Microsoft Sentinel の Out-of-the-box コンテンツの一元化の変更

[アーティクル]
06/30/2023

Microsoft Sentinel コンテンツハブを使用すると、すぐに使用できる (OOTB) コンテンツおよびソリューションの検出とオンデマンドインストールを 1 つの手順で実行できます。以前は、この OOTB コンテンツの一部は、Microsoft Sentinel のさまざまなギャラリーセクションにのみ存在していました。今回は、次のギャラリーコンテンツテンプレートの "すべて" が、コンテンツハブでスタンドアロン項目またはパッケージソリューションの一部として入手できるようになります。

データコネクタ
分析ルールテンプレート
ハンティングクエリ
プレイブックテンプレート
ブックテンプレート

コンテンツハブの変更

すべての OOTB コンテンツを一元化するために、ギャラリーのみのコンテンツテンプレートを廃止しました。従来のギャラリーコンテンツテンプレートは一貫して更新されなくなりますが、コンテンツハブでは OOTB コンテンツが最新の状態に保たれます。コンテンツハブでは、ソリューションの更新済みワークフローとスタンドアロンコンテンツの自動更新も提供されます。

この移行を容易にするために、使用中の廃止対象テンプレートを、対応するコンテンツハブソリューションから復帰させるための集中ツールを公開しました。

集中ツールを使用して "使用中" の廃止されたテンプレートを復帰させる

コンテンツハブの一元化の変更が完了したので、集中ツールの復帰プロセスを完了する方法の概要をこちらに示します。

警告バナーのリンクを選択して使用中の廃止されたギャラリーのみのコンテンツテンプレートを復帰させます。

このスクリーンショットは、ブック ギャラリーにある警告バナーの例を示しています。
リンクを選択し、ページをよく読みます。
[続行] を選択し、ツールによって生成されるコンテンツの一覧を確認します。
[Complete Centralization] (一元化の完了) を選択して、インストールを開始します。この選択は固定され、変更することはできません。

データコネクタページの変更

すべてのデータコネクタはソリューションの一部になりました。以前は、ダッシュボードの視覚化 (現在はブックと呼ばれています) を促し、サンプル KQL クエリを提供するために、データコネクタページの [次の手順] タブにこれらの項目の一部を含めていました。データコネクタページの [次の手順] 部分を廃止し、新しい "ソリューション" コンテンツの動作を採用しました。これにより、すべてのソリューションコンポーネントはデータコネクタと共に管理されます。

新しい動作を体験するには、コンテンツハブで始めることが重要です。以前の動作と新しいエクスペリエンスを比較するために、Azure Activity データコネクタを試してください。コンテンツハブからソリューションをインストールし、[管理] を選ぶと、ソリューション全体を調べることができます。 Azure Activity データコネクタの視覚化が必要な場合は、ブックのテンプレートを表示します。 KQL クエリを確認する場合は、データテーブルから始めます。高度なクエリについては、分析ルールとハンティングクエリを確認してください。

新しいソリューションコンテンツの動作の詳細については、OOTB コンテンツの検出とデプロイに関する記事を参照してください。

探しているサードパーティ製データコネクタに特化したサンプルクエリがある場合は、現在も [すべてのコネクタ] インデックスで公開しています。たとえば、こちらに Jamf Protect コネクタのサンプルクエリがあります。

Microsoft Sentinel の GitHub の変更

Microsoft Sentinel には、Microsoft とコミュニティによって審査されるコミュニティ投稿用の公式 GitHub リポジトリがあります。これは、コンテンツハブ内のほとんどのコンテンツ項目のソースです。

このコンテンツを一貫して検出できるように、OOTB コンテンツの一元化の変更は、既に Microsoft Sentinel の GitHub リポジトリにまで拡張されています。

コンテンツハブソリューションからパッケージ化されたすべての OOTB コンテンツは、GitHub リポジトリの Solutions フォルダーに格納されるようになりました。
スタンドアロンの OOTB コンテンツ項目はすべて、それぞれの場所に残ります。

コンテンツハブと Microsoft Sentinel の GitHub リポジトリに対するこれらの変更により、Microsoft Sentinel コンテンツの一元化に向けた取り組みが完了します。

この変更はいつ行われるのですか?

