セキュリティデータにアクセスする

2022-03-28

Defender for IoT は、セキュリティアラート、推奨事項、生のセキュリティデータ (保存する場合) を Log Analytics ワークスペースに格納します。

ログ解析

使用する Log Analytics ワークスペースを構成するには:

IoT ハブを開きます。
[セキュリティ] セクションの下にある [設定] ブレードを選択します。
[データ収集] を選択し、Log Analytics ワークスペースの構成を変更します。

構成後に Log Analytics ワークスペースのアラートと推奨事項にアクセスするには:

Defender for IoT でアラートまたは推奨事項を選択します。
詳細な調査を選択し、[このアラートがあるデバイスを確認するには] を選択し、ここをクリックして DeviceId 列を表示します。

Log Analytics からのデータのクエリの詳細については、「 Azure Monitor でのログクエリの概要」を参照してください。

セキュリティのアラート

セキュリティアラートは、Defender for IoT ソリューション用に構成された Log Analytics ワークスペースの AzureSecurityOfThings.SecurityAlert テーブルに格納されます。

セキュリティアラートの調査を開始するのに役立つ便利なクエリが多数用意されています。

サンプルレコード

いくつかのランダムなレコードを選択する

// Select a few random records
//
SecurityAlert
| project
    TimeGenerated,
    IoTHubId=ResourceId,
    DeviceId=tostring(parse_json(ExtendedProperties)["DeviceId"]),
    AlertSeverity,
    DisplayName,
    Description,
    ExtendedProperties
| take 3

タイムジェネレイテッド	IoTHubId	デバイスID	AlertSeverity	表示名	説明	拡張プロパティ
2018-11-18T18:10:29.000	/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<device_name>	高	ブルートフォース攻撃に成功しました	デバイスに対するブルートフォース攻撃が成功しました	{ "Full Source Address": "["10.165.12.18:"]", "User Names": "["]", "DeviceId": "IoT-Device-Linux" }
2018-11-19T12:40:31.000	/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<デバイス名>	高	デバイスでのローカルログインに成功しました	デバイスへのローカルログインが成功したことが検出されました	{ "Remote Address": "?", "Remote Port": "", "Local Port": "", "Login Shell": "/bin/su", "Login Process Id": "28207", "User Name": "attacker", "DeviceId": "IoT-Device-Linux" }
2018-11-19T12:40:31.000	/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<デバイス名>	高	デバイスでのローカルログイン試行に失敗しました	デバイスへのローカルログイン試行の失敗が検出されました	{ "Remote Address": "?", "Remote Port": "", "Local Port": "", "Login Shell": "/bin/su", "Login Process Id": "22644", "User Name": "attacker", "DeviceId": "IoT-Device-Linux" }

デバイスの概要

IoT Hub、デバイス、アラートの重大度、アラートの種類別にグループ化された、先週検出された個別のセキュリティアラートの数を取得します。

// Get the number of distinct security alerts detected in the last week, grouped by
//   IoT hub, device, alert severity, alert type
//
SecurityAlert
| where TimeGenerated > ago(7d)
| summarize Cnt=dcount(SystemAlertId) by
    IoTHubId=ResourceId,
    DeviceId=tostring(parse_json(ExtendedProperties)["DeviceId"]),
    AlertSeverity,
    DisplayName

IoTHubId	デバイスID	AlertSeverity	表示名	数える
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<デバイス名>	高	ブルートフォース攻撃に成功しました	9
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<デバイス名>	ミディアム	デバイスでのローカルログイン試行に失敗しました	242
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<device_name>	高	デバイスでのローカルログインに成功しました	31
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<デバイス名>	ミディアム	暗号コインマイナー	4

