デモ: Microsoft Sentinel

このデモは、次の Learn コンテンツに対応しています。

  • ラーニング パス: Microsoft セキュリティ ソリューションの機能について説明する
  • モジュール: Microsoft Sentinel のセキュリティ機能について説明する
  • ユニット: Microsoft Sentinel の脅威の検出および軽減機能について説明する

デモのシナリオ

このデモでは、デプロイ可能なパッケージ化されたソリューションを見つけるためのコンテンツ ハブの使用など、Microsoft Sentinel で利用可能ないくつかのオプションを説明します。 ただし、まず、Microsoft Sentinel リソースにアクセスする必要があるユーザーに対してロールベースのアクセス制御アクセス許可を設定するプロセスについて説明します。

デモ パート 1

Microsoft Sentinel のインスタンスは、デモ前のセットアップの一部として作成されている必要があります。 作成されたことを確認します。

  1. ブラウザー タブ [ホーム - Microsoft Azure] を開きます。 タブを以前に閉じた場合は、ブラウザー ページを開き、アドレス バーに「https://portal.azure.com」と入力します。 認可されたラボ ホスター (ALH) から提供された Azure 資格情報を使ってサインインします。 これで、Azure サービスのホーム ページが表示されます。

  2. ページ上部の “Microsoft Azure” と表示されている青色のバーの横にある検索ボックスに、「Microsoft Sentinel」と入力し、検索結果から [Microsoft Sentinel] を選択します。

  3. Microsoft Sentinel ページで、Sentinel のインスタンスが一覧表示され、選択されます。 一覧にない場合は、ここで作成してください。

    1. [Microsoft Sentinel] ページで、[Microsoft Sentinel の作成] を選択します。

    2. [ワークスペースへの Microsoft Sentinel の追加] ページで、[新しいワークスペースの作成] を選択します。 [Log Analytics ワークスペースの作成] の [基本] タブに、次の情報を入力します。

      1. サブスクリプション: 既定値のままにします。
      2. リソース グループ: [新規作成] を選択してから、名前「SC900-Sentinel-RG」を入力し、その後 [OK] を選択します。
      3. 名前: SC900-LogAnalytics-workspace.
      4. リージョン: 米国東部 (場所に基づいて別の既定のリージョンが選択されている場合があります)
      5. [確認および作成] を選択します (タグは構成されません)。
      6. 入力した情報を確認してから、[作成] を選択します。
      7. 1 つのワークスペースが一覧表示されるまでに、1 から 2 分かかる場合があります。それでも表示されない場合は、[更新] を選択してから、[追加] を選択します。
      8. 新しいワークスペースが追加されると、[Microsoft Sentinel ニュース & ガイド] ページが表示され、Microsoft Sentinel の無料試用版がアクティブ化されていることを示します。 [OK] を選択します。
  4. 後続のタスクで使用するため、このブラウザー タブを開いたままにしておきます。

デモ パート 2

すべての Azure リソースと同様に、ユーザーが Microsoft Sentinel リソースにアクセスするための適切なアクセス許可を持っていることを確認する必要があります。 ここでは、ロールを割り当てる手順と、Microsoft Sentinel で使用できるロールを示します。

  1. 検索ボックスのページ上部にある [Microsoft Azure] と表示されている場所の隣の青色バーに、「リソース グループ」と入力し、検索結果で、[リソース グループ] を選択します。 リソース グループ レベルにロールを割り当てることで、Microsoft Sentinel をサポートするためにデプロイされるすべてのリソースにロールが適用されることが保証されます。

  2. [リソース グループ] ページで、Microsoft Sentinel を使用して作成したリソース グループ [SC900-Sentinel-RG] を選択します。

  3. [SC900-Sentinel-RG] ページの左ナビゲーション ウィンドウで、[アクセス制御 (IAM)] を選択します。

  4. [アクセス制御] ページで、[自分のアクセスの表示] を選択します。 ほとんどの場合、このサブスクリプションに対して既に構成されているカスタム ロールの割り当てが表示され、必要なアクセス許可が付与されます。 このカスタム ロールは、ラボ環境を提供する承認されたラボ ホスト (ALH) によって設定されています。 ただし、デモ目的では、Sentinel 固有のロールを表示することをお勧めします。 ウィンドウの右上隅の [X] を選択して、割り当てウィンドウを閉じます。

