Microsoft Defender ポータルにMicrosoft Sentinelを接続する

Microsoft Sentinelは、Microsoft Defender ポータルで使用できます。 Microsoft Defender XDRまたは E5 ライセンスは必要ありません。 Defender ポータルでDefender XDRでMicrosoft Sentinelを使用すると、共有インシデント管理と高度なハンティングが行われます。 ツールの切り替えを減らし、より迅速かつ焦点を絞った調査を実行できます。

この記事では、前提条件、オンボード手順、使用可能な機能など、Microsoft Sentinel ワークスペースを Defender ポータルに接続する手順について説明します。 ワークスペースがまだ Defender ポータルに接続されていない場合は、次の手順に従います。 多くの場合、2025 年 7 月 1 日以降にMicrosoft Sentinelにオンボードするお客様は、自動的に Defender ポータルにオンボードされます。

詳細については、以下を参照してください:

• 統合セキュリティ操作とは
• Microsoft Defender ポータルの Microsoft Sentinel
• Microsoft Defender XDRとMicrosoft Sentinelの統合

前提条件

開始する前に、機能ドキュメントを確認して、製品の変更と制限事項を理解してください。

• Microsoft Defender ポータルの Microsoft Sentinel
• Microsoft Defender ポータルでの高度な捜索
• Microsoft Defender XDRでのアラート、インシデント、相関関係
• Defender ポータルでの Microsoft Sentinel の自動化

Microsoft Defender ポータルでは、1 つのMicrosoft Entra テナントと、プライマリ ワークスペースと複数のセカンダリ ワークスペースへの接続がサポートされています。 Microsoft Sentinelオンボード時にワークスペースが 1 つだけの場合、そのワークスペースはプライマリ ワークスペースとして指定されます。 詳細については、「Defender ポータルの複数のMicrosoft Sentinel ワークスペース」を参照してください。 この記事のコンテキストでは、ワークスペースは、Microsoft Sentinelが有効になっている Log Analytics ワークスペースです。

Microsoft Sentinelの前提条件

1 つのワークスペースに対して Defender ポータルでMicrosoft Sentinelをオンボードして使用するには、次のリソースとアクセス権が必要です。

• Microsoft Sentinelが有効になっている Log Analytics ワークスペース

• Defender ポータルでMicrosoft Sentinelのサポート要求をオンボード、使用、作成するための適切なロールを持つAzure アカウント。 必要なアクセス許可のないワークスペースは、Defender ポータル上のオンボーディング画面には表示されません。

次の表は、1 つのワークスペースのセットアップに必要な主要なロールの一部を示しています。 複数のワークスペースに関連するアクセス許可については、「 ワークスペースを管理し、ワークスペース データを表示するためのアクセス許可」を参照してください。

オンボーディングでは、Owner ロールの割り当てはサブスクリプション スコープで条件なしである必要があります。

タスク	Microsoft EntraまたはAzure組み込みロールが必要です	Scope
Microsoft Sentinel を Defender ポータルにオンボードする1	Microsoft Entra ID の セキュリティ管理者 以上 所有者 (無条件ロールの割り当て) または ユーザー アクセス管理者 と Microsoft Sentinel 共同作成者	Tenant - 所有者ロール向けのサブスクリプション
Defender ポータルでMicrosoft Sentinelを表示する	Microsoft Sentinel リーダー	サブスクリプション、リソース グループ、またはワークスペース リソース
Microsoft Sentinel のデータ テーブルをクエリするか、インシデントを表示する	Microsoft Sentinel Readerまたは次のアクションを含むロール: - Microsoft.OperationalInsights/workspaces/read - Microsoft.OperationalInsights/workspaces/query/read - Microsoft.SecurityInsights/Incidents/read - Microsoft.SecurityInsights/incidents/comments/read - Microsoft.SecurityInsights/incidents/relations/read - Microsoft.SecurityInsights/incidents/tasks/read	サブスクリプション、リソース グループ、またはワークスペース リソース
インシデントに対する調査アクションの実行	Microsoft Sentinel 共同作成者または次のアクションが許可されているロール: - Microsoft.OperationalInsights/workspaces/read - Microsoft.OperationalInsights/workspaces/query/read - Microsoft.SecurityInsights/incidents/read - Microsoft.SecurityInsights/incidents/write - Microsoft.SecurityInsights/incidents/comments/read - Microsoft.SecurityInsights/incidents/comments/write - Microsoft.SecurityInsights/incidents/relations/read - Microsoft.SecurityInsights/incidents/relations/write - Microsoft.SecurityInsights/incidents/tasks/read - Microsoft.SecurityInsights/incidents/tasks/write	サブスクリプション、リソース グループ、またはワークスペース リソース
サポート リクエストの作成	所有者 または 共同作成者 または サポート リクエスト共同作成者 または Microsoft.Support/* を含むカスタム ロール	サブスクリプション

