縮し、自然言語プロンプトを使用してポーリング構成、データ収集規則、コネクタ定義、スキーマを構築します。
    • プルベースのデータ ソースの場合は、 Codeless Connector Framework (CCF) を使用します。
    • プッシュベースのデータ ソースの場合は、 CCF Push を使用します。
  2. Data Lake にデータを取り込む コネクタを介してテレメトリを Sentinel のデータ レイクにストリーミングする
  3. Sentinel プラットフォームを使用するデータ探索、Graph、MCP サーバー、Security Copilot エージェントに Sentinel プラットフォーム機能を使用します。

代替手段: データ ソース用のコネクタが既に存在する場合は、 Sentinel Data Connectors リファレンス を参照して有効にし、データの取り込みを開始します。

ラボのアプローチ: KQL ジョブを使用してサンプル データを取り込む

KQL ジョブを使用して、データ レイクにサンプル レコードを設定します。 この方法の特徴は次のとおりです。

  • 実際のデータ スキーマをミラー化します サンプル データは、コネクタによって取り込まれたデータと同じスキーマに準拠するため、データ レイクとテスト エージェントのロジックをすぐに設定できます。
  • 現実的な攻撃シナリオを表します モック データは、運用環境で調査する攻撃パターンと相関関係を再現します。

前提条件

必要なアクセス許可

  • セキュリティ管理者またはセキュリティ オペレーターロールが必要です。

KQL ジョブを作成する

新しい KQL ジョブを作成するには、次の手順に従います。

  1. Defender ポータルで、Sentinel > Data Lake Exploration > Jobs に移動します。

  2. ジョブの作成、次に 新しい KQL ジョブを作成 を選択します

  3. ジョブ名 - 一意のジョブ名を入力します ( 例: CommonSecurity_ID_logs1)

  4. ジョブの説明 - ジョブのコンテキストと目的を指定する (たとえば、 IdentityDrift ベンダーが CommonSecurity_ID_logs 1 に取り込むログを生成する)

  5. ワークスペースの選択 - 移行先ワークスペースを選択する

  6. [ 新しいテーブルの作成 ] で、テーブル名を入力します ( 例: CommonSecurity_ID)。 KQL ジョブによって作成されたテーブルには、サフィックス _KQL_CL 自動的に追加されます。

  7. 次へを選択します。

  8. 関連する [データ取り込み KQL ] タブからクエリ フィールドに KQL クエリをコピーします。

    ヒント

    [次へ] ボタンがグレー表示されている場合は、[選択したワークスペース] ボタンを使用してワークスペースを選択する必要があります。

  9. [次へ] を選択して、スケジュール ページに進みます。

ジョブをスケジュールする

ジョブの実行スケジュールを設定するには:

  1. [ クエリ ジョブのスケジュール設定 ] ページで、実行オプションを選択します。
    • スケジュールされたジョブ - 指定したスケジュールに従ってジョブが実行され、サンプル データが定期的に取り込まれます。

テーブルに定期的にレコードを追加するには、[ジョブのスケジュール設定] オプションを使用します。

スケジュールされたジョブの場合:

  1. [スケジュール] オプションを選択する
  2. 以下の詳細情報を入力します。
    • 繰り返し頻度 - 分単位、時間単位、日単位、週単位、月単位のいずれかを選択します。
    • 繰り返し間隔 - 選択した頻度に基づいてジョブを実行する頻度
    • 開始日 - ジョブの開始日を選択し、開始時刻を入力します。
    • [終了日] - スケジュールの終了時刻を選択します。 [ジョブ を無期限に実行するように設定 ] を選択し、終了日なしで続行します

確認と送信

ジョブを確認して送信するには:

  1. [ 次へ ] を選択してジョブの詳細を確認します。
  2. すべての設定を確認します。
  3. [ 送信] を 選択してジョブを作成します。

データ取り込み KQL

SigninLogs、AADRiskyUsers、CommonSecurity_ID_Logs、DeviceProcessEvents、SecurityAlerts の各テーブルにデータを取り込むには、以下の各タブの KQL クエリを使用して、KQL ジョブを作成する手順を繰り返します。

KQL ジョブで次のクエリを使用して、Sentinel データ レイクの AADRiskyUsers テーブルにサンプルの危険なユーザー データを取り込みます。

datatable(
    TimeGenerated:datetime,
    CorrelationId:string,
    Id:string,
    IsDeleted:bool,
    IsProcessing:bool,
    OperationName:string,
    RiskDetail:string,
    RiskLastUpdatedDateTime:datetime,
    RiskLevel:string,
    RiskState:string,
    UserDisplayName:string,
    UserPrincipalName:string
)
[
    datetime(2026-03-05T14:22:00Z), "riskcorr-identity-047", "a7d2f8c1-4e2b-48f3-9a06-2e5c7b3d9f1a", false, false, "RiskyUserDetected", "adminConfirmedUserCompromised", datetime(2026-02-28T10:15:00Z), "high", "confirmedCompromised", "U1291", "u1291@contoso.onmicrosoft.com",
    datetime(2026-03-05T15:18:00Z), "riskcorr-identity-052", "b9e4a6d2-7f3c-41b8-a2e5-3f6c8d1e2b4a", false, false, "RiskyUserUpdated",  "anonymousIpAddress",             datetime(2026-02-27T14:42:00Z), "medium", "atRisk",              "U3415", "u3415@contoso.onmicrosoft.com",
    datetime(2026-03-05T16:33:00Z), "riskcorr-identity-059", "c5f1b7e3-9d4a-42c1-b8f6-5e7d9c2a3f5b", false, false, "RiskyUserUpdated",  "userPerformedSecuredPasswordReset", datetime(2026-02-26T11:20:00Z), "medium", "remediated",          "U2847",   "u2847@contoso.onmicrosoft.com",
];

次のステップ

これで、Data Lake に IdentityDrift、Microsoft Entra ID、Microsoft Defenderからのサンプル テレメトリが設定されました。 このデータを使用して、セキュリティ Copilot エージェントをテストおよび開発します。 「Visual Studio Codeの MCP ツールを使用して Sentinel MCP サーバー ツールを調べ、プロンプトを使用してデータにクエリを実行する」を参照してください。

Security Copilot Agent for IdentityDrift のユース ケースの構築に進む前に、次のプロンプトで MCP サーバーを調べて、この手順で取り込まれたサンプル データに対してクエリを実行し、Sentinel MCP を使用して Sentinel データ レイクからデータを照会する方法を学習します。

VS Code Chat を使用した Sentinel MCP のサンプル プロンプト:

  • ワークスペースで、"ID" または "signin" に関連するテーブルを検索します。
  • DeviceProcessEvents_KQL_CLのユーザー u1291 のプロセス実行イベントを表示します。実行したコマンドは何ですか?
  • u1291@contoso.onmicrosoft.com のアクティビティを相関付けて確認する: SigninLogs_KQL_CL でサインイン リスク、CommonSecurity_ID_KQL_CL でアクセス状況、DeviceProcessEvents_KQL_CL でプロセス実行の有無を確認します。 攻撃チェーンの概要を示します。

Security Copilot エージェントを構築 に進む

  • 最終更新: