Microsoft Sentinel でグローバルセキュリティで保護されたアクセスを使用して脅威検出を強化する

グローバル セキュリティで保護されたアクセスは Microsoft Sentinel と統合されるため、組織はネットワーク トラフィック ログ、監査ログ、アラートを Sentinel に直接ストリーミングできます。 この統合では、セキュリティの監視と視覚化を強化するために、Microsoft Entra 診断設定と、構成済みのブックと分析ルールを含むグローバル Secure Access コンテンツ ハブ パッケージを使用します。 組織はこの統合を使用して、Global Secure Access データを他のMicrosoftセキュリティ サービスと関連付け、環境全体の脅威の検出と対応を向上させることができます。

[前提条件]

グローバル セキュリティで保護されたアクセスを Microsoft Sentinel と統合するには、次の構成とアクセス許可が必要です。

• Log Analytics ワークスペースで有効になっている Microsoft Sentinel。 詳細については、 Log Analytics ワークスペースの作成に関するページを参照してください。
• グローバル セキュリティで保護されたアクセス。Microsoft 365、インターネット アクセス、プライベート アクセスなどのトラフィック転送プロファイルで構成されます。
• Microsoft Entra ID データ コネクタを 使用して Microsoft Sentinel にデータを送信する方法に従って構成された Microsoft Entra ID データ コネクタ。
• 有効な Azure サブスクリプション。
• 診断設定を構成するための Microsoft Entra セキュリティ管理者ロール。
• ワークスペースが属するリソース グループに対する Microsoft Sentinel 共同作成者のアクセス許可。ソリューションをインストールまたは管理し、コンテンツ ハブで分析を構成します。
• Microsoft Sentinel ワークスペースが存在するサブスクリプションで Microsoft Sentinel を有効にするための共同作成者権限。

Microsoft Entra 診断設定を構成する

グローバル セキュリティで保護されたアクセスがLog Analytics ワークスペースにデータをストリーミングできるように、Microsoft Entra診断設定を構成するには:

1. 少なくともセキュリティ管理者として Microsoft Entra 管理センターにサインインします。

2. Entra ID>監視 & 正常性>診断設定に移動します。 既定では、[ 全般] 設定が表示されます。

3. [ 診断設定の追加] を選択して、新しい設定を作成します。

4. 診断設定名を入力します。

5. [ ログ ] セクションで、次の カテゴリを選択します。

   診断設定カテゴリ	Sentinel または Log Analytics テーブル	Microsoft Entra ナビゲーション	ポータルに表示される内容	主なユース ケース
   ネットワークアクセスのトラフィックログ	NetworkAccessTraffic	グローバルなセキュリティで保護されたアクセス>モニター>トラフィック ログ	グローバル セキュリティで保護されたアクセス (インターネット、Microsoft 365、プライベート アクセス) を経由するすべての HTTP および HTTPS 要求のトランザクション レベルの可視性。 宛先、完全な URL (TLS 検査時)、ユーザー、デバイス、アプリ、ポリシー、アクション、バイト、脅威インテリジェンス、AI またはエージェントシグナルを表示します。	トラフィック調査とフォレンジック。 ポリシーの適用の検証。 シャドウ IT とシャドウ AI 検出。 脅威検出 (コマンドと制御、危険な宛先)。 データ流出の分析。
   NetworkAccessConnectionEvents	NetworkAccessConnectionEvents	グローバルなセキュリティで保護されたアクセス>モニター>接続ログ	ID、デバイス、ポイント オブ プレゼンス (PoP) リージョン、セキュリティ プロファイル、ポリシーの決定を含む接続レベルのライフサイクル ビュー (開始と終了)。 1 つの接続で多数のトラフィック行にマップできます。	アクセスとポリシーに関する問題のトラブルシューティングを行います。 デバイスコンテキストとユーザーコンテキストをトラフィックに追加します。 テナント間アクセスの可視化 地理および PoP 分析。
   NetworkAccessGenerativeAIInsights	NetworkAccessGenerativeAIInsights	グローバル セキュア アクセス>監視>生成 AI 分析情報ログ	プロンプト コンテンツ、MCP クライアントとサーバー名、ツール呼び出し、トラフィック ログへのトランザクション リンケージなど、生成 AI とモデル コンテキスト プロトコル (MCP) アクティビティの可視性。	シャドウ AI とシャドウ MCP 検出。 AI の使用状況の監査とガバナンス。 プロンプト レベルの検査。 AI エージェントの動作プロファイリング。
   RemoteNetworkHealthLogs	RemoteNetworkHealthLogs	グローバルなセキュリティで保護されたアクセス>モニター>リモート ネットワークの正常性ログ	状態、アップタイム、スループット、接続または切断イベントを含む、ブランチおよびリモート ネットワークの IPsec トンネルとボーダー ゲートウェイ プロトコル (BGP) セッションの正常性とパフォーマンス。	ブランチとサイトの接続の監視。 トンネル フラッピング検出。 サービス レベル アグリーメント (SLA) と可用性の追跡。 ネットワーク操作のトラブルシューティング。
   NetworkAccessAlerts	NetworkAccessAlerts	グローバルなセキュリティで保護されたアクセス>モニター>アラート	グローバル セキュリティで保護されたアクセスがネイティブに生成するセキュリティとポリシーのアラート。重大度、説明、関連エンティティ、タイムスタンプが含まれます。 たとえば、 外部テナント アクティビティの増加 アラート、 トークンまたはデバイスの不整合 アラート、異常 なリモート ネットワーク アラートなどがあります。	リアルタイムの脅威検出。 アラートの優先度判定。 インシデント対応。

