Microsoft Sentinel のコンポーネントとパターン

この記事では、Microsoft Sentinel ソリューションのさまざまなコンポーネントと、それらが連携して重要な顧客シナリオに対処する方法について説明します。

Sentinel プラットフォームには、データレイク、グラフ、Jupyter Notebook ジョブ、モデルコンテキストプロトコル (MCP) サーバー、300 を超える Sentinel コネクタからのデータが含まれており、お客様がコスト効率の高い方法でセキュリティデータを一元化して分析するのに役立ちます。これらの機能と Microsoft Security Copilot を使用すると、お客様とパートナーは、Microsoft セキュリティストアを通じて公開できる、インパクトのあるソリューションを作成できます。

Sentinel SIEM は、検出の生成、悪意のある動作の調査、脅威の修復を行うために、セキュリティ運用 (SOC) チームによって使用されます。新しいデータを取り込む Sentinel コネクタを作成し、分析ルール、プレイブック、ハンティングクエリ、パーサー、ブックなどのコンテンツを作成することで、パートナーは、SOC チームが脅威を特定し、適切に対応するために必要な情報を取得するのに役立ちます。 Sentinel SIEM ソリューションは、Sentinel のコンテンツハブを介して発行されます。

データコレクション

プラットフォームコンポーネントを使用するソリューションを構築する場合でも、Sentinel SIEM 統合をターゲットにしている場合でも、シナリオに適したデータを用意することが重要です。

Sentinel コネクタは Sentinel にデータを取り込みます。これにより、Jupyter ノートブックとジョブを使用してレイク内で分析したり、分析ルールやハンティングクエリなどの Sentinel SIEM コンテンツで対処したりできます。

そのデータには、次の型を含めることができます。

タイプ	説明
処理されていないデータ	検出プロセスとハンティングプロセスをサポートします。悪意のあるアクティビティの兆候が存在する可能性がある生の運用データを分析します。 Microsoft Sentinel の組み込みのハンティングおよび検出機能を使用して、新しい脅威を特定するなどの目的で、未処理のデータを Microsoft Sentinel に取り込みます。例: Syslog データ、Syslog を使用した CEF データ、アプリケーション、ファイアウォール、認証、アクセスログなど。
セキュリティの結論	アラートの可視性と相関関係の機会を作成します。アラートと検出は、脅威に関して既に作成されている結論です。 Microsoft Sentinel の調査で表示されているすべてのアクティビティとその他の検出をコンテキスト内で検出することにより、アナリストの時間を節約し、インシデントの全体像を作成できます。その結果、優先順位が向上し、意思決定が向上します。例: マルウェア対策アラート、疑わしいプロセス、既知の無効なホストとの通信、ブロックされたネットワークトラフィック、疑わしいログオン、パスワードスプレー攻撃の検出、検出されたフィッシング攻撃、データ流出イベントなど。
参照データ	参照された環境を使用してコンテキストを構築し、調査作業を節約し、効率を高めます。例: CMDB、価値の高い資産データベース、アプリケーション依存関係データベース、IP 割り当てログ、強化の脅威インテリジェンスコレクションなど。
脅威インテリジェンス	既知の脅威のインジケーターを示すことによって、脅威の検出を強化します。脅威インテリジェンスには、将来の防止のために保持されている即時の脅威または履歴インジケーターを表す現在のインジケーターを含めることができます。履歴データセットは多くの場合、Microsoft Sentinel に直接インポートするのではなく、多くの場合、アドホックで適切に参照されます。

パーサー

パーサーは、サードパーティ製品のカスタムデータを正規化された ASIM スキーマに変換する KQL 関数です。正規化により、SOC アナリストは新しいスキーマに関する詳細を学習する必要がないようにし、その代わりに、既に理解している正規化されたスキーマに対して分析ルールとハンティングクエリを構築できます。 Microsoft Sentinel が提供する利用可能な ASIM スキーマを確認して、データに関連する ASIM スキーマ (1 つ以上) を特定し、SOC アナリスト向けのオンボードを容易にし、ASIM スキーマ用に書き込まれた既存のセキュリティコンテンツが製品データにすぐに適用できることを確認します。使用可能な ASIM スキーマの詳細については、「 Advanced Security Information Model (ASIM) スキーマ」を参照してください。

グラフ

データが Microsoft Sentinel に流れ込む状況や、それが検出にどの程度効果的に役立つかをグラフィカルに表示することで、顧客がデータを管理および理解するのに役立つ視覚化を含めることができます。

監視と検出

Sentinel の監視と検出機能により、顧客が SOC チームの専門知識をスケーリングするのに役立つ自動検出が作成されます。

次のセクションでは、ソリューションに含めることができる監視と検出の要素について説明します。

セキュリティコパイロットエージェント

セキュリティCopilotエージェントは、反復的なタスクを自動化し、手動ワークロードを削減します。クラウド、データのセキュリティとプライバシー、ID、ネットワークセキュリティ全体でセキュリティと IT 運用を強化します。 Sentinel の場合、エージェントは SIEM またはデータレイクに対してクエリを実行し、API を呼び出して Microsoft Sentinel データを強化できます。ノートブックジョブを利用して、集中的なデータ処理や分析を行い、任意の数のプラグインを利用できます。