    1. [アクセス制御] ページで、[追加] を選択してから、[ロール割り当ての追加] を選択します。

    2. [ロール割り当ての追加] ウィンドウが開きます。 検索ボックスに「Microsoft Sentinel」と入力して、Microsoft Sentinel に関連付けられているロールを表示します。

    3. 一覧表示されている任意のロールから、表示を選択してそのロールの詳細を表示します。 ベスト プラクティスとして、ロールに必要な最小限の特権を割り当てる必要があります。

    4. ウィンドウの右上隅の [X] を選択して、ウィンドウを閉じます。

  5. アクセスの制御ページから、ウィンドウの右上隅の [X] を選択して、ウィンドウを閉じます。

デモ パート 3

デモのこの部分では、データ ソースに接続する手順を示します。 多くのデータ コネクタは、Microsoft Sentinel ソリューションの一部として、分析ルール、ブック、プレイブックなどの関連するコンテンツと共にデプロイされます。 Microsoft Sentinel のコンテンツ ハブは、そのまま使える (組み込みの) コンテンツを検出して管理するための一元的な場所です。 この手順では、コンテンツ ハブを使用して、Microsoft Sentinel の Microsoft Defender for Cloud ソリューションをデプロイします。 このソリューションを使用すると、Microsoft Defender for Cloud で報告されたセキュリティ アラートを取り込めます。

  1. Microsoft Sentinel のブラウザー タブを開きます。

  2. 左ナビゲーション パネルの [コンテンツ] を選びます。

  3. 少し下にスクロールして、使用可能なソリューションの長い一覧と、一覧をフィルター処理するオプションを確認します。 このタスクでは、Microsoft Defender for Cloud を探しています。 それを一覧から選択してください。 開いたサイド ウィンドウで説明を読み、[インストール] を選択します。 インストールが完了すると、メイン ウィンドウの状態列がインストール済みとして表示されます。

  4. Microsoft Defender for Cloud ページの右側には、コンテンツ ハブのソリューションに関連付けられている説明とメモ、およびこのソリューションの一部として含まれている内容が表示されます。 メイン ウィンドウには、ソリューションのコンポーネントが表示されます。 この場合は、2 つのデータ コネクタと 1 つのデータ ルールがあります。 オレンジ色の三角形は、ある程度の構成が必要であることを示します。 [Subscription-based Microsoft Defender for Cloud (Legacy)](サブスクリプションベースの Microsoft Defender for Cloud (レガシ)) と表示されている横にあるボックスを選択します。 ページの右側にウィンドウが開きます。 Open connector page を選択します。

  5. 構成手順に注意してください。 サブスクリプションの名前の横にあるボックスを選択し、[接続] を選択します。 状態は [接続済み] に変わります。 コネクタが有効になりましたが、コネクタがデータ コネクタ ページに表示されるまでに時間がかかる場合があります。

  6. 次に、分析ルールに関する情報を表示します。 ページの上部 (階層リンク) から、Microsoft Defender for Cloud を選択します。 コネクタを既に構成しているため、Microsoft Defender for Cloud と表示される横にあるボックスをオフにします (警告アイコンが消えるまで時間がかかる場合があります)。 [関連するセキュリティ アラートから CoreBackUp 削除アクティビティを検出する] と表示されている場所の横にあるボックスを選択します。 [分析ルール] ページが表示されます。 もう一度、[関連するセキュリティ アラートから CoreBackUp 削除アクティビティを検出する] ルールを選択します。 右側でウィンドウが開き、ルールとその動作に関する情報が示されます。 [ルールの作成] を選択します。
    1. ルール ロジックの詳細は基礎の範囲を超えていますが、ルール作成の各タブで、構成できる情報の種類を確認します
    2. [確認および作成] タブまで移動したら、[保存] を選択します。
  7. ページ上部の Analytics ルールと表示されている場所の上にあるブレッドクランプから **[Microsoft Sentinel コンテンツ ハブ]** を選択して、Sentinel ページに戻ります。

