Microsoft Sentinel のそのまま使えるコンテンツを検出して管理する

2025-07-04
適用対象: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Microsoft Sentinel のコンテンツハブは、そのまま使える (組み込みの) コンテンツを検出して管理するための一元的な場所です。そこでは、ドメインまたは業界別に、エンドツーエンドの製品用のパッケージソリューションを見つけることができます。 GitHub リポジトリと機能ブレードでホストされている膨大な数のスタンドアロンコントリビューションにアクセスできます。

状態、コンテンツタイプ、サポート、プロバイダー、カテゴリに基づく一貫した一連のフィルター機能を使って、ソリューションとスタンドアロンコンテンツを検出します。
一度に、または個別に、コンテンツをワークスペースにインストールします。
リストビューでコンテンツを表示し、更新プログラムのあるソリューションをすばやく確認します。スタンドアロンコンテンツが自動的に更新される間に、すべてのソリューションを一度に更新します。
ソリューションを管理してそのコンテンツタイプをインストールし、最新の変更を取得します。
最新のテンプレートに基づいて新しいアクティブなアイテムを作成するように、スタンドアロンコンテンツを構成します。

独自のソリューションを作成するパートナーの場合は、ソリューションの作成と発行に関する Microsoft Sentinel ソリューションビルドガイドを参照してください。

重要

Microsoft Sentinel は、Microsoft Defender XDR または E5 ライセンスを持たないお客様を含め、Microsoft Defender ポータルで一般提供されています。

2026 年 7 月以降、Microsoft Sentinel は Defender ポータルでのみサポートされ、Azure portal を使用している残りの顧客は自動的にリダイレクトされます。

Azure で Microsoft Sentinel を使用しているお客様は、Microsoft Defender によって提供される完全な統合セキュリティ操作エクスペリエンスのために、Defender ポータルへの移行の計画を開始することをお勧めします。詳細については、「すべての Microsoft Sentinel ユーザー向けの Microsoft Defender ポータルへの移行の計画」を参照してください。

前提条件

コンテンツハブ内のスタンドアロンコンテンツまたはソリューションをインストール、更新、削除するには、リソースグループレベルで Microsoft Sentinel 共同作成者 ロールが必要です。

Microsoft Sentinel でサポートされている他のロールとアクセス許可の詳細については、「Microsoft Sentinel のアクセス許可」を参照してください。

コンテンツの検出

コンテンツハブには、新しいコンテンツを検索したり、既にインストールされているソリューションを管理したりするための、最適な方法が用意されています。

Defender ポータルの Microsoft Sentinel の場合は、Microsoft Sentinel>Content 管理>Content ハブを選択します。 Azure portal の Microsoft Sentinel の場合、[コンテンツ管理] で [コンテンツハブ] を選択します。

[コンテンツハブ] ページには、検索可能なグリッドまたはソリューションとスタンドアロンコンテンツの一覧が表示されます。
必要なソリューション、またはスタンドアロンコンテンツ項目を検索します。フィルターから特定の値を選択するか、[ 検索] ボックス に検索語句を入力します。検索では AI が使用され、あいまい検索と近似語彙がサポートされています。

検索するときは、 必ず Enter キー を押して検索を開始してください。検索結果の数は、ソリューションとソリューション内にあるコンテンツ項目の両方を含め、50 項目に制限されています。探しているものが見つからない場合は、検索式を絞り込むか、別のフィルターを使用してみてください。

詳細については、「Microsoft Sentinel の標準コンテンツとソリューションのカテゴリ」を参照してください。
リストビュー ( ) で、一覧からソリューションを選択すると、ソリューションに関する情報と、それに含まれるコンテンツ項目の種類が表示されます。

検索結果またはフィルター結果でソリューションを展開して、含まれるコンテンツ項目の一覧を表示します。横の情報ウィンドウには、コンテンツ項目に関する詳細情報が表示されます。
- Defender ポータル
- Azure Portal
または、カードビュー ( ) を選択して、グリッドに表示されるソリューションを表示します。各カードには、ソリューション名、説明、カテゴリが表示されます。カードを選択すると、横にソリューションに関する詳細情報が表示されます。

ソリューションの一部であるコンテンツ項目を使用するには、ソリューション全体をインストールする必要があります。リストビューで特定のコンテンツ項目を選択した場合は、サイドの詳細ウィンドウで [ ソリューションのインストール ] を選択して、関連するソリューションをインストールします。

詳細については、「Microsoft Sentinel の標準コンテンツとソリューションのカテゴリ」を参照してください。

コンテンツをインストールまたは更新する

スタンドアロンコンテンツとソリューションを、個別に、またはすべてまとめて、インストールします。一括操作の詳細については、次のセクションのコンテンツの一括インストールと更新を参照してください。

展開したソリューションに前回デプロイした後の更新プログラムがある場合は、リストビューに [更新] が状態 列に表示 されます。このソリューションは、ページの上部にある [更新プログラム ] の数にも含まれます。

個々のソリューションをインストールする例を次に示します。

コンテンツハブで、ソリューションを検索して選択します。
ソリューションの詳細ウィンドウで、右下にある [ 詳細の表示] を選択します。
[ 作成 ] または [ 更新] を選択します。
[ 基本 ] タブで、ソリューションをデプロイするサブスクリプション、リソースグループ、ワークスペースを入力します。次に例を示します。
[ 次へ ] を選択して、残りのタブを確認し、場合によっては各コンテンツコンポーネントを構成します。