Jupyter Notebook のジョブ

Jupyter Notebook ジョブは、Sentinel Data Lake の Spark ジョブを使用して複雑なデータ変換を実行し、機械学習モデルを実行するための強力なツールを提供します。これらは、Security Copilot エージェントによって使用され、データ分析と要約を実行し、継続的に実行するための決定的かつ効率的な手段を提供します。ノートブックジョブでは、エージェント、ワークブック、ハンティングクエリなどのダウンストリームコンポーネントで使用されるカスタムデータテーブルを分析層とデータレイクに書き込むことができます。

分析ルール

分析ルールは高度な検出であり、正確で意味のあるアラートを作成できます。

分析ルールをソリューションに追加して、お客様が Microsoft Sentinel のシステムからのデータを利用できるように支援します。たとえば、分析ルールを使用すると、統合によって提供されるデータで検出できるアクティビティに関する専門知識や洞察を得ることができます。

アラート (注目すべきイベント)、インシデント (調査単位)、自動化プレイブックをトリガーできます。

分析ルールを追加するには、ソリューションに分析ルールを追加し、Microsoft Sentinel (自動) コミュニティを使用します。パートナー企業のデータに対してコミュニティの創造性を促進し、信頼性が高く効果的な検出を実現できるように、コミュニティを通じて貢献します。

ハンティングクエリ

ハンティングクエリを使用すると、SOC アナリストは、現在スケジュールされている分析ルールで検出されない新しい異常を事前に検索できます。ハンティングクエリにより、SOC アナリストは、Microsoft Sentinel で既に利用可能なデータから問題を見つけるための適切な質問を行い、潜在的な脅威シナリオを特定するのに役立ちます。ハンティングクエリを含めることで、ユーザーが指定したデータで不明な脅威を見つけるのに役立ちます。

Workbooks

ブックには、ユーザーがセキュリティデータを視覚化し、データ内のパターンを識別するのに役立つ対話型のレポートとダッシュボードが用意されています。ブックの必要性は、特定のユースケースによって異なります。ソリューションを設計するときは、特にパフォーマンスを追跡するシナリオに対して、視覚的に説明するのが最適なシナリオを考えてください。

調査

Sentinel 調査グラフは、調査担当者に必要なときに関連するデータを提供し、接続されたエンティティを介してセキュリティインシデントとアラートに関する可視性を提供します。調査担当者は調査グラフを使用して、調査中の脅威に関連するイベントや関連するイベントを見つけることができます。

パートナーは、次を提供することで調査グラフに貢献できます。

Microsoft Sentinel のアラートとインシデント。パートナーソリューションの分析ルールを使用して作成されます。
パートナーが提供したデータのカスタム探索クエリ。カスタム探索クエリを使用すると、セキュリティ調査担当のデータと洞察の間に豊富な探索と接続を行うことができます。

[応答]

プレイブックは、お客様の環境全体でセキュリティ関連のタスクを実行する、高度な自動化を備えたワークフローをサポートします。 SOC アナリストが戦術的な項目によって過剰な負荷を受けないようにし、脆弱性のより戦略的で深い根本原因に焦点を当てることができるようにすることが重要です。たとえば、重大度の高いアラートが検出された場合、プレイブックは、セキュリティチームへの通知、影響を受けるシステムの分離、さらに分析のために関連するログの収集など、一連のアクションを自動的に開始できます。

たとえば、プレイブックは次のような方法で役立ちます。

パートナー製品でのお客様のセキュリティポリシーの構成を支援する
調査の意思決定を通知する追加データを収集する
Microsoft Sentinel インシデントを外部管理システムにリンクする
パートナーソリューション間でのアラートライフサイクル管理の統合する

ソリューションを設計するときは、ソリューションで定義されている分析ルールによって作成されたインシデントを解決するために実行できる自動化されたアクションについて考えてください。

Sentinel SIEM シナリオの例

次のセクションでは、一般的なパートナーシナリオと、各シナリオのソリューションに含める内容に関する推奨事項について説明します。

製品によって、セキュリティの調査に重要なデータが生成されます。

シナリオ: 製品は、セキュリティ調査を通知できるデータを生成します。

例: 何らかの形式のログデータを提供する製品としては、ファイアウォール、クラウドアプリケーションのセキュリティブローカー、物理アクセスシステム、Syslog 出力、企業向けに構築された LOB アプリケーション、サーバー、ネットワークメタデータ、Syslog または CEF 形式の Syslog を使用したすべての成果物、または JSON 形式の REST API があります。

Microsoft Sentinel でデータを使用する方法: データコネクタを使用して Microsoft Sentinel に製品のデータをインポートし、分析、ハンティング、調査、視覚化などを提供します。