Microsoft Sentinel でウォッチリストを作成する

[アーティクル]
04/10/2024
適用対象:

Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Microsoft Sentinel のウォッチリストを使用すると、指定したデータソースのデータを Microsoft Sentinel 環境内のイベントと関連付けることができます。たとえば、環境内の価値の高い資産、退職した従業員、またはサービスアカウントの一覧を含むウォッチリストを作成できます。

ウォッチリストファイルは、ローカルフォルダーまたは Azure ストレージアカウントからアップロードします。ウォッチリストファイルを作成する方法の 1 つは、Microsoft Sentinel からいずれかのウォッチリストテンプレートをダウンロードし、必要なデータを設定することです。次に、Microsoft Sentinel でウォッチリストを作成するときに、そのファイルをアップロードします。

現在、ローカルファイルのアップロードは、最大 3.8 MB のファイルに制限されています。サイズが 3.8 MB より大きく 500 MB 以下のファイルは、大規模なウォッチリストと見なされます。そのようなファイルは、Azure Storage アカウントにアップロードします。ウォッチリストを作成する前に、ウォッチリストの制限事項を確認してください。

重要

ウォッチリストテンプレートの機能と Azure Storage 内のファイルからウォッチリストを作成する機能は、現在プレビュー段階です。 Azure プレビューの追加使用条件には、ベータ版、プレビュー版、またはまだ一般提供されていない Azure 機能に適用される追加の法律条項が含まれています。

Microsoft Sentinel は、Microsoft Defender ポータルの統合セキュリティオペレーションプラットフォームのパブリックプレビューの一部として利用できます。詳細については、Microsoft Defender ポータルの Microsoft Sentinel に関する記事を参照してください。

ローカルフォルダーからウォッチリストをアップロードする

ローカルコンピューターから CSV ファイルをアップロードしてウォッチリストを作成する方法は 2 つあります。

ウォッチリストテンプレートを使わずにウォッチリストファイルを作成した場合: [新規追加] を選択して必要な情報を入力します。
Microsoft Sentinel からテンプレートをダウンロードしてウォッチリストファイルを作成した場合: ウォッチリストの [テンプレート (プレビュー)] タブに移動し、[テンプレートから作成] オプションを選択します。名前、説明、ウォッチリストエイリアスが Azure によって事前設定されます。

作成したファイルからウォッチリストをアップロードする

ファイルの作成にウォッチリストテンプレートを使用しない場合は次のようにします。

Azure portal の Microsoft Sentinel の場合、[構成] の下にある [ウォッチリスト] を選びます。
Defender ポータルの Microsoft Sentinel の場合、[Microsoft Sentinel]>[構成]>[ウォッチリスト] を選びます。
[+新規] を選択します。
- Azure Portal
- Defender ポータル
[全般] ページで、そのウォッチリストの名前、説明、および別名を指定します。
[Next: Source](次へ: ソース) を選択します。

ウォッチリストデータをアップロードするには、次の表の情報を使用します。

フィールド	説明
データセットの種類を選択する	ヘッダー付き CSV ファイル (.csv)
見出しを含む行の前の行数	データファイル内のヘッダー行の前の行数を入力します。
ファイルをアップロードする	データファイルをドラッグアンドドロップするか、[ファイルの参照] を選択してアップロードするファイルを選択します。
SearchKey	他のデータとの結合、または頻繁な検索オブジェクトとして使用するウォッチリスト内の列の名前を入力します。たとえば、サーバーウォッチリストに国名とそれぞれの 2 文字の国番号が含まれていて、検索または結合に国番号を頻繁に使用することが想定される場合は、SearchKey として [コード] 列を使用します。

Note

CSV ファイルが 3.8 MB を超える場合は、Azure Storage 内のファイルから大きなウォッチリストを作成するための手順を使用する必要があります。

[次へ: 確認と作成] を選択します。
情報を確認し、正しいことを確認し、[検証に成功しました] メッセージが表示されるのを待ってから、[作成] を選択します。

ウォッチリストが作成されると、通知が表示されます。

ウォッチリストが作成されて新しいデータがクエリで利用できるようになるまでには数分かかる場合があります。

テンプレートから作成したウォッチリストをアップロードする (プレビュー)