6. [ 宛先の詳細 ] セクションで、[ Log Analytics ワークスペースに送信] を選択します。

7. Log Analytics ワークスペース メニューから、Sentinel ワークスペースを選択します。

8. 保存 を選択します。
   

Sentinel コンテンツ ハブからグローバル セキュリティで保護されたアクセス ソリューションをインストールする

グローバル セキュア アクセス ソリューションには、3 つのブックと 7 つの分析ルールが含まれています。 ソリューションをインストールするには:

1. Microsoft Defender ポータルにサインインします。
2. Microsoft Sentinel>コンテンツ管理>コンテンツ ハブに移動します。
3. [ 検索 ] フィールドに「 Global Secure Access」 と入力してカタログをフィルター処理します。
4. グローバル セキュリティで保護されたアクセス ソリューションを選択します。 その説明が開きます。
5. [ インストール] を選択して、ソリューションをワークスペースに追加します。

ソリューションがインストールされたら、そのワークブックと分析規則を有効にできます。 Network Traffic Insights と MCP サーバー ダッシュボードのブックに必要なのは、既に構成したグローバル セキュリティで保護されたアクセス診断設定のみです。 Enriched Microsoft 365 ログ では、Microsoft 365 の監査データも必要となります。このデータは、別の Sentinel データ コネクタを通じて有効にする必要があります。 次のセクションを参照してください。

拡張 Microsoft 365 ログを有効にする (省略可)

Enriched Microsoft 365 ログ ワークブックは、OfficeActivity テーブル内の Microsoft 365 監査イベントと NetworkAccessTraffic テーブル内の Global Secure Access トラフィックを関連付けます。 この相関関係により、デバイス ID、オペレーティング システム、および元のソース IP アドレスを使用して、Microsoft 365 イベントが強化されます。 ブロックされたアクセスの診断、パフォーマンスの問題のトラブルシューティング、完全なネットワーク コンテキストを使用したユーザー アクティビティの調査に役立ちます。

OfficeActivity はMicrosoft Entra診断カテゴリではありません。 Microsoft Sentinel の Microsoft 365 (Office 365) データ コネクタは、Microsoft 365 の統合監査ログ (Exchange、SharePoint、Teams のアクティビティ) を Log Analytics ワークスペースに取得してストリーミングします。

エンリッチされたMicrosoft 365 ログを有効にするには:

1. テナントのMicrosoft 365統合監査ログが有効になっていることを確認します。 ほとんどのテナントでは、統合監査ログが既定でオンになっています。
2. Microsoft Defender ポータルにサインインします。
3. Microsoft Sentinel>構成>データ コネクタに移動します。
4. Microsoft 365 (Office 365) データ コネクタを検索して開きます。 [Open connector page](コネクタ ページを開く) を選択します。
5. Configurationで、 ストリーミングするワークロード (Exchange、SharePoint、および Teams) を選択し、Apply Changes を選択します。 完全なガイダンスについては、「Connect Office 365 logs to Microsoft Sentinelを参照してください。
6. 同じMicrosoft Sentinel ワークスペースが NetworkAccessTraffic データと OfficeActivity データの両方を受け取っていることを確認します。 ワークブックでは、同じワークスペースに取り込まれるイベントのみを関連付けることができます。

OfficeActivityがデータを取得していることを確認するには、データフローの検証の手順に従い、高度なハンティング>ログ管理で、Global Secure Access テーブルの横に OfficeActivity が表示されていることを確認してください。

データ フローを検証する

グローバル セキュリティで保護されたアクセスから Microsoft Sentinel へのデータ フローを検証するには:

1. Microsoft Defender ポータルにサインインします。
2. Microsoft Sentinel>Configuration>Tables に移動します。
3. [テーブル] ビューで、フィルターまたは検索を使用して、次の Sentinel テーブルがワークスペースにあることを確認します。
   • NetworkAccessTraffic
   • NetworkAccessConnectionEvents
   • NetworkAccessGenerativeAIInsights (プレビュー)
   • RemoteNetworkHealthLogs
   • NetworkAccessAlerts
   • OfficeActivity（拡張 Microsoft 365 のログを有効にしている場合）

注

Microsoft Sentinel は、Log Analytics ワークスペースにデータを取り込むときにテーブルを作成します。 データ インジェストがない場合、テーブルはワークスペースに存在しません。

分析ルールを有効にする

グローバル セキュリティで保護されたアクセス ソリューションから分析規則を有効またはカスタマイズできます。 詳細については、「 Microsoft Sentinel での分析ルールの作成と管理」を参照してください。

グローバル セキュリティで保護されたアクセス ソリューションには、次の分析規則が含まれています。

規則名	Severity	Description	MITRE ATT&CK
TI ドメイン エンティティ照合	中	グローバル セキュリティで保護されたアクセス DestinationFqdn を、 ThreatIntelIndicators テーブルの脅威インテリジェンス ドメイン名の侵害インジケーター (IOC) と関連付けます。	コマンドと制御 (T1071)
TI IP エンティティ照合	中	グローバル セキュリティで保護されたアクセス DestinationIp を、 ThreatIntelIndicators テーブルの脅威インテリジェンス IP アドレス IOC と関連付ける。	コマンドと制御 (T1071)
TI URL エンティティ照合	中	グローバル セキュリティで保護されたアクセス DestinationUrl を、 ThreatIntelIndicators テーブルの脅威インテリジェンス URL IOC と関連付けます。	コマンドと制御 (T1071)
送信元から宛先への IP の異常な拒否レート	中	送信元 IP と宛先 IP の間の拒否レートの統計的異常を検出します。 5 日間にわたるベースラインを学習し、偏差にフラグを設定します。	初期アクセス、データ持ち出し、コマンド＆コントロール (T1571)
宛先ポートのプロトコルの変更	中	学習したベースラインと比較して、宛先ポートのプロトコルの不一致を検出します。 プロトコルの不正使用またはトンネリングの可能性を示します。	防御回避、情報窃取、コマンド＆コントロール (T1571)
複数の開放ポートをスキャンしている送信元IP	中	100 以上の個別のポートを 30 秒でスキャンするソース IP を識別します。 グローバル セキュア アクセスを介した偵察とポート スキャンを検出します。	探索 (T1046)
業務時間外の接続	High	午前 8 時前または午後 6 時以降に発生する接続にフラグを設定します。 許可されていないアクセスまたは資格情報の侵害の可能性を示します。	初期アクセス (T1078、T1133)

事前構成済みのワークブックを表示する

Global Secure Access ソリューションには、次の事前構成済みワークブックが含まれています。 各ブックでは、セキュリティ運用をサポートするために、Global Secure Access のアクティビティをそれぞれ異なる観点で表示します。

