Microsoft Sentinel プレイブックを作成して管理する

プレイブックは、インシデント全体、個々のアラート、または特定のエンティティに対応して Microsoft Sentinel から実行できる手続きのコレクションです。 プレイブックは、対応の自動化と調整に役立ちます。プレイブックを分析ルールまたは自動化ルールにアタッチすると、特定のアラートが生成された場合、またはインシデントが作成または更新された場合に自動的に実行できます。 また、特定のインシデント、アラート、またはエンティティに対し、オンデマンドで、手動でプレイブックを実行することもできます。

この記事では、Microsoft Sentinel プレイブックを作成して管理する方法について説明します。 これらのプレイブックは、後で分析ルールまたは自動化ルールにアタッチすることも、特定のインシデント、アラート、またはエンティティに対して手動で実行することもできます。

前提条件

プレイブックを作成して管理するには、次のいずれかの Azure ロールを使用して Microsoft Sentinel にアクセスする必要があります。

• ロジック アプリを編集および管理するためのロジック アプリ共同作成者
• ロジック アプリの読み取り、有効化、無効化を行うためのロジック アプリ オペレーター

詳細については、Microsoft Sentinel プレイブックの前提条件に関する記事を参照してください。

プレイブックを作成する前に、「Microsoft Sentinel プレイブック用 Azure Logic Apps」を読むことをお勧めします。

プレイブックを作成する

Microsoft Sentinel に新しいプレイブックを作成するには、これらの手順に従います。

1. Azure portal の Microsoft Sentinel の場合は、[構成]>[オートメーション] ページを選択します。 Defender ポータルの Microsoft Sentinel の場合、[Microsoft Sentinel]>[構成]>[自動化] を選択します。

   • Azure Portal
   • Defender ポータル

   

2. 上部のメニューで [作成]を選択し、次のいずれかのオプションを選択します。

   1. Standard のプレイブックを作成する場合は、[空のプレイブック] を選択し、ロジック アプリの種類が Standard の場合の手順に従います。

   2. 従量課金 のプレイブックを作成する場合は、使用するトリガーに応じて、次のいずれかのオプションを選択し、次のセクションの 従量課金ロジック アプリのタブの手順に従います。

      • インシデント トリガーを使用したプレイブック
      • アラート トリガーを使用したプレイブック
      • エンティティ トリガーを使用したプレイブック

   詳細については、「サポートされるロジック アプリ」および「Microsoft Sentinel プレイブックでサポートされるトリガーとアクション」を参照してください。

プレイブックのロジック アプリを準備する

プレイブックのロジック アプリを作成する方法の詳細については、"従量課金" または Standard のどちらのワークフローを使用するかに応じて、次のタブのいずれかを選択します。 詳細については、「サポートされるロジック アプリ」を参照してください。

プレイブックにアクションを追加する

ロジック アプリを作成したので、プレイブックを呼び出したときの動作を定義します。 アクション、論理条件、ループ、または switch case 条件を追加します。これらはすべて、[新しいステップ] を選択すると、追加できます。 この選択によってデザイナーに新しいフレームが開くので、そこで、操作対象となるシステムやアプリケーション、設定する条件を選択できます。 フレーム上部の検索バーにシステムまたはアプリケーションの名前を入力し、表示される結果から選択します。

これらの各ステップでフィールドをクリックすると、次のメニューを含むパネルが表示されます。

• 動的コンテンツ: プレイブックに渡されたアラートまたはインシデントの属性への参照を追加します。これには、アラートまたはインシデントに含まれるすべてのマッピングされたエンティティおよびカスタム詳細の値と属性などがあります。 動的コンテンツの例については、以下を参照してください。

  • インシデント ID のないエンティティ プレイブック
  • カスタム詳細を操作する

• 式: より多くのロジックをステップに追加するには、豊富な関数ライブラリから選択します。

詳細については、「Microsoft Sentinel プレイブックでサポートされるトリガーとアクション」を参照してください。

認証プロンプト

トリガーまたはその後のアクションを選択すると、操作しているリソース プロバイダーへの認証を求めるメッセージが表示されます。 この場合、プロバイダーは Microsoft Sentinel であり、いくつかの認証オプションがあります。 詳細については、以下を参照してください:

• Microsoft Sentinel にプレイブックを認証する
• Microsoft Sentinel プレイブックでサポートされるトリガーとアクション

動的コンテンツ: インシデント ID のないエンティティ プレイブック

エンティティ トリガーで作成されたプレイブックでは、エンティティに対してアクションを実行した後のインシデントの更新などのために、多くの場合、[インシデント ARM ID] フィールドが使用されます。

このようなプレイブックが、インシデントに関係のないコンテキスト (たとえば、脅威ハンティングの場合など) でトリガーされた場合、このフィールドに設定できる ID を持つインシデントはありません。 この場合、このフィールドには null 値が設定されます。

