次の方法で共有


Microsoft Defender ポータルにMicrosoft Sentinelを接続する

Microsoft Sentinelは、Microsoft Defender XDRまたは E5 ライセンスの有無にかかわらず、Microsoft Defender ポータルで一般公開されています。 Microsoft SentinelをMicrosoft Defender XDR一緒に Defender ポータルにオンボードすると、インシデント管理や高度なハンティングなどの機能が統合されます。 ツールの切り替えを減らし、インシデント対応を迅速化し、侵害を迅速に停止する、よりコンテキストに焦点を当てた調査を構築します。 詳細については、以下を参照してください:

前提条件

開始する前に、機能ドキュメントを確認して、製品の変更と制限事項を理解してください。

Microsoft Defender ポータルでは、1 つのMicrosoft Entra テナントと、プライマリ ワークスペースと複数のセカンダリ ワークスペースへの接続がサポートされています。 Microsoft Sentinelオンボード時にワークスペースが 1 つだけの場合、そのワークスペースはプライマリ ワークスペースとして指定されます。 詳細については、「Defender ポータルの複数のMicrosoft Sentinel ワークスペース」を参照してください。 この記事のコンテキストでは、ワークスペースは、Microsoft Sentinelが有効になっている Log Analytics ワークスペースです。

Microsoft Sentinelの前提条件

Defender ポータルでMicrosoft Sentinelをオンボードして使用するには、次のリソースとアクセス権が必要です。

  • Microsoft Sentinelが有効になっている Log Analytics ワークスペース

  • Defender ポータルでMicrosoft Sentinelのサポート要求をオンボード、使用、作成するための適切なロールを持つ Azure アカウント。 Defender ポータルには、必要なアクセス許可がない場所にオンボードするワークスペースは表示されません。 次の表は、必要な主要なロールの一部を示しています。

    タスク Microsoft Entraまたは Azure 組み込みロールが必要 範囲
    Defender ポータルへのMicrosoft Sentinelのオンボード Microsoft Entra IDの次のいずれか:

    - グローバル管理者 AND サブスクリプション所有者
    - セキュリティ管理者 AND サブスクリプション 所有者
    - グローバル管理者およびユーザー アクセス管理者共同作成者Microsoft Sentinel
    - セキュリティ管理者AND ユーザー アクセス管理者共同作成者Microsoft Sentinel
    Tenant
    セカンダリ ワークスペースの接続または切断 以下のいずれか:

    - グローバル管理者 AND サブスクリプション所有者
    - セキュリティ管理者 AND サブスクリプション 所有者
    - グローバル管理者およびユーザー アクセス管理者共同作成者Microsoft Sentinel
    - セキュリティ管理者AND ユーザー アクセス管理者共同作成者Microsoft Sentinel
    - サブスクリプション 所有者
    - ユーザー アクセス管理者AND Microsoft Sentinel 共同作成者
    - サブスクリプション所有者ロールまたはユーザー アクセス管理者ロール

    - 共同作成者のサブスクリプション、リソース グループ、ワークスペース リソースMicrosoft Sentinel
    プライマリ ワークスペースを変更する Microsoft Entra IDのグローバル管理者またはセキュリティ管理者 Tenant
    Defender ポータルでMicrosoft Sentinelを表示する Microsoft Sentinel リーダー サブスクリプション、リソース グループ、またはワークスペース リソース
    データ テーブルMicrosoft Sentinelクエリを実行するか、インシデントを表示する Microsoft Sentinel閲覧者または次のアクションを持つロール:
    - Microsoft.OperationalInsights/workspaces/read
    - Microsoft.OperationalInsights/workspaces/query/read
    - Microsoft.SecurityInsights/Incidents/read
    - Microsoft.SecurityInsights/incidents/comments/read
    - Microsoft.SecurityInsights/incidents/relations/read
    - Microsoft.SecurityInsights/incidents/tasks/read
    サブスクリプション、リソース グループ、またはワークスペース リソース
    インシデントに対する調査アクションの実行 Microsoft Sentinel共同作成者または次のアクションを持つロール:
    - Microsoft.OperationalInsights/workspaces/read
    - Microsoft.OperationalInsights/workspaces/query/read
    - Microsoft.SecurityInsights/incidents/read
    - Microsoft.SecurityInsights/incidents/write
    - Microsoft.SecurityInsights/incidents/comments/read
    - Microsoft.SecurityInsights/incidents/comments/write
    - Microsoft.SecurityInsights/incidents/relations/read
    - Microsoft.SecurityInsights/incidents/relations/write
    - Microsoft.SecurityInsights/incidents/tasks/read
    - Microsoft.SecurityInsights/incidents/tasks/write
    サブスクリプション、リソース グループ、またはワークスペース リソース
    サポート リクエストの作成 所有者 または
    Contributor または
    Support 要求共同作成者 、または Microsoft.Support/* を使用したカスタム ロール
    サブスクリプション

    Microsoft Sentinelを Defender ポータルに接続した後、既存の Azure ロールベースのアクセス制御 (RBAC) アクセス許可を使用すると、アクセス権を持つMicrosoft Sentinel機能を操作できます。 Azure RBAC の変更が Defender ポータルに反映されるため、引き続きAzure portalからMicrosoft Sentinel ユーザーのロールとアクセス許可を管理します。

    詳細については、「Microsoft Sentinelのロールとアクセス許可」および「リソース別にMicrosoft Sentinel データへのアクセスを管理する」を参照してください。

    重要

    Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。 これにより、組織のセキュリティが向上します。 グローバル管理者は高い特権を持つロールであり、既存のロールを使用できない場合の緊急時に限定する必要があります。

統合セキュリティ操作の前提条件

Defender ポータルでMicrosoft Defender XDRとMicrosoft Sentinelのセキュリティ操作を統合するには、次のリソースとアクセス権が必要です。

