Microsoft Sentinel 組み込みウォッチリストのテンプレートのスキーマ (プレビュー)
この記事では、Microsoft Sentinel が提供する各組み込みウォッチリストのテンプレート内で使用されるスキーマについて詳しく説明します。 詳細については、「Microsoft Sentinel でウォッチリストを作成する」を参照してください。
Microsoft Sentinel ウォッチリストのテンプレートは、現在プレビューの段階です。 Azure プレビューの追加使用条件には、ベータ版、プレビュー版、またはまだ一般提供されていない Azure 機能に適用される追加の法律条項が含まれています。
価値の高い資産
価値の高い資産ウォッチリストには、組織内で重要な価値を持つデバイス、リソースなどの資産が一覧表示され、次のフィールドが含まれています。
| フィールド名 | Format | 例 | 必須/省略可能 |
|---|---|---|---|
| 資産の種類 | String | Device, Azure resource, AWS resource, URL, SPO, File share, Other |
Mandatory |
| 資産 ID | 文字列。資産の種類によって異なります | /subscriptions/d1d8779d-38d7-4f06-91db-9cbc8de0176f/resourceGroups/SOC-Purview/providers/Microsoft.Storage/storageAccounts/purviewadls |
Mandatory |
| 資産名 | String | Microsoft.Storage/storageAccounts/purviewadls |
省略可能 |
| 資産の完全修飾ドメイン名 | FQDN | Finance-SRv.local.microsoft.com |
Mandatory |
| IP アドレス | IP | 1.1.1.1 |
省略可能 |
| タグ | 一覧取得 | ["SAW user","Blue Ocean team"] Microsoft Excel で作成された CSV ファイル、または [""SAW user"",""Blue Ocean team""] テキスト エディターで作成された CSV ファイルの場合 |
省略可能 |
VIP ユーザー
VIP ユーザー ウォッチリストには、組織内で大きな影響を与える従業員のユーザー アカウントが一覧表示され、次の値が含まれています。
| フィールド名 | Format | 例 | 必須/省略可能 |
|---|---|---|---|
| ユーザー ID | UID | 52322ec8-6ebf-11eb-9439-0242ac130002 |
省略可能 |
| ユーザー AAD オブジェクト ID | SID | 03fa4b4e-dc26-426f-87b7-98e0c9e2955e |
省略可能 |
| ユーザー オンプレミス SID | SID | S-1-12-1-4141952679-1282074057-627758481-2916039507 |
省略可能 |
| ユーザー プリンシパル名 | UPN | JeffL@seccxp.ninja |
Mandatory |
| タグ | 一覧取得 | ["SAW user","Blue Ocean team"] Microsoft Excel で作成された CSV ファイル、または [""SAW user"",""Blue Ocean team""] テキスト エディターで作成された CSV ファイルの場合 |
省略可能 |
ネットワーク アドレス
[ネットワーク アドレス] ウォッチリストには、IP サブネットとそれぞれの組織コンテキストが一覧表示され、次のフィールドが含まれます。
| フィールド名 | Format | 例 | 必須/省略可能 |
|---|---|---|---|
| IP サブネット | サブネット範囲 | 198.51.100.0/24 |
Mandatory |
| 範囲名 | String | DMZ |
省略可能 |
| タグ | 一覧取得 | ["Example","Example"] Microsoft Excel で作成された CSV ファイル、または [""Example"",""Example""] テキスト エディターで作成された CSV ファイルの場合 |
省略可能 |
退職した従業員
退職した従業員ウォッチリストには、退職した従業員または退職しようとしている従業員が一覧表示され、次のフィールドが含まれています。
| フィールド名 | Format | 例 | 必須/省略可能 |
|---|---|---|---|
| ユーザー ID | UID | 52322ec8-6ebf-11eb-9439-0242ac130002 |
省略可能 |
| ユーザー AAD オブジェクト ID | SID | 03fa4b4e-dc26-426f-87b7-98e0c9e2955e |