その結果、プレイブックの実行を完了できない可能性があります。 このエラーを防ぐには、インシデント ID フィールドに対してアクションを実行する前に値をチェックする条件を作成し、フィールドに null 値がある場合 (つまり、プレイブックがインシデントから実行されていない場合) は別のアクション セットを指定することをお勧めします。

手順は次のとおりです。

1. [インシデント ARM ID] フィールドを参照する最初のアクションの前に、条件ステップを追加します。

2. 横にある [値の選択] フィールドを選択し、[動的なコンテンツの追加] ダイアログに入力します。

3. [インシデント ARM ID (省略可能)] と [次の値に等しくない] 演算子を選択します。

4. もう一度 [値の選択] を選択し、[動的なコンテンツの追加] ダイアログに入力します。

5. [式] タブを選択し、[null 値] 関数を入力します。

次に例を示します。

動的コンテンツ: カスタム詳細を操作する

インシデント トリガーで使用できるアラートのカスタム詳細動的フィールドは、JSON オブジェクトの配列であり、それぞれがアラートのカスタム詳細を表します。 カスタム詳細は、キーと値のペアです。これを使用すると、アラート内のイベントからの情報を表示できるため、イベントをインシデントの一部として表現、追跡、分析することができます。

アラートのこのフィールドはカスタマイズ可能であるため、スキーマは、表示されるイベントの型によって異なります。 このイベントのインスタンスからデータを提供して、カスタム詳細フィールドの解析方法を決定するスキーマを生成します。

次に例を示します。

これらのキーと値のペアには、次のものが含まれます。

• 左側の列のキーは、作成するカスタム フィールドを表します。
• 右側の列の値は、カスタム フィールドを設定するイベント データのフィールドを表します。

次の JSON コードを指定してスキーマを生成します。 このコードは、キーを配列として、値を配列内の項目として示します。 値は、値を含む列としてではなく、実際の値として示されます。

{ "FirstCustomField": [ "1", "2" ], "SecondCustomField": [ "a", "b" ] }

インシデント トリガーにカスタム フィールドを使用するには、次の操作を行います。

1. JSON の解析 組み込みアクションを使用して新しいステップを追加します。 必要に応じて、検索フィールドに「json の解析」と入力して検索します。

2. [動的なコンテンツ] ボックスの一覧で、インシデント トリガーの下にあるアラートのカスタム詳細を選択します。 次に例を示します。

   

   これにより、インシデントにアラートの配列が含まれるため、For Each ループが作成されます。

3. [サンプル ペイロードを使用してスキーマを生成する] リンクを選択します。 次に例を示します。

   

4. サンプル ペイロードを提供します。 たとえば、Log Analytics でこのアラートの別のインスタンス探して、[拡張プロパティ] の下にあるカスタム詳細オブジェクトをコピーすると、サンプル ペイロードを見つけることができます。 Azure portal の [ログ] ページ、または Defender ポータルの [高度な検出] ページで、Log Analytics データにアクセスします。 次のスクリーンショットは、上に示した JSON コードを使用しています。

   

カスタム フィールドは、配列型の動的フィールドを使用する準備ができました。 たとえば、次のスクリーンショットは、スキーマと、このセクションで説明した [動的コンテンツ] の下に表示される一覧の両方にある配列とその項目を示しています。

プレイブックを管理する

[自動化] > [アクティブなプレイブック] タブの順に選択して、アクセスできるすべてのプレイブックをサブスクリプション ビューでフィルター処理して表示します。

統合セキュリティ オペレーション プラットフォームにオンボードすると、既定では、[アクティブなプレイブック] タブに、オンボードされたワークスペースのサブスクリプションを含む定義済みのフィルターが表示されます。 Azure portal で、グローバル Azure ページ ヘッダーの [ディレクトリとサブスクリプション] メニューから表示しているサブスクリプションを編集します。

[アクティブなプレイブック] タブには、選択したサブスクリプションで使用可能なすべてのアクティブなプレイブックが表示されますが、プレイブックのリソース グループに Microsoft Sentinel のアクセス許可を明確に付与しない限り、既定では、プレイブックはそれが属するサブスクリプション内でのみ使用できます。

[アクティブなプレイブック] タブには、プレイブックと次の詳細が表示されます。

プレイブックを選択して、その Azure Logic Apps ページを開きます。このページには、プレイブックに関するより多くの詳細が表示されます。 Azure Logic Apps ページで次の操作を行います。

• プレイブックが実行されたすべての時刻のログを表示します
• 成功や失敗、その他の詳細などの実行結果を表示します
• 関連するアクセス許可がある場合、Azure Logic Apps でワークフロー デザイナーを開いてプレイブックを直接編集します

関連するコンテンツ

プレイブックを作成したら、それを、環境内のイベントによってトリガーされるルールにアタッチするか、特定のインシデント、アラート、またはエンティティに対してプレイブックを手動で実行します。

詳細については、以下を参照してください:

• Microsoft Sentinel プレイブックを自動化して実行する
• Microsoft Sentinel にプレイブックを認証する
• Microsoft Sentinel プレイブックを使用して、侵害された可能性のあるユーザーを停止する