該当する場合は、次の前提条件を満たします。

サービス 前提条件
Microsoft Purview インサイダー リスク管理 organizationでMicrosoft Purview インサイダー リスク管理を使用する場合は、プライマリ ワークスペースでデータ コネクタ Microsoft 365 Insider Risk Management を有効にして、そのデータを統合Microsoft Sentinel。 Defender ポータルにオンボードする予定のMicrosoft Sentinelに対して、セカンダリ ワークスペースでそのコネクタを無効にします。

- プライマリ ワークスペースの Content ハブからMicrosoft Purview インサイダー リスク管理 ソリューションをインストールします。
- データ コネクタを構成します。

詳細については、「すぐに使用Microsoft Sentinelコンテンツを検出して管理する」を参照してください。
Microsoft Defender for Cloud テナントのすべてのサブスクリプション間で関連付けられた Defender for Cloud インシデントを、Microsoft Sentinelのプライマリ ワークスペースにストリーミングするには:

- プライマリ ワークスペース内のテナント ベースの Microsoft Defender for Cloud (プレビュー) データ コネクタを接続します。
- テナント内のすべてのワークスペースからサブスクリプション ベースの Microsoft Defender for Cloud (レガシ) アラート コネクタを切断します。

Defender for Cloud の相関テナント データをプライマリ ワークスペースにストリーミングしない場合は、ワークスペースで引き続きサブスクリプション ベースの Microsoft Defender for Cloud (レガシ) コネクタを使用します。 詳細については、「統合を使用してクラウド インシデントのMicrosoft Defender Microsoft Defender XDR取り込む」を参照してください。

オンボード Microsoft Sentinel

Microsoft Sentinel ワークスペースを Defender ポータルに接続するには、次の手順を実行します。 Defender XDRなしでMicrosoft Sentinelオンボードする場合は、Microsoft Sentinelと Defender ポータルとの接続をトリガーする追加の手順があります。

  1. Microsoft Defender ポータルに移動し、サインインします。
  2. Defender ポータルでDefender XDRせずにMicrosoft Sentinelをオンボードするには:
    1. Microsoft Sentinelを使用して接続をトリガーするには、[調査 & 応答>Incidents] を選択します。
    2. 接続が完了するまで数分待ちます。
  3. Defender ポータルで、[概要] を選択 します
  4. [ ワークスペースの接続] を選択します
  5. 接続するワークスペースを選択し、[ 次へ] を選択します。
  6. [ プライマリ] ワークスペースを選択します。
  7. ワークスペースの接続に関連する製品の変更を読み、理解します。
  8. [接続] を選択します。

ワークスペースが接続されると、[ 概要 ] ページのバナーに、環境の準備ができていることが示されます。 [概要] ページは、データ コネクタの数や自動化ルールなどのMicrosoft Sentinelからのメトリックを含む新しいセクションで更新されます。

Defender ポータルでMicrosoft Sentinel機能を調べる

ワークスペースを Defender ポータルに接続すると、Microsoft Sentinel左側のナビゲーション ウィンドウに表示されます。 Defender XDRが有効になっている場合、概要インシデント高度なハンティングなどのページには、Microsoft SentinelとDefender XDRのプライマリ ワークスペースからの統合データがあります。 Defender XDRを有効にしていない場合、これらのページにはMicrosoft Sentinelからのデータだけが含まれます。 統合された機能とポータル間の違いの詳細については、Microsoft Defender ポータルのMicrosoft Sentinelに関するページを参照してください。

既存のMicrosoft Sentinel機能の多くは、Defender ポータルに統合されています。 これらの機能については、Azure portal ポータルと Defender ポータルでのMicrosoft Sentinel間のエクスペリエンスが似ている点に注意してください。 Defender ポータルでMicrosoft Sentinelの操作を開始するには、次の記事を使用します。 これらの記事を使用する場合、このコンテキストの出発点は、Azure portalではなく Defender ポータルであることに注意してください。

Defender ポータルの [System>Settings>Microsoft Sentinel でMicrosoft Sentinel設定を見つけます。

プライマリ ワークスペースを変更する

一度に Defender ポータルに接続できるプライマリ ワークスペースは 1 つだけです。 ただし、プライマリ ワークスペースは変更できます。

  1. Defender ポータルで、[System>Settings>Microsoft Sentinel>Workspaces] に移動します。
  2. プライマリにするワークスペースの名前を選択します。
  3. [ プライマリとして設定] を選択します
  4. プライマリ ワークスペースの変更に関連する製品の変更を読み、理解します。
  5. [ 確認] を選択して続行します

Microsoft Sentinelのプライマリ ワークスペースを切り替えると、Defender XDR コネクタが新しいプライマリに接続され、前のプライマリから自動的に切断されます。 詳細については、「Defender ポータルの複数のMicrosoft Sentinel ワークスペース」を参照してください。

オフボード Microsoft Sentinel

Defender ポータルからワークスペースをオフボードする場合は、ワークスペースをMicrosoft Sentinelの設定から切断します。

  1. Microsoft Defender ポータルに移動し、サインインします。

  2. Defender ポータルの [システム] で、[設定>Microsoft Sentinel] を選択します。

  3. [ワークスペース] ページ 、接続されているワークスペースと [切断] ワークスペースを選択します。

  4. ワークスペースを切断する理由を指定します。

  5. 選択内容を確認します。

    ワークスペースが切断されると、Defender ポータルの左側のナビゲーションから Microsoft Sentinel セクションが削除されます。 Microsoft Sentinelからのデータは、[概要] ページに含まれなくなりました。

別のワークスペースに接続する場合は、[ ワークスペース] ページでワークスペースと [ ワークスペースの接続] を選択します。