タブは、ソリューションによって提供されるコンテンツに対応しています。ソリューションによってコンテンツの種類が異なる場合があるため、すべてのソリューションに同じタブが表示されるわけではありません。

Microsoft Sentinel でシステムに対して認証できるように、Microsoft 以外のサービスに資格情報を入力するように求められる場合もあります。たとえば、プレイブックでは、システムで規定されている応答アクションを実行しなければならないことがあります。
[ 確認と作成 ] タブで、 Validation Passed メッセージが表示されるまで待ちます。
[ 作成 ] または [更新] を選択してソリューションをデプロイします。 [ Automation 用テンプレートのダウンロード ] リンクを選択して、ソリューションをコードとしてデプロイすることもできます。

依存関係を含めてインストールする

一部のソリューションには、CEF、Syslog、またはカスタムログ用の統合 AMA コネクタを使用する多くのドメインソリューションやソリューションなど、インストールする依存関係があります。

このような場合は、[ 依存関係のあるインストール ] を選択して、必要なデータコネクタも確実にインストールされるようにします。そこから、1 つ以上の依存関係を選択して、元のソリューションと共にインストールします。インストールすることを選択した元のソリューションは、既定で常に選択されます。

1 つ以上の依存関係ソリューションが既にインストールされているが、更新プログラムがある場合は、[ インストール/更新 ] ボタンを使用して、選択したすべてのソリューションを一括でインストールおよび更新します。次に例を示します。

ソリューションをインストールした後、ソリューション内の各コンテンツタイプを構成するために追加の手順が必要になる場合があります。詳細については、「ソリューションのコンテンツ項目を有効にする」を参照してください。

コンテンツを一括でインストールおよび更新する

コンテンツハブでは、既定のカードビューに加えてリストビューがサポートされています。リストビューを選択すると、複数のソリューションとスタンドアロンコンテンツを一度にインストールできます。スタンドアロンコンテンツは自動的に最新の状態に保たれます。コンテンツハブからインストールされたソリューションまたはスタンドアロンコンテンツに基づいて作成されたアクティブまたはカスタムのコンテンツは変更されません。

項目を一括でインストールしたり更新したりするには、リストビューに変更します。
検索またはフィルター処理して、一括でインストールまたは更新するコンテンツを検出します。
インストールまたは更新する各ソリューションまたはスタンドアロンコンテンツのチェックボックスをオンにします。
[ インストール/更新 ] ボタンを選択します。

選択したソリューションまたはスタンドアロンコンテンツが既にインストールまたは更新されている場合、その項目に対するアクションは実行されません。この操作が他の項目の更新やインストールを妨げることはありません。
インストールした各ソリューションの [管理 ] を選択します。ソリューション内のコンテンツタイプには、構成のための詳細情報が必要になるものがあります。詳細については、「ソリューションのコンテンツ項目を有効にする」を参照してください。

API を使用してパッケージとテンプレートをインストールする

API を使用してソリューションパッケージまたは個々のテンプレートをインストールする場合は、次の手順に従います。

ソリューションパッケージまたはテンプレートを取得します。
- パッケージを取得するには、 Get Product Package API を使用します。
- 個々のテンプレートを取得するには、 Get Product Template API を使用します。
API 応答で、 properties.mainTemplate フィールドを見つけます。このフィールドには、ソリューションまたはテンプレートリソースを定義する ARM テンプレート JSON が含まれています。
REST API、Azure CLI、または PowerShell を使用して、ARM テンプレートのデプロイを使用して、抽出されたmainTemplateをデプロイします。

ソリューションのコンテンツ項目を有効にする

コンテンツハブからインストールされたソリューションのコンテンツ項目を一元的に管理します。

コンテンツハブで、バージョンが 2.0.0 以降のインストール済みソリューションを選択します。
ソリューションの詳細ページで、[管理] を選択 します。
コンテンツ項目の一覧を確認します。
開始するコンテンツ項目を選択します。

各コンテンツタイプを管理する

次のセクションでは、ソリューションを管理する場合に、さまざまなコンテンツタイプを扱う方法についていくつかのヒントを示します。

データコネクタ

データコネクタを接続するには、構成手順を完了します。

[ コネクタページを開く] を選択します。
データコネクタの構成手順を完了します。

データコネクタを構成し、ログが検出されると、状態が [接続済み] に変わります。

分析ルール

テンプレートからルールを作成するか、既存のルールを編集します。

分析テンプレートギャラリーでテンプレートを表示します。
テンプレートがまだ使用されていない場合は、[ 開く>作成ルール ] を選択し、手順に従って分析ルールを有効にします。

ルールを作成すると、テンプレートから作成されたアクティブなルールの数が [ 作成されたコンテンツ ] 列に表示されます。
アクティブなルールのリンクを選択して、既存のルールを編集します。たとえば、次の図のアクティブなルールリンクは、[ 作成されたコンテンツ] の下にあり、 2 つの項目が表示されます。

ハンティングクエリ

指定されたハンティングクエリを実行するか、カスタマイズしてください。

すぐに検索を開始するには、詳細ページから [ クエリの実行 ] を選択して簡単な結果を得られます。
ハンティングクエリをカスタマイズするには、[ コンテンツ名 ] 列のリンクを選択します。

ハンティングギャラリーから、省略記号メニューにアクセスして、読み取り専用のハンティングクエリテンプレートの複製を作成できます。この方法で作成されたハンティングクエリは、コンテンツハブの [ 作成されたコンテンツ ] 列にアイテムとして表示されます。