¹ テナントにMicrosoft Sentinelが有効なワークスペースが 1 つだけある場合は、表に一覧表示されているアクセス許可を使用します。 テナントに複数のワークスペースがあり、Microsoft Sentinelが有効になっている場合は、Microsoft Entra IDのセキュリティ管理者以上である必要もあります。

複数のテナントを使用している場合は、Defender ポータルの Microsoft Sentinel データでは、きめ細かな委任された管理者特権 (GDAP) と Azure Lighthouse はサポートされていないことに注意してください。 代わりに、B2B 認証Microsoft Entra使用します。 詳細については、「マルチテナント管理Microsoft Defender設定する」を参照してください。

Microsoft Sentinelを Defender ポータルに接続した後、既存のAzureロールベースのアクセス制御 (RBAC) アクセス許可を使用すると、アクセス権を持つMicrosoft Sentinel機能を操作できます。 AZURE RBAC の変更が Defender ポータルに反映されるため、引き続きAzure portalからMicrosoft Sentinel ユーザーのロールとアクセス許可を管理します。

詳細については、「Microsoft Sentinelのロールとアクセス許可」および「リソース別にMicrosoft Sentinel データへのアクセスを管理する」を参照してください。

重要

Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。 これにより、組織のセキュリティが向上します。

統合セキュリティ操作の前提条件

Defender ポータルでMicrosoft Defender XDRとMicrosoft Sentinelのセキュリティ操作を統合するには、次のリソースとアクセス権が必要です。

• Microsoft Defender XDR の前提条件に記載されている Defender XDR のライセンス
• Defender XDRのアカウントは、Microsoft Sentinelが関連付けられているのと同じMicrosoft Entra テナントのメンバーです
• 「Microsoft Defender XDRの前提条件」で説明されているように、Defender ポータルでMicrosoft Defender XDRにアクセスする

該当する場合は、次の前提条件を満たします。

サービス	前提条件
Microsoft Purview インサイダー リスク管理	組織で Microsoft Purview インサイダー リスク管理 を使用している場合は、Microsoft Sentinel のプライマリ ワークスペースでデータ コネクタ Microsoft 365 Insider Risk Management を有効にして、そのデータを統合します。 Defender ポータルにオンボードする予定のMicrosoft Sentinelに対して、セカンダリ ワークスペースでそのコネクタを無効にします。 - プライマリ ワークスペースの Content ハブからMicrosoft Purview インサイダー リスク管理 ソリューションをインストールします。 - データ コネクタを構成します。 詳細については、「Microsoft Sentinel の既定のコンテンツを確認して管理する」を参照してください。
Microsoft Defender for Cloud	テナントのすべてのサブスクリプション間で関連付けられた Defender for Cloud インシデントを、Microsoft Sentinelのプライマリ ワークスペースにストリーミングするには: - プライマリ ワークスペース内のテナント ベースの Microsoft Defender for Cloud (プレビュー) データ コネクタを接続します。 - テナント内のすべてのワークスペースからサブスクリプション ベースの Microsoft Defender for Cloud (レガシ) アラート コネクタを切断します。 Defender for Cloud の相関テナント データをプライマリ ワークスペースにストリーミングしない場合は、ワークスペースで引き続きサブスクリプション ベースの Microsoft Defender for Cloud (レガシ) コネクタを使用します。 詳細については、「Microsoft Defender XDR 統合を使用して Microsoft Defender for Cloud インシデントを取り込む」を参照してください。

Microsoft Sentinel を導入する

この手順では、Microsoft Sentinel対応ワークスペースを Defender ポータルにオンボードする方法について説明します。

1. Microsoft Defender ポータルに移動し、サインインします。
2. System>Settings>Microsoft Sentinel>ワークスペースを接続 を選択します。
3. 接続するワークスペースを選択し、[ 次へ] を選択します。
4. [ プライマリ] ワークスペースを選択します。
5. ワークスペースの接続に関連する製品の変更を読み、理解します。
6. [接続] を選択します。

ワークスペースが接続されると、[ ホーム ] ページのバナーに環境の準備ができていることが示されます。 [ホーム] ページは、データ コネクタの数や自動化ルールなど、Microsoft Sentinelからのメトリックを含む新しいセクションで更新されます。