IoT ハブの概要

IoT Hub、アラートの重大度、アラートの種類別に、過去 1 週間にアラートが発生した個別のデバイスの数を選択します

// Select number of distinct devices which had alerts in the last week, by
//   IoT hub, alert severity, alert type
//
SecurityAlert
| where TimeGenerated > ago(7d)
| extend DeviceId=tostring(parse_json(ExtendedProperties)["DeviceId"])
| summarize CntDevices=dcount(DeviceId) by
    IoTHubId=ResourceId,
    AlertSeverity,
    DisplayName

IoTHubId	AlertSeverity	表示名	CntDevices
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	高	ブルートフォース攻撃に成功しました	1
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	ミディアム	デバイスでのローカルログイン試行に失敗しました	1
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	高	デバイスでのローカルログインに成功しました	1
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	ミディアム	暗号コインマイナー	1

セキュリティに関する推奨事項

セキュリティに関する推奨事項は、Defender for IoT ソリューション用に構成された Log Analytics ワークスペースの AzureSecurityOfThings.SecurityRecommendation テーブルに格納されます。

セキュリティに関する推奨事項の調査を開始するのに役立つ便利なクエリが多数用意されています。

サンプルレコード

いくつかのランダムなレコードを選択する

// Select a few random records
//
SecurityRecommendation
| project
    TimeGenerated,
    IoTHubId=AssessedResourceId,
    DeviceId,
    RecommendationSeverity,
    RecommendationState,
    RecommendationDisplayName,
    Description,
    RecommendationAdditionalData
| take 2

タイムジェネレイテッド	IoTHubId	デバイスID	RecommendationSeverity	推奨状態	推奨表示名	説明	推奨追加データ
2019-03-22T10:21:06.060	/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<デバイス名>	ミディアム	アクティブです	入力チェーンで制限の少なすぎるファイアウォールルールが見つかりました	ファイアウォールで、さまざまな IP アドレスまたはポートに対して許容されるパターンを含むルールが見つかりました	{"Rules":"[{"SourceAddress":"","SourcePort":"","DestinationAddress":"","DestinationPort":"1337"}]"}
2019-03-22T10:50:27.237	/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<device_name>	ミディアム	アクティブです	入力チェーンで制限の少なすぎるファイアウォールルールが見つかりました	ファイアウォールで、さまざまな IP アドレスまたはポートに対して許容されるパターンを含むルールが見つかりました	{"Rules":"[{"SourceAddress":"","SourcePort":"","DestinationAddress":"","DestinationPort":"1337"}]"}

デバイスの概要

IoT Hub、デバイス、推奨事項の重大度、種類別にグループ化された、個別のアクティブなセキュリティに関する推奨事項の数を取得します。

// Get the number of distinct active security recommendations, grouped by
//   IoT hub, device, recommendation severity and type
//
SecurityRecommendation
| extend IoTHubId=AssessedResourceId
| summarize CurrentState=arg_max(RecommendationState, DiscoveredTimeUTC) by IoTHubId, DeviceId, RecommendationSeverity, RecommendationDisplayName
| where CurrentState == "Active"
| summarize Cnt=count() by IoTHubId, DeviceId, RecommendationSeverity

IoTHubId	デバイスID	推奨の重大度	数える
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<デバイス名>	高	2
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<device_name>	ミディアム	1
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<device_name>	高	1
/subscriptions/<subscription_id>/resourceGroups/<resource_group>/providers/Microsoft.Devices/IotHubs/<iot_hub>	<device_name>	ミディアム	4

次のステップ

Defender for IoT の概要を読む
IoT 向け Defender について学ぶデバイスビルダー向けのエージェントベースのソリューションとは何か
Defender for IoT アラートを理解して調査する
Defender for IoT の推奨事項について理解し、調査する

次の方法で共有

セキュリティ データにアクセスする

ログ解析

セキュリティのアラート

サンプル レコード

デバイスの概要

IoT ハブの概要

セキュリティに関する推奨事項

サンプル レコード

デバイスの概要

次のステップ

その他のリソース

セキュリティデータにアクセスする

サンプルレコード

サンプルレコード