省略可能 |
| ユーザー オンプレミス SID | SID | S-1-12-1-4141952679-1282074057-123 |
省略可能 |
| ユーザー プリンシパル名 | UPN | JeffL@seccxp.ninja |
Mandatory |
| UserState | 文字列 Notified または Terminated を使用することをお勧めします |
Terminated |
Mandatory |
| 通知日 | タイムスタンプ - 日 UTC 形式を使用することをお勧めします |
2020-12-1 |
省略可能 |
| 退職日 | タイムスタンプ - 日 UTC 形式を使用することをお勧めします |
2021-01-01 |
Mandatory |
| タグ | 一覧取得 | ["SAW user","Amba Wolfs team"] Microsoft Excel で作成された CSV ファイル、または [""SAW user"",""Amba Wolfs team""] テキスト エディターで作成された CSV ファイルの場合 |
省略可能 |
ID 相関関係
ID 相関関係ウォッチリストには、同じユーザーに属する関連ユーザー アカウントが一覧表示され、次のフィールドが含まれます。
| フィールド名 | Format | 例 | 必須/省略可能 |
|---|---|---|---|
| ユーザー ID | UID | 52322ec8-6ebf-11eb-9439-0242ac130002 |
省略可能 |
| ユーザー AAD オブジェクト ID | SID | 03fa4b4e-dc26-426f-87b7-98e0c9e2955e |
省略可能 |
| ユーザー オンプレミス SID | SID | S-1-12-1-4141952679-1282074057-627758481-2916039507 |
省略可能 |
| ユーザー プリンシパル名 | UPN | JeffL@seccxp.ninja |
Mandatory |
| 従業員 ID | String | 8234123 |
省略可能 |
| 電子メール | JeffL@seccxp.ninja |
省略可能 | |
| 関連付けられている特権アカウント ID | UID/SID | S-1-12-1-4141952679-1282074057-627758481-2916039507 |
省略可能 |
| 関連付けられている特権アカウント | UPN | Admin@seccxp.ninja |
省略可能 |
| タグ | 一覧取得 | ["SAW user","Amba Wolfs team"] Microsoft Excel で作成された CSV ファイル、または [""SAW user"",""Amba Wolfs team""]テキスト エディターで作成された CSV ファイルの場合 |
省略可能 |
サービス アカウント
サービス アカウント ウォッチリストには、サービス アカウントとその所有者が一覧表示され、次のフィールドが含まれています。
| フィールド名 | Format | 例 | 必須/省略可能 |
|---|---|---|---|
| サービス識別子 | UID | 1111-112123-12312312-123123123 |
省略可能 |
| サービス AAD オブジェクト ID | SID | 11123-123123-123123-123123 |
省略可能 |
| サービスのオンプレミス SID | SID | S-1-12-1-3123123-123213123-12312312-2916039507 |
省略可能 |
| サービス プリンシパル名 | UPN | myserviceprin@contoso.com |
Mandatory |
| 所有者のユーザー ID | UID | 52322ec8-6ebf-11eb-9439-0242ac130002 |
省略可能 |
| 所有者のユーザー AAD オブジェクト ID | SID | 03fa4b4e-dc26-426f-87b7-98e0c9e2955e |
省略可能 |
| 所有者のユーザー オンプレミス SID | SID | S-1-12-1-4141952679-1282074057-627758481-2916039507 |
省略可能 |
| 所有者のユーザー プリンシパル名 | UPN | JeffL@seccxp.ninja |
Mandatory |
| タグ | 一覧取得 | ["Automation Account","GitHub Account"] Microsoft Excel で作成された CSV ファイル、または [""Automation Account"",""GitHub Account""]テキスト エディターで作成された CSV ファイルの場合 |
省略可能 |
次のステップ
詳細については、次のトピックを参照してください。