Microsoft Sentinel プレイブックでサポートされるトリガーとアクション

この記事では、Logic Apps Microsoft Sentinel コネクタでサポートされるトリガーとアクションについて説明します。 Microsoft Sentinel プレイブックに記載されているトリガーとアクションを使用して、Microsoft Sentinel データを操作します。

前提条件

開始する前に、Microsoft Sentinel コネクタ コンポーネントを使用するために必要な次の Azure アクセス許可があることを確認します。

詳細については、「Microsoft Sentinel のロールとアクセス許可」、および Microsoft Sentinel プレイブックを使用するための前提条件に関する記事を参照してください。

サポートされている Microsoft Sentinel トリガー

Microsoft Sentinel コネクタ、つまり Microsoft Sentinel プレイブックでは、次のトリガーがサポートされています。

• Microsoft Sentinel インシデント。 ほとんどのインシデント自動化シナリオに推奨されます。

  プレイブックは、エンティティとアラートの両方を含むインシデント オブジェクトを受け取ります。 このトリガーを使用すると、Microsoft Sentinel でインシデントが作成または更新されたときにトリガーできるオートメーション ルールにプレイブックをアタッチできるため、そのインシデントにすべてのオートメーション ルールの利点を適用できます。

• Microsoft Sentinel アラート (プレビュー) アラートに対して手動で実行する必要があるプレイブックや、アラートに対してインシデントを生成しないスケジュールされた分析ルールに推奨されます。

  • このトリガーを使用して、"Microsoft セキュリティ" 分析ルールによって生成されたアラートの応答を自動化することはできません。
  • このトリガーを使用するプレイブックは、オートメーション ルールで呼び出すことはできません。

• Microsoft Sentinel エンティティ。 調査または脅威ハンティングのコンテキストで、特定のエンティティに対して手動で実行する必要があるプレイブックに推奨されます。 このトリガーを使用するプレイブックは、オートメーション ルールで呼び出すことはできません。

これらのフローで使用されるスキーマは同一ではありません。 大抵のシナリオでは、Microsoft Sentinel インシデント トリガー フローを使用することをお勧めします。

インシデントの動的フィールド

Microsoft Sentinel インシデントから受信した Incident オブジェクトには、次の動的フィールドが含まれます。

サポートされている Microsoft Sentinel アクション

Microsoft Sentinel コネクタ、つまり Microsoft Sentinel プレイブックでは、次のアクションがサポートされています。

サポートされているエンティティの種類

エンティティ の動的フィールドは JSON オブジェクトの配列で、それぞれがエンティティを表します。 各エンティティ型には、一意のプロパティに応じて、独自のスキーマがあります。

"エンティティ - <エンティティ型> の取得" アクションを使用すると、次のことを実行できます。

• 要求された型でエンティティの配列をフィルター処理します。
• この型の特定のフィールドを解析して、次のアクションで動的フィールドとして使用できるようにします。

入力はエンティティ動的フィールドです。

応答は特殊なプロパティが解析されたエンティティの配列であり、For each ループで直接使用できます。

現在サポートされているエンティティ型は、次のとおりです。

• IP
• Host
• アカウント
• URL
• FileHash

次の図は、エンティティに使用できるアクションの例を示しています。

その他のエンティティ型の場合は、Logic Apps の組み込みアクションを使用して同様の機能を実現できます。

• フィルター配列を使用して要求された型でエンティティの配列をフィルター処理します。

• Parse JSON を使用したアクションで動的フィールドとして使用できるように、この型の特定のフィールドを解析します。

関連するコンテンツ

詳細については、以下を参照してください:

• Microsoft Sentinel プレイブックを作成して管理する
• Microsoft Sentinel プレイブック用 Azure Logic Apps
• Microsoft Sentinel にプレイブックを認証する