ラボ 27 オプション - Microsoft Entra データ ソースに対する Microsoft Sentinel Kusto クエリ

このラボでは、Microsoft Entra ID データ ソースを操作し、Kusto 照会言語 (KQL) を使用してハンティング クエリを実行することで、Microsoft Sentinel を探索します。 データ ソースの接続方法、Microsoft Sentinel ワークスペースの作成方法、セキュリティ オペレーション タスクの一部としてクエリを実行する方法を確認します。

注 - 現時点では、このラボは、提供されているトレーニング ラボ環境で完了することができません。 ここではラボの手順を終了するので、必要に応じて Bring You Own サブスクリプション (BYOS) 環境で試すことができます。 可能な内容を確認するには、手順を読んでください。 現在、このラボ環境での回避策を見つけるために積極的に取り組んでおり、まもなく更新される予定です。

ログインの種類: Azure リソース ログイン

ラボのシナリオ

Microsoft Sentinel は、スケーラブルでクラウドネイティブの SIEM および SOAR ソリューションです。 Microsoft とサードパーティのセキュリティ ソリューションからデータ ソースを接続すると、セキュリティ操作タスクを実行できます。 このラボ演習では、Kusto 照会言語 (KQL) を使用してハンティング クエリを実行するための Microsoft Entra ID へのデータ コネクタを備えた Microsoft Sentinel ワークスペースを作成します。

予想所要時間: 30 分

演習 1 - Kusto クエリ用に Microsoft Sentinel を構成する

タスク 1 - Microsoft Sentinel ワークスペースを作成する

  1. Microsoft Azure portal (https://portal.azure.com ) にグローバル管理者としてサインインします。

  2. Microsoft Sentinel を検索して選択します。

  3. 左上隅にある [+ 作成] を選択します。

  4. [ワークスペースへの Microsoft Sentinel の追加] タイルで、[+ 新しいワークスペースの作成] を選択します。

  5. [リソース グループ] で、 [新規作成] を選択し、「Sentinel-RG」と入力します。

  6. ワークスペースに名前を付けます。 例 - SentinelLogAnalytics。

  7. お近くのリージョンを選択します。

  8. [確認および作成] 、 [作成] の順に選択します。

  9. デプロイが完了したら、[リソースに移動] を選択します。

  10. Microsoft Azure portal で、[Microsoft Sentinel] を検索して選択します。

  11. [+ 作成] を選択し、以前に作成した既存のワークスペースを選択し、[追加] を選択して、ワークスペースを Microsoft Sentinel にオンボードします。

  12. ダイアログが表示されたら、 [OK] を選択して Microsoft Sentinel の無料試用版をアクティブにします。

タスク 2 - Microsoft Entra ID をデータ ソースとして追加する

  1. Microsoft Sentinel の左側のナビゲーション メニューで、[コンテンツ管理] を展開し、[コンテンツ ハブ] を選択します。

  2. 検索ボックスを使用してコネクタの一覧で [Entra] を検索し、[Microsoft Entra ID] を見つけてチェックボックスをオンにします。

  3. 右側にプレビュー タイルが開きます。 [インストール] を選択します。

  4. インストールが完了したら、左側のナビゲーション メニューで、[構成] を展開し、[データ コネクタ] を選択します。

    注 - インストールされている 1 つのコネクタが表示され、Microsoft Entra ID が一覧に表示されます。

  5. [Microsoft Entra ID]、[コネクタ ページを開く] の順に選択します。

  6. コネクタ ページに、データ コネクタの手順と次のステップが提供されます。 構成を続行するための各前提条件の横にチェック マークがあることを確認します。

  7. [構成] で、 [サインイン ログ] と [監査ログ] のチェック ボックスをオンにします。 追加のログ ソースを利用できますが、現在プレビュー段階であり、このコースの対象外です。

  8. [変更の適用] を選択します。

  9. 変更が正常に適用されたことを示す通知が表示されます。 コネクタ ページの右上にある [X] を選択して、Microsoft Sentinel ワークスペースに移動します。

  10. **[Microsoft Sentinel データ コネクタ]** タイルで [更新] を選択すると、数値 1 が [接続済み] の数に表示されます。

    注 - Microsoft Entra ID データ コネクタがアクティブ数に表示されるまでに数分かかる場合があります。

タスク 3 - ユーザー アクティビティで Kusto クエリを実行する

  1. Microsoft Sentinel で、 [全般] メニュー見出しの下にある [ログ] に移動します。

  2. [Log Analytics へようこそ] ウィンドウを閉じます。

  3. サンプル クエリが表示されているウィンドウが開いたら、[監査] を選択し、[ユーザー ID] を検索します。

  4. [実行] を選択します。

  5. Microsoft Entra ID のユーザー ID の一覧が表示されます。 ワークスペースを作成したばかりのため、結果が表示されない場合があります。 クエリの形式に注意してください。

演習の概要

この演習では、Microsoft Sentinel ワークスペースを作成し、サインイン ログと監査ログ用に Microsoft Entra ID データ コネクタを接続し、データに対して KQL ハンティング クエリを実行しました。 この演習では、ID テレメトリを SIEM に取り込み、Kusto 照会言語を使用して調査する方法を示しました。