ネットワークトラフィックの分析情報

インターネット、Microsoft 365、プライベート アクセスを介したグローバル セキュリティで保護されたアクセス トラフィックのエンド ツー エンドビューを提供する対話型ダッシュボード。 このブックを、異常、トラフィックの急増、ポリシーのドリフト、誤用を特定するための Global Secure Access トラフィックの運用ペインとして使用します。

• プライマリ データ ソース: NetworkAccessTrafficLogs 診断設定カテゴリ。 NetworkAccessTraffic Sentinel テーブルにストリーム配信されます。
• このブックを使用して、次の操作を行います。
  • トラフィックの概要を取得し、ボリュームを分析します。
  • 上位の宛先と帯域幅コンシューマーを特定します。
  • ブロックされたトラフィックを検出し、ポリシーへの影響を検証します。
  • トラフィックの傾向とアクセス パターンを監視します。
• 要件: Global Secure Access の診断設定が有効になっており、NetworkAccessTrafficLogs が Microsoft Sentinel にストリーミングされていること。

強化された Microsoft 365 ログ ワークブック

監査イベントMicrosoft 365グローバル セキュリティで保護されたアクセス ネットワーク トラフィックと関連付けて、ユーザー、デバイス、ネットワーク コンテキストをMicrosoft 365アクティビティに追加します。 このブックを使用して、ネットワーク テレメトリと監査証拠を組み合わせて、より強力な調査を行います。

• 主要なデータ ソース: NetworkAccessTrafficLogs と Microsoft 365 監査ログ。これらは NetworkAccessTraffic および OfficeActivity Sentinel テーブルにストリーミングされます。
• 関連付けキー: UniqueTokenId。
• このブックを使用して、次の操作を行います。
  • 元Microsoft 365ソース IP アドレスを使用してアクセスを調査します。
  • どのリソースにアクセスしたか、どのデバイスからアクセスしたかを特定します。
  • 監査ログとフォレンジックのネットワーク証拠を組み合わせます。
  • 完全なコンテキストでインシデント調査と脅威ハンティングを強化します。
• Requirements: NetworkAccessTrafficLogs と Microsoft 365 OfficeActivity ログの両方が同じMicrosoft Sentinel ワークスペースにストリーミングされます。 Microsoft 365ログを有効にするには、「エンリッチされたMicrosoft 365 ログを有効にする (省略可能)を参照してください。

MCP サーバー ダッシュボード (プレビュー)

AI エージェントとユーザーが組織全体で生成するモデル コンテキスト プロトコル (MCP) トラフィックを視覚化します。 このブックを使用して、AI 主導のトラフィックの可視性を向上させ、非管理対象または非準拠の MCP サービスを識別します。

• プライマリ データ ソース: NetworkAccessGenerativeAIInsights 診断設定カテゴリ。 NetworkAccessGenerativeAIInsights Sentinel テーブルにストリーム配信されます。
• このブックを使用して、次の操作を行います。
  • MCP クライアントとサーバーのトラフィックを監視します。
  • AI エージェントの使用パターンを特定します。
  • シャドウ MCP サーバーを検出します。
  • 生成AIアプリケーションのアクティビティを分析します。
• 前提条件: Global Secure Access で生成AI と MCP のログ記録が有効になっており、NetworkAccessGenerativeAIInsights が Microsoft Sentinel にストリーミングされること。

ワークブック ダッシュボードを表示するには:

1. Microsoft Defender ポータルにサインインします。
2. Microsoft Sentinel>コンテンツ管理>コンテンツ ハブに移動します。
3. コンテンツ ハブで、グローバル セキュリティで保護されたアクセス ソリューションを展開します。
4. 事前構成済みのワークブックのいずれか 1 つを選択してください。
5. ［テンプレートの表示］を選択します。 ワークブック ダッシュボードが開きます。

関連コンテンツ

• Microsoft Sentinel とは
• アクティビティ ログの Microsoft Entra 診断設定を構成する
• Microsoft Defender ポータルの Microsoft Sentinel
• Microsoft Sentinel で分析ルールを作成および管理する