データを設定したテンプレートからウォッチリストを作成するには、次のようにします。

Azure portal の Microsoft Sentinel の場合、[構成] の下にある [ウォッチリスト] を選びます。
Defender ポータルの Microsoft Sentinel の場合、[Microsoft Sentinel]>[構成]>[ウォッチリスト] を選びます。
[テンプレート (プレビュー)] タブを選択します。
一覧から適切なテンプレートを選択すると、右側のペインにテンプレートの詳細が表示されます。
[テンプレートから作成] を選択します。
[全般] タブで、[名前]、[説明]、[ウォッチリストエイリアス] フィールドはすべて読み取り専用です。
[ソース] タブで[ファイルの参照] を選択し、テンプレートから作成したファイルを選択します。
[次へ: 確認と作成]>[作成] を選択します。
ウォッチリストが作成されたときに届く Azure 通知を監視します。

ウォッチリストが作成されて新しいデータがクエリで利用できるようになるまでには数分かかる場合があります。

Azure Storage 内のファイルから大きなウォッチリストを作成する (プレビュー)

ウォッチリストのサイズが大きい場合 (最大 500 MB) は、Azure ストレージアカウントにウォッチリストファイルをアップロードします。次に、Microsoft Sentinel の Shared Access Signature URL を作成してウォッチリストデータを取得します。 Shared Access Signature URL とは、リソースの URI とリソース (ストレージアカウント内の CSV ファイルなど) の Shared Access Signature トークンの両方を含んだ URI です。最後に、ウォッチリストを Microsoft Sentinel のワークスペースに追加します。

Shared Access Signature の詳細については、Azure Storage の Shared Access Signature トークンに関するセクションを参照してください。

手順 1: ウォッチリストファイルを Azure Storage にアップロードする

大きなウォッチリストファイルを Azure ストレージアカウントにアップロードするには、AzCopy または Azure portal を使用します。

まだ Azure ストレージアカウントをお持ちでない場合は、ストレージアカウントを作成します。ストレージアカウントのリソースグループとリージョンは、Microsoft Sentinel のワークスペースと異なっていてもかまいません。
AzCopy または Azure portal を使用して、ウォッチリストデータを含んだ CSV ファイルをストレージアカウントにアップロードします。

AzCopy でファイルをアップロードする

AzCopy v10 コマンドラインユーティリティを使用して、BLOB ストレージにファイルやディレクトリをアップロードします。詳細については、「AzCopy を使用して Azure BLOB ストレージにファイルをアップロードする」を参照してください。

ストレージコンテナーをまだお持ちでない場合は、次のコマンドを実行して作成します。
```
azcopy make 
https://<storage-account-name>.<blob or dfs>.core.windows.net/<container-name>
```

次に、次のコマンドを実行してファイルをアップロードします。

azcopy copy '<local-file-path>' 'https://<storage-account-name>.<blob or dfs>.core.windows.net/<container-name>/<blob-name>'

Azure portal でファイルをアップロードする

AzCopy を使用しない場合は、Azure portal を使用してファイルをアップロードします。 Azure portal でストレージアカウントに移動して、ウォッチリストデータを含んだ CSV ファイルをアップロードします。

既存のストレージコンテナーがまだない場合は、コンテナーを作成します。コンテナーへのパブリックアクセスのレベルには、[プライベート (匿名アクセスなし)] に設定された既定のレベルをお勧めします。
ブロック BLOB をアップロードして、CSV ファイルをストレージアカウントにアップロードします。

手順 2: Shared Access Signature URL を作成する

Microsoft Sentinel の Shared Access Signature URL を作成してウォッチリストデータを取得します。

「Azure portal で BLOB の SAS トークンを作成する」の手順に従います。
Shared Access Signature トークンの有効期限を最低でも 6 時間に設定します。
[使用できる IP アドレス] は既定値である空白のままにします。
[BLOB SAS URL] の値をコピーします。

手順 3: [CORS] タブに Azure を追加する

SAS URI を使う前に、Azure portal をクロスオリジンリソース共有 (CORS) に追加します。

ストレージアカウントの設定の [リソースの共有] ページに移動します。
[Blob service] タブを選びます。
許可されたオリジンのテーブルに https://*.portal.azure.net を追加します。
適切な [許可されたメソッド] として GET と OPTIONS を選びます。
構成を保存します。

