Microsoft Sentinel でブックを使用してデータを視覚化および監視する

Microsoft Sentinel にデータ ソースを接続した後、Microsoft Sentinel のブックを使ってデータを可視化し、監視します。 Microsoft Sentinel を使用すると、データ全体のカスタム ブックを作成したり、パッケージ化されたソリューションやコンテンツ ハブのスタンドアロン コンテンツから入手できる、既存のブック テンプレートを使用できます。 これらのテンプレートを使用すると、データ ソースに接続してすぐにデータ全体の分析情報をすばやく得ることができます。

この記事では、Microsoft Sentinel でデータを視覚化する方法について説明します。

  • ブック テンプレートを使用する
  • 新しいブックを作成する

前提条件

  • Microsoft Sentinel ワークスペースのリソース グループに対して、少なくともブックの閲覧者またはブックの共同作成者のアクセス許可が必要です。

    Microsoft Sentinel に表示されるブックは、Microsoft Sentinel ワークスペースのリソース グループ内に保存され、作成されたワークスペースごとにタグ付けされます。

  • ブック テンプレートを使用するには、ブックを含むソリューションをインストールするか、コンテンツ ハブからスタンドアロン アイテムとしてブックをインストールします。 詳細については、「Microsoft Sentinel のそのまま使えるコンテンツを検出して管理する」を参照してください。

ブック テンプレートを使用する

  1. [ブック] に移動し、[テンプレート] を選び、インストールされたブックの一覧を表示します。

    どれが接続したデータ型に関連しているかを確認するには、Microsoft Sentinel に関連のデータが既にストリームされた場合は、各ブックの [必要なデータ型] フィールドのデータ型の隣に緑色のチェック マークが表示されます。

    ブックに移動

  2. データが設定されているテンプレートを確認するには、 [テンプレートの表示] を選択します。

  3. ブックを編集するには、 [保存] を選択して、テンプレートの JSON ファイルを保存する場所を選択します。

    注意

    これにより、関連するテンプレートに基づいて Azure リソースが作成され、データではなく、ブックの JSON ファイルが保存されます。

  4. [保存されたブックの表示] を選択します。

    ブックの表示

    必要に応じてブックをカスタマイズするには、ブックのツールバーの [編集] ボタンを選択します。 完了したら、 [保存] を選択して変更を保存します。

    詳細については、「Azure Monitor ブックを使用した対話型レポートの作成」をご覧ください。

ヒント

ブックを複製するには、 [編集][名前を付けて保存] の順に選択します。このとき、同じサブスクリプションとリソース グループの下に別の名前で保存してください。 複製されたブックは、 [マイ ブック] タブに表示されます。

新しいブックを作成する

  1. 新しいブックを最初から作成するには、 [ブック][Add workbook](ブックの追加) の順に選択します。

    新しいブック

  2. ブックを編集するには、 [編集] を選択し、必要に応じてテキスト、クエリ、およびパラメーターを追加します。 ブックをカスタマイズする方法の詳細については、「Azure Monitor ブックを使用した対話型レポートの作成」を参照してください。

  3. クエリを作成するときに、 [データ ソース][ログ] に設定され、 [リソース タイプ][Log Analytics] に設定されていることを確認してから、関連するワークスペースを選択します。

    重要

    クエリでは、組み込みのテーブルではなく、Advanced Security Information Model (ASIM) パーサーを使用することをお勧めします。 これにより、単一のデータ ソースではなく、現在または未来に関連するデータ ソースがクエリでサポートされます。

  4. ブックを作成したら、Microsoft Sentinel ワークスペースのサブスクリプションとリソース グループの下にブックを保存します。

  5. 組織内の他のユーザーがブックを使用できるようにする場合は、 [保存先][共有レポート] を選択します。 このブックを自分だけが使用できるようにする場合は、 [個人用レポート] を選択します。

  6. ワークスペース内のブックを切り替えるには、いずれかのブックのツール バーで [開く]ブックを開くためのアイコン。 を選択します。 この画面は、切り替えることができる他のブックの一覧に切り替わります。

    開くブックを選択します。

    ブックの切り替え

ブック データの更新

ブックを更新して、更新されたデータを表示します。 ツールバーで、次のいずれかのオプションを選択します。

  • 更新して、ブックのデータを手動で更新します。

  • 自動更新は、構成された間隔で自動的に更新するようにブックを設定します。

    • サポートされる自動更新間隔の範囲は 5 分から 1 日です。

    • ブックの編集中は自動更新が一時停止します。間隔は、編集モードから表示モードに戻るたびに再起動されます。

    • データを手動で更新すると、自動更新の間隔も再起動されます。

    ヒント

    既定では、自動更新はオフになっています。 パフォーマンスを最適化するために、ブックを閉じるたびに自動更新もオフになり、バックグラウンドでは実行されません。 次にブックを開いたときに、必要に応じて自動更新をオンにしてください。

ブックを印刷する、または PDF として保存するには、ブックのタイトルの右側にあるオプション メニューを使用します。

  1. オプション >[コンテンツを印刷する] を選択します。
  2. 印刷画面で、必要に応じて印刷設定を調整するか、 [PDF として保存] を選択してローカルに保存します。

次に例を示します。

ブックを印刷するか、PDF として保存します。

ブックを削除する方法

保存されたブック (保存されたテンプレートまたはカスタマイズされたブック) を削除するには、[ブック] ページで、削除する保存済みブックを選択し、 [削除] を選択します。 この操作により、保存されたブックは削除されます。

注意

これにより、ブック リソースだけでなく、テンプレートに対して行った変更も削除されます。 元のテンプレートは引き続き使用できます。

次のステップ

この記事では、Microsoft Sentinel の ブックを使用して、データを視覚化する方法を説明しました。

脅威への対応を自動化する方法については、Microsoft Sentinel で脅威への自動対応を設定するに関するページを参照してください。

一般的な組み込みブックの詳細については、一般的に使用される Microsoft Sentinel ブックに関するページを参照してください。