チュートリアル: Microsoft Sentinel で Azure Active Directory B2C のデータに関するセキュリティ分析を構成する

ログと監査情報を Microsoft Sentinel にルーティングすることで、Azure Active Directory B2C (Azure AD B2C) 環境のキュリティを強化します。 スケーラブルな Microsoft Sentinel は、クラウドネイティブのセキュリティ情報イベント管理 (SIEM) のソリューションであり、かつセキュリティ オーケストレーション、オートメーション、応答 (SOAR) のソリューションでもあります。 Azure AD B2C のアラート検出、脅威の可視化、予防的なハンティング、脅威への対応のために、このソリューションを使用します。

詳細情報:

• Microsoft Sentinel とは
• SOAR とは

Azure AD B2C に対する Microsoft Sentinel のその他の用途は次のとおりです。

• 分析機能と脅威インテリジェンス機能を使用して、過去に検出されたことのない脅威を検出し、誤検出を最小限に抑える
• 人工知能 (AI) を使用して脅威を調査する
  • 疑わしいアクティビティを大規模に追跡し、Microsoft の長年にわたるサイバーセキュリティ関連の経験を活用する
• 一般的なタスクのオーケストレーションとオートメーションにより、インシデントに迅速に対応する
• 組織のセキュリティとコンプライアンスの要件を満たす

このチュートリアルで学習する内容は次のとおりです。

• Azure AD B2C ログを Log Analytics ワークスペースに転送する
• Log Analytics ワークスペースで Microsoft Sentinel を有効にする
• インシデントをトリガーするサンプル ルールを Microsoft Sentinel で作成する
• 自動応答を構成する

Azure Monitor Logs Analytics を使用して Azure AD B2C を構成する

リソースのログとメトリックが送信される場所を定義するには、次のようにします。

1. Azure AD B2C テナントで、Microsoft Entra ID の [診断設定] を有効にします。
2. Azure Monitor にログを送信するように Azure AD B2C を構成します。

詳細については、「Azure Monitor で Azure AD B2C を監視する」を参照してください。

Microsoft Sentinel インスタンスをデプロイする

Azure Monitor にログを送信するように Azure AD B2C インスタンスを構成したら、Microsoft Sentinel のインスタンスを有効にします。

1. Azure portal にサインインします。

2. Log Analytics ワークスペースを作成するサブスクリプションを選択します。

3. Microsoft Sentinel を検索して選択します。

   

4. [追加] を選択します。

5. [ワークスペースの検索] フィールドで、新しいワークスペースを選択します。

   

6. [Microsoft Sentinel の追加] を選びます。

   注意

   複数のワークスペースで Microsoft Sentinel を実行できますが、データは 1 つのワークスペースに分離されます。
   「クイック スタート: Microsoft Sentinel をオンボードする」を参照してください

Microsoft Sentinel ルールを作成する

Microsoft Sentinel を有効にした後、Azure AD B2C テナントで何か疑わしいことが発生すると、通知を受け取ります。

カスタム分析ルールを作成すると、環境内の脅威や異常動作を検出できます。 これらのルールでは、特定のイベントまたはイベントのセットが検索され、イベントのしきい値または条件が満たされると、アラートが生成されます。 その後、調査のためにインシデントが生成されます。

「脅威を検出するためのカスタム分析規則を作成する」を参照してください

強制アクセスに失敗した場合の通知ルール

環境への強制アクセス試行が 2 回以上失敗したことについて通知を受け取るには、次の手順を使用します。 例として、ブルート フォース攻撃があります。

1. Microsoft Sentinel で、左側のメニューから [分析] を選択します。

2. 上部のバーで、[+ 作成]>[スケジュール済みクエリ ルール] を選択します。

   

3. 分析ルール ウィザードで、[全般] に移動します。

4. [名前] に、ログインの失敗を表す名前を入力します。

5. [説明] で、60 秒以内にサインインが 2 回以上失敗した場合に、ルールによって通知が送られることを示します。

6. [方針] で、カテゴリを選びます。 たとえば、[PreAttack] を選択します。

7. [重大度] で、重大度レベルを選びます。

8. [状態] は、既定では [有効] になっています。 ルールを変更するには、[アクティブなルール] タブに移動します。

   

9. [ルールのロジックを設定] タブを選択します。

10. [ルールのクエリ] フィールドにクエリを入力します。 このクエリの例では、UserPrincipalName によってサインインを整理します。

    

11. [Query scheduling] (クエリのスケジューリング) に移動します。

12. [クエリの実行間隔] に、「5」および [分] と入力します。

13. [次の時間分の過去のデータを参照します] に、「5」および [分] と入力します。

14. [クエリ結果件数でアラートを生成する] で、[次の値より大きい] と「0」を選択します。

15. [イベントのグループ化] で、[すべてのイベントを単一のアラートにグループ化する] を選択します。

16. [アラートの生成後にクエリの実行を停止する] で、[オフ] を選択します。

17. [Next:Incident settings (Preview)](次: インシデントの設定 (プレビュー)) を選択します。

18. [レビューと作成] タブに移動して、ルールの設定を確認します。

19. [検証に合格しました] というバナーが表示されたら、[作成] を選択します。

    

ルールと関連インシデントを表示する

ルールと、そのルールによって生成されたインシデントを表示します。 メインの [アクティブなルール] タブの下のテーブルで、種類が [スケジュール済み] の新しく作成したカスタム ルールを見つけます

1. [分析] 画面に移動します。
2. [アクティブなルール] タブを選択します。
3. テーブルで、[スケジュール済み] のルールを見つけます。

ルールを編集、有効化、無効化、または削除できます。

インシデントをトリアージ、調査、修復する

1 つのインシデントに複数のアラートが含まれる場合があります。インシデントは、調査に関連する証拠が集約されたものです。 インシデント レベルで、重大度や状態などのプロパティを設定できます。

詳細については、「Microsoft Azure Sentinel を使用してインシデントを調査する」を参照してください。

1. [インシデント] ページに移動します。

2. インシデントを選択します。

3. 右側に、重大度、エンティティ、イベント、インシデント ID など、詳細なインシデント情報が表示されます。

   

4. [インシデント] ウィンドウで、[すべての詳細を表示] を選択します。

5. インシデントの概要を示すタブを確認します。

   

6. [証拠]>[イベント]>[Link to Log Analytics](Log Analytics へのリンク) を選択します。

7. 結果で、サインインしようとしている ID の UserPrincipalName 値を確認します。

   

自動応答

Microsoft Sentinel には、セキュリティ オーケストレーション、オートメーション、応答 (SOAR) 機能があります。 自動アクションまたはプレイブックを分析ルールにアタッチします。

「SOAR とは」を参照してください

インシデントの電子メール通知

このタスクでは、Microsoft Sentinel GitHub リポジトリにあるプレイブックを使用します。

1. 構成済みのプレイブックに移動します。
2. ルールを編集します。
3. [自動応答] タブで、プレイブックを選びます。

詳細については、インシデントの電子メール通知に関するページを参照してください

リソース

Microsoft Sentinel と Azure AD B2C の詳細については、以下を参照してください。

• Azure AD B2C レポートとアラート、ブック
• Microsoft Sentinel のドキュメント

次のステップ

Microsoft Sentinel での擬陽性の処理