Defender ポータルでMicrosoft Sentinel機能を調べる

ワークスペースを接続すると、Microsoft Sentinel左側のナビゲーション ウィンドウに表示されます。 Defender XDRが有効になっている場合、ホーム、インシデント、高度なハンティングなどのページには、Microsoft SentinelとDefender XDRからの結合されたデータが表示されます。 Defender XDRしない場合、これらのページにはMicrosoft Sentinelデータのみが表示されます。 詳細については、 Microsoft Defender ポータルの Microsoft Sentinel を参照してください。

Defender ポータルには、多くのMicrosoft Sentinel機能が組み込まれています。 次の表に示す統合機能のエクスペリエンスは、Azure ポータルに似ています。 次の表の記事を使用して作業を開始します。 リンクされた記事を使用する場合は、Azure ポータルではなく、Defender ポータルから開始します。

機能カテゴリ	リンク
検索	- 大規模なデータセット内の長い期間にわたって検索する - アーカイブされたログを検索から復元する
脅威の管理	- ブックを使用してデータを視覚化および監視する - ハントでエンドツーエンドの脅威ハンティングを実施する - データ調査にハンティング ブックマークを使用する - Microsoft Sentinelでハンティング ライブストリームを使用して脅威を検出する - Jupyter ノートブックを使用してセキュリティ上の脅威を探す - CSV または JSON ファイルから Microsoft Sentinel の脅威インテリジェンスにインジケーターを一括追加する - Microsoft Sentinelで脅威インジケーターを操作する - MITRE ATT&CK フレームワークによるセキュリティ カバレッジを理解する
コンテンツ管理	- すぐに使用できる Microsoft Sentinel コンテンツを確認して管理する - Microsoft Sentinel コンテンツ ハブ カタログ - リポジトリからカスタム コンテンツをデプロイする
構成	- Microsoft Sentinel データ コネクタを見つける - 脅威を検出するカスタム分析ルールを作成する - Microsoft Sentinelでほぼリアルタイム (NRT) 検出分析ルールを使用する - ウォッチリストを作成する - Microsoft Sentinelでウォッチリストを管理する - 自動化ルールを作成する - コンテンツ テンプレートから Microsoft Sentinel のプレイブックを作成およびカスタマイズする

Defender ポータルの [System>Settings>Microsoft Sentinel] に Microsoft Sentinel の設定があります。

プライマリ ワークスペースを変更する

一度に Defender ポータルに接続できるプライマリ ワークスペースは 1 つだけです。 ただし、プライマリ ワークスペースは変更できます。

1. Defender ポータルで、[System>Settings>Microsoft Sentinel>] に移動します。
2. プライマリにするワークスペースの名前を選択します。
3. [ プライマリとして設定] を選択します。
4. プライマリ ワークスペースの変更に関連する製品の変更を読み、理解します。
5. [ 確認] を選択して続行します。

Microsoft Sentinelのプライマリ ワークスペースを切り替えると、Defender XDR コネクタが新しいプライマリに接続され、前のプライマリから自動的に切断されます。 詳細については、「Defender ポータルの複数のMicrosoft Sentinel ワークスペース」を参照してください。

Microsoft Sentinel のオフボード

Warning

ワークスペースに Microsoft Defender XDR コネクタが構成されている場合、Defender ポータルからワークスペースをオフボードすると、Microsoft Defender XDR コネクタも切断されます。 Microsoft SentinelでDefender XDRインシデントを再度受信する場合は、必ずMicrosoft Defender XDR コネクタを再接続してください。

Defender ポータルからワークスペースをオフボードするには、Microsoft Sentinelの設定からワークスペースを切断します。

1. Microsoft Defender ポータルに移動し、サインインします。

2. Defender ポータルの [システム] の下にある [設定]>[Microsoft Sentinel] を選択します。

3. [ワークスペース] ページで、接続されているワークスペースを選択し、[ワークスペースの切断] をクリックします。

4. ワークスペースを切断する理由を指定します。

5. 選択内容を確認します。

   ワークスペースが切断されると、Defender ポータルの左側のナビゲーションから Microsoft Sentinel セクションが削除されます。 Microsoft Sentinelからのデータはホーム ページに含まれなくなりました。

別のワークスペースを接続する場合は、[ ワークスペース] ページで [ ワークスペースの接続] を選択し、接続するワークスペースを選択します。

関連コンテンツ

• Microsoft Defender ポータルの Microsoft Sentinel
• Microsoft Defender ポータルでの高度な捜索
• Microsoft Defender XDRでの自動攻撃の中断
• Microsoft Defender ポータルでインシデントを調査する
• セキュリティ操作を最適化する