Microsoft Sentinel 統合 (プレビュー)

Microsoft Defender for Cloud Appsを Microsoft Sentinel (スケーラブルなクラウドネイティブ SIEM および SOAR) と統合して、アラートと検出データを一元的に監視できます。 Microsoft Sentinel と統合すると、通常のセキュリティ ワークフローを維持しながら、クラウド アプリケーションをより適切に保護し、セキュリティ手順を自動化し、クラウドベースとオンプレミスのイベントの間で関連付けを行うことができます。

Microsoft Sentinel を使用する利点は次のとおりです。

• Log Analytics によって提供されるデータ保持期間が長くなります。
• すぐに使える視覚化。
• Microsoft Power BIや Microsoft Sentinel ブックなどのツールを使用して、組織のニーズに合った独自の検出データの視覚化を作成します。

その他の統合ソリューションは次のとおりです。

• 汎用 SIEM - Defender for Cloud Appsを汎用 SIEM サーバーと統合します。 汎用 SIEM との統合の詳細については、「 汎用 SIEM 統合」を参照してください。
• Microsoft セキュリティ グラフ API - 複数のセキュリティ プロバイダーを接続するための 1 つのプログラム インターフェイスを提供する中間サービス (またはブローカー)。 詳細については、「Microsoft Graph Security APIを使用したセキュリティ ソリューションの統合」を参照してください。

Microsoft Sentinel との統合には、Defender for Cloud Appsと Microsoft Sentinel の両方で構成が含まれます。

前提条件

Microsoft Sentinel と統合するには:

• 有効な Microsoft Sentinel ライセンスが必要です
• テナントのセキュリティ管理者以上である必要があります。

米国政府のサポート

直接Defender for Cloud Apps - Microsoft Sentinel 統合は、商用のお客様のみが利用できます。

ただし、すべてのDefender for Cloud Apps データはMicrosoft Defender XDRで使用できるため、Microsoft Defender XDR コネクタを介して Microsoft Sentinel で使用できます。

Microsoft Sentinel でDefender for Cloud Appsデータを表示することに関心がある GCC、GCC High、DoD のお客様は、Microsoft Defender XDR ソリューションをインストールすることをお勧めします。

詳細については、以下を参照してください:

• Microsoft Sentinel との統合のMicrosoft Defender XDR
• 米国政府機関向けサービスのMicrosoft Defender for Cloud Apps

Microsoft Sentinel との統合

1. Microsoft Defender ポータルで、[設定] > [Cloud Apps] を選択します。

2. [ システム] で、[ SIEM エージェント] > [SIEM エージェント > Sentinel の追加] を選択します。 以下に例を示します。

   

   注:

   以前に統合を実行した場合、Microsoft Sentinel を追加するオプションは使用できません。

3. ウィザードで、Microsoft Sentinel に転送するデータ型を選択します。 統合は、次のように構成できます。

   • アラート: Microsoft Sentinel が有効になると、アラートが自動的にオンになります。
   • 検出ログ: スライダーを使用して有効または無効にします。既定では、すべてが選択され、[適用] ドロップダウン を 使用して Microsoft Sentinel に送信される検出ログをフィルター処理します。

   以下に例を示します。

   

4. [ 次へ] を選択し、Microsoft Sentinel に進んで統合を完了します。 Microsoft Sentinel の構成については、Defender for Cloud Apps用の Microsoft Sentinel データ コネクタに関するページを参照してください。 以下に例を示します。

   

Microsoft Sentinel のアラートと検出ログ

統合が完了すると、アラートと検出ログDefender for Cloud Apps Microsoft Sentinel で表示できます。

Microsoft Sentinel の [ログ] の [Security Insights] で、Defender for Cloud Appsデータ型のログを次のように見つけることができます。

次の表では、 McasShadowItReporting スキーマの各フィールドについて説明します。

Microsoft Sentinel で Power BI とDefender for Cloud Apps データを使用する

統合が完了したら、他のツールで Microsoft Sentinel に格納されているDefender for Cloud Apps データを使用することもできます。

このセクションでは、Microsoft Power BIを使用してデータを簡単に整形および結合して、organizationのニーズを満たすレポートとダッシュボードを構築する方法について説明します。

次の手順をお試しください。

1. Power BI で、microsoft Sentinel からDefender for Cloud Apps データのクエリをインポートします。 詳細については、「Azure Monitor ログ データを Power BI にインポートする」を参照してください。

2. Defender for Cloud Apps Shadow IT Discovery アプリをインストールし、それを検出ログ データに接続して、組み込みの Shadow IT Discovery ダッシュボードを表示します。

   注:

   現在、アプリは Microsoft AppSource では公開されていません。 そのため、アプリをインストールするためのアクセス許可については、Power BI 管理者に問い合わせる必要がある場合があります。

   以下に例を示します。

   

3. 必要に応じて、Power BI Desktopでカスタム ダッシュボードを構築し、organizationのビジュアル分析とレポートの要件に合わせて調整します。

Defender for Cloud Apps アプリを接続する

1. Power BI で、[ アプリ] > [シャドウ IT 検出 アプリ] を選択します。

2. [ 新しいアプリの概要 ] ページで、[接続] を選択 します。 以下に例を示します。

   

3. [ワークスペース ID] ページで、ログ分析の概要ページに表示されている Microsoft Sentinel ワークスペース ID を入力し、[ 次へ] を選択します。 以下に例を示します。

   

4. 認証ページで、認証方法とプライバシー レベルを指定し、[サインイン] を選択 します。 以下に例を示します。

   

5. データを接続したら、ワークスペースの [データセット ] タブに移動し、[ 最新の情報に更新] を選択します。 これにより、独自のデータでレポートが更新されます。

問題が発生した場合は、こちらにお問い合わせください。 製品の問題に関するサポートを受ける場合は、サポート チケットを開いてください。