一元化の変更がリリースされました。 Microsoft Sentinel の GitHub の変更は既に行われています。スタンドアロンコンテンツは既存の GitHub フォルダーで入手でき、ソリューションコンテンツは Solutions フォルダーに移動されました。

[次の手順] タブの変更は既に完了しています。

変更のスコープ

この変更の対象範囲は、種類が "ギャラリーコンテンツ" であるテンプレートのみです。これらと同じすべてのテンプレートとさらに多くの OOTB コンテンツを、コンテンツハブでソリューションまたはスタンドアロンコンテンツとして入手できます。

Microsoft Sentinel の GitHub リポジトリについては、コンテンツハブでソリューションにパッケージ化された OOTB コンテンツは、GitHub リポジトリの Solutions フォルダー下にのみ一覧表示されるようになりました。その他の既存の GitHub コンテンツについては、次のフォルダーが対象範囲であり、スタンドアロンコンテンツ項目のみが含まれます。この一覧に含まれていない残りの GitHub フォルダー内のコンテンツには、変更はありません。

変更のない事項

この変更は、(テンプレートから作成されたものも、そうでないものも) アクティブまたはカスタム項目には影響しません。具体的には、この変更は次の項目には影響しません。

状態が接続済みのデータコネクタ。
分析ギャラリーの [アクティブなルール] タブにあるアラートルールまたは検出 (有効または無効)。
ブックギャラリーの [マイワークブック] タブにある保存されたブック。
ハンティングギャラリー内の複製されたコンテンツまたはコンテンツソースがカスタムのコンテンツ。
自動化ギャラリーの [アクティブなプレイブック] タブにあるアクティブなプレイブック (有効または無効)。

この変更は、コンテンツハブからインストールされた OOTB コンテンツテンプレート (コンテンツソースがコンテンツハブであることで識別可能) にも影響しません。

変更点

すべてのテンプレートギャラリーで、製品内警告バナーが表示されるようになりました。このバナーには、Microsoft Sentinel ポータル内で実行されるツールへのリンクが含まれます。ツールをアクティブ化すると、使用中の廃止対象テンプレート用のコンテンツテンプレートをコンテンツハブから復帰させるためのガイド付きエクスペリエンスが開始します。

このツールはワークスペースごとに 1 回のみ実行する必要があるため、必ず組織で計画してください。ツールが正常に実行されると、警告バナーがそのワークスペースのテンプレートギャラリーから消えます。

これらの各ギャラリーのコンテンツテンプレートに対する特定の影響を次の表に示します。 OOTB コンテンツの一元化が有効になったため、これらの変更を想定してください。

コンテンツタイプ	影響
データコネクタ	コンテンツソースがギャラリーのコンテンツ、および状態が接続されていないとして識別できるテンプレートは、データコネクタギャラリーに表示されなくなります。
Analytics	ソース名がギャラリーのコンテンツとして識別できるテンプレートは、分析ギャラリーに表示されなくなります。
ハンティング	コンテンツソースがギャラリーのコンテンツのテンプレートは、ハンティングギャラリーに表示されなくなります。
プレイブック	ソース名がギャラリーのコンテンツとして識別できるテンプレートは、自動プレイブックギャラリーに表示されなくなります。
ブック	コンテンツソースがギャラリーのコンテンツのテンプレートは、ブックギャラリーに表示されなくなります。

一元化の変更およびツール実行の前と後の分析ルールの例を次に示します。

アクティブな分析ルールは、まったく変更されません。廃止予定の分析ルールテンプレートに基づいています。

このスクリーンショットは、廃止予定の分析ルールテンプレートを示しています。
分析ルールテンプレートを復元するためにツールを実行すると、復元元のソリューションにソースが変更されます。

必要な対処

コンテンツハブから新しい OOTB コンテンツをインストールし、必要に応じてソリューションを更新して、最新バージョンのテンプレートを入手します。
使用中の既存のギャラリーコンテンツテンプレートについては、コンテンツハブからソリューションまたはスタンドアロンコンテンツ項目をインストールすることによって、今後の更新を入手します。機能ギャラリーのギャラリーコンテンツは古くなっている可能性があります。
Microsoft Sentinel の GitHub リポジトリから OOTB コンテンツを直接取得するアプリケーションまたはプロセスがある場合は、既存のコンテンツフォルダーに加えて Solutions フォルダーからも OOTB コンテンツを取得するように場所を更新します。
警告バナーおよび変更が有効になったため、ツールを実行するユーザーとそのタイミングを組織で計画してください。 使用中の廃止対象テンプレートのすべてをコンテンツハブから復元するには、ワークスペースでツールを 1 回実行する必要があります。
次の FAQ を参照して、ご使用の環境にあてはまる可能性がある詳細情報を確認してください。

コンテンツの一元化に関する FAQ

この変更は、SOC アラートの生成やインシデントの生成と管理に影響しますか?