  8. コンテンツ ハブを使用することで、ソリューションを簡単かつ迅速にデプロイできることを示します。

  9. 次のタスクで使用するため、このページは開いたままにしておきます。

デモ パート 4

デモのこのパートでは、Sentinel で使用できるオプションの一部を示します。

  1. 左側のナビゲーション ウィンドウから、[ハンティング] を選択します。 ページの上部にある [クエリ] タブを選択します。追求クエリの説明を読みます。 追求クエリは、コンテンツ ハブを介して追加できます。 以前にインストールされたすべてのクエリがここに一覧表示されます。 [コンテンツ ハブに移動] を選択します。 コンテンツ ハブには、ソリューションの一部またはスタンドアロン クエリとしてクエリを含むコンテンツが一覧表示されます。 下にスクロールして、使用可能なオプションを表示します。

  2. 左側のナビゲーション ウィンドウから、[MITRE ATT&CK] を選択します。 MITRE ATT&CK は、攻撃者がよく使う戦術と手法の、一般公開されているナレッジ ベースです。 Microsoft Sentinel を使うと、MITRE ATT&CK® フレームワークの戦術と手法に基づいて、ご自分のワークスペース内で既にアクティブになっている検出と構成可能な検出を確認し、組織のセキュリティ カバレッジを把握することができます。 マトリックスから任意のセルを選択し、画面の右側にある情報に注目してください。

  3. 左側のナビゲーション ウィンドウから、[コミュニティ] を選択します。 コミュニティ ページには、Microsoft Research からのサイバーセキュリティの分析情報と更新、Microsoft Sentinel ブログの一覧へのリンク、Microsoft Sentinel フォーラムへのリンク、最新エディションの Microsoft Sentinel Hub へのリンクなどが含まれています。 これを必要に応じて確認します。

  4. 左ナビゲーション ウィンドウで、[分析] を選択します。 2 つのアクティブなルールが必要です。1 つは既定で使用でき、前のタスクで作成したルールです。 既定のルール [高度なマルチステージ攻撃検出] を選択します。 詳細情報に注目してください。 Microsoft Sentinel では、スケーラブルな機械学習アルゴリズムに基づく相関関係エンジンである Fusion を使用して、キル チェーンのさまざまな段階で観察される異常な動作と疑わしいアクティビティの組み合わせを特定することによって、マルチステージ攻撃 (永続的脅威とも呼ばれます) を自動的に検出します。 これらの検出を基に、Microsoft Sentinel では、Microsoft Sentinel 以外では検出が困難であろうインシデントが生成されます。

  5. 左ナビゲーション ウィンドウで、[自動化] を選択します。 ここでは、単純な自動化ルールを作成したり、既存のプレイブックと統合したり、新しいプレイブックを作成したりできます。 [+ 作成] を選択し、[自動化ルール] を選択します。 画面の右側に表示されるウィンドウと、条件とアクションを作成するために使用できるオプションに注目してください。 画面の下部で、[キャンセル] を選択します。

  6. 左ナビゲーション パネルで、[ブック] を選択します。 Microsoft Sentinel ブックの説明を読みます。 ブックはコンテンツ ハブを介して追加できます。以前にインストールしたブックは、ここに一覧表示されます。 [コンテンツ ハブに移動] を選択します。 コンテンツ ハブには、ソリューションの一部またはスタンドアロン ブックとしてブックを含むコンテンツが一覧表示されます。 下にスクロールして、使用可能なオプションを表示します。

  7. ウィンドウの右上隅の [X] を選択して、ウィンドウを閉じます。

  8. ウィンドウの左上隅にある青いバーのすぐ下にある [ホーム] を選択して、Azure portal のホーム ページに戻ります。

確認

このデモでは、Microsoft Sentinel をデータ ソースに接続する手順について説明し、ブックをセットアップし、Microsoft Sentinel で使用できるいくつかのオプションについて説明しました。