詳しくは、Azure Storage での CORS のサポートに関する記事をご覧ください。

手順 4: ウォッチリストをワークスペースに追加する

Azure portal の Microsoft Sentinel の場合、[構成] の下にある [ウォッチリスト] を選びます。
Defender ポータルの Microsoft Sentinel の場合、[Microsoft Sentinel]>[構成]>[ウォッチリスト] を選びます。
[+新規] を選択します。
[全般] ページで、そのウォッチリストの名前、説明、および別名を指定します。
[Next: Source](次へ: ソース) を選択します。

ウォッチリストデータをアップロードするには、次の表の情報を使用します。

フィールド	説明
送信元の種類	Azure Storage (プレビュー)
データセットの種類を選択する	ヘッダー付き CSV ファイル (.csv)
見出しを含む行の前の行数	データファイル内のヘッダー行の前の行数を入力します。
BLOB SAS URL (プレビュー)	作成した共有アクセス URL を貼り付けます。
SearchKey	他のデータとの結合、または頻繁な検索オブジェクトとして使用するウォッチリスト内の列の名前を入力します。たとえば、サーバーウォッチリストに国名とそれぞれの 2 文字の国番号が含まれていて、検索または結合に国番号を頻繁に使用することが想定される場合は、SearchKey として [コード] 列を使用します。

すべての情報を入力すると、ページは次の画像のようになります。

[次へ: 確認と作成] を選択します。
情報を確認し、正しいことを確認して、"検証に成功しました" メッセージが表示されるのを待ちます。
［作成］ を選択します

ウォッチリストが作成されて新しいデータがクエリで利用できるようになるまでにはしばらく時間がかかる場合があります。

ウォッチリストの状態を確認する

ワークスペースでウォッチリストを選択して状態を確認します。

Azure portal の Microsoft Sentinel の場合、[構成] の下にある [ウォッチリスト] を選びます。
Defender ポータルの Microsoft Sentinel の場合、[Microsoft Sentinel]>[構成]>[ウォッチリスト] を選びます。
[マイウォッチリスト] タブでウォッチリストを選択します。
詳細ページで [状態 (プレビュー)] を確認します。
成功の状態になったら、ウォッチリストをクエリで使用するために [Log Analytics で表示] を選択します。ウォッチリストが Log Analytics に表示されるまでには数分かかる場合があります。

ウォッチリストテンプレートをダウンロードする (プレビュー)

Microsoft Sentinel からウォッチリストテンプレートのいずれかをダウンロードして、データを設定します。次に、Microsoft Sentinel でウォッチリストを作成するときに、そのファイルをアップロードします。

各組み込みウォッチリストテンプレートには、テンプレートにアタッチされた CSV ファイルに一覧表示されている、独自のデータのセットがあります。詳細については、組み込みウォッチリストスキーマに関するページを参照してください。

ウォッチリストテンプレートのいずれかをダウンロードするには、次のようにします。

Azure portal の Microsoft Sentinel の場合、[構成] の下にある [ウォッチリスト] を選びます。
Defender ポータルの Microsoft Sentinel の場合、[Microsoft Sentinel]>[構成]>[ウォッチリスト] を選びます。
[テンプレート (プレビュー)] タブを選択します。
一覧からテンプレートを選択すると、右側のペインにテンプレートの詳細が表示されます。
行の末尾にある省略記号 [...] を選択します。
[スキーマをダウンロード] を選択します。
ローカルバージョンのファイルにデータを設定し、CSV ファイルとしてローカルに保存します。
「テンプレートから作成したウォッチリストをアップロードする (プレビュー)」の手順に従います。

Log Analytics ビューでウォッチリストを削除して再作成する

ウォッチリストを削除して再作成した場合、データインジェストの 5 分間の SLA 内に、削除済みと再作成済みの両方のエントリが Log Analytics に表示される場合があります。これらのエントリが Log Analytics に一緒に長時間表示される場合は、サポートチケットを送信してください。

Microsoft Azure Sentinel の詳細については、次の記事を参照してください。