いいえ。アクティブなアラートルールまたは検出、アクティブなプレイブック、複製されたハンティングクエリ、保存されたブックには影響はありません。 OOTB コンテンツの一元化の変更は、現在のインシデント生成および管理プロセスには影響しません。

ギャラリーコンテンツに例外はありますか?

はい。次の種類の分析ルールテンプレートは、この変更から除外されます。

異常ルールテンプレート
Fusion ルールテンプレート
ML 行動分析 (機械学習) ルールテンプレート
Microsoft セキュリティ (インシデント作成) ルールテンプレート
脅威インテリジェンスルールテンプレート

この変更は、いずれかの API に影響しますか?

はい。現在、コンテンツテンプレート管理用に存在する Microsoft Sentinel REST API 呼び出しは、アラートルールテンプレート用の Get および List 操作のみです。これらの操作はギャラリーコンテンツテンプレートを表示するだけであり、更新されません。これらの操作の詳細については、最新のアラートルールテンプレート REST API リファレンスを参照してください。

OOTB コンテンツ管理シナリオをより広範に有効にするために、コンテンツハブで新しい REST API 操作がまもなく提供される予定です。この API 更新には、一元化の変更で対象範囲になっているのと同じ種類のコンテンツ (データコネクタ、プレイブックテンプレート、ブックテンプレート、分析ルールテンプレート、ハンティングクエリ) に対する操作が含まれます。ワークスペースにインストールされている分析ルールテンプレートを更新するためのメカニズムもロードマップに含まれています。

必要な対応: 新しい OOTB コンテンツ管理 API 操作が利用可能になった場合に、コンテンツハブでそれらの操作を使用するように、アプリケーションとプロセスを更新する計画を立てます。当初、2023 年第 2 四半期に利用可能になると発表しましたが、まだ準備ができていません。

使用中の OOTB コンテンツテンプレートは集中ツールでどのように識別されますか?

このツールでは、状態が接続済みのデータコネクタと、使用中のプレイブックテンプレートという 2 つの基準に基づいてソリューションの一覧を作成します。ツールによって提案されるソリューションの一覧が作成されると、承認のためにその一覧が表示されます。一覧を承認すると、ツールはそれらすべてのソリューションをインストールします。 OOTB コンテンツはソリューションに基づいて復元されるため、実際に使用しているよりも多くのテンプレートを取得する場合があります。

この集中ツールでは、使用中の OOTB コンテンツテンプレートはベストエフォートでコンテンツハブから復元されます。省略された OOTB コンテンツは、コンテンツハブから直接インストールできます。

Microsoft Sentinel ワークスペースで API を使用してデータソースを接続している場合はどうなりますか?

現在、API のデータ接続がデータコネクタのデータ型と一致する場合は、データコネクタギャラリーに状態が接続済みと表示されます。一元化の変更が有効になった後、同じ動作を得るには、それぞれのソリューションから特定のデータコネクタをインストールする必要があります。

必要な対応: データインジェスト API を使用して接続する前に、デプロイしているデータコネクタ用のプロセスまたはツールを、コンテンツハブのソリューションからインストールするように更新する計画を立ててください。ソリューションをインストールするための REST API オペレーターは、OOTB コンテンツ管理 API と共に 2023 年の第 2 四半期に提供される予定です。

Microsoft Sentinel のリポジトリ機能を使用してコンテンツを操作している場合はどうなりますか?

リポジトリでは、特にカスタムまたはアクティブコンテンツを Microsoft Sentinel にデプロイします。 OOTB コンテンツの一元化の変更は、リポジトリ機能経由でデプロイされたコンテンツに影響しません。

ワークスペースマネージャーのデプロイグループに影響しますか?

リポジトリと同様に、ワークスペースマネージャーはカスタムまたはアクティブコンテンツのみをデプロイするため、OOTB コンテンツの一元化の変更は、ワークスペースマネージャーを通じてデプロイされたコンテンツにも影響しません。

次のステップ