Microsoft Sentinel の統合 (プレビュー)

Microsoft Defender for Cloud Apps を Azure Sentinel (スケーラブルでクラウドネイティブな SIEM や SOAR) と統合することにより、アラートと探索データを一元的に監視できます。 Microsoft Sentinel との統合により、クラウド アプリケーションの保護を強化しながら、通常のセキュリティ ワークフローを維持し、セキュリティ手順を自動化して、クラウドベースのイベントとオンプレミス イベントを関連付けることができます。

Microsoft Sentinel の使用には、次のような利点があります。

• Log Analytics によって提供されるデータ保持期間が長くなります。
• すぐに利用できる視覚化。
• Microsoft Power BI や Microsoft Sentinel ブックなどのツールを使用して、組織のニーズに合わせた独自の探索データの視覚化を作成できます。

その他の統合ソリューションは次のとおりです。

• 汎用 SIEM - Defender for Cloud Apps を汎用 SIEM サーバーと統合します。 汎用 SIEM との統合の詳細については、「汎用 SIEM の統合」を参照してください。
• Microsoft Graph Security API - 複数のセキュリティ プロバイダーを接続するための単一のプログラマティック インターフェイスを提供する中間サービス (またはブローカー)。 詳細については、「Microsoft Graph Security API を使用したセキュリティ ソリューションの統合」をご覧ください。

Microsoft Sentinel との統合には、Defender for Cloud Apps と Microsoft Sentinel の両方の構成が含まれます。

前提条件

Microsoft Sentinel と統合するには、次の条件があります。

• 有効な Microsoft Sentinel ライセンスがあること
• テナントのセキュリティ管理者以上の権限を持っている必要があります。

米国政府のサポート

Defender for Cloud Apps と Microsoft Sentinel の直接の統合は、法人のお客様のみが利用できます。

ただし、すべての Defender for Cloud Apps データは Microsoft Defender XDR で使用可能なため、Microsoft Defender XDR コネクタを介してMicrosoft Sentinel で利用することができます。

Microsoft Sentinel で Defender for Cloud Apps データの表示に関心がある GCC、GCC High、DoD を利用するお客様は、Microsoft Defender XDR ソリューションをインストールすることをお勧めします。

詳細については、以下を参照してください:

• Microsoft Defender XDR と Microsoft Sentinel の統合
• 米国政府機関向けオファリングの Microsoft Defender for Cloud Apps

Microsoft Sentinel との統合

1. Microsoft Defender ポータルで、[設定]>[クラウド アプリ] を選択します。

2. [システム] で、[SIEM エージェント] > [SIEM エージェントの追加] > [Sentinel] を選択します。 次に例を示します。

   

   Note

   以前に統合を行っていた場合、Microsoft Sentinel を追加するオプションは使用できません。

3. ウィザードで、Microsoft Sentinel に転送するデータの種類を選択します。 統合は、次のように構成できます。

   • アラート: Microsoft Sentinel が有効になると、アラートが自動的に有効になります。
   • 探索ログ: スライダーを使用して、それらを有効または無効にします。既定ではすべて選択されています。次に、[適用対象] ドロップダウンを使用して、Microsoft Sentinel に送信される探索ログをフィルター処理します。

   次に例を示します。

   

4. [次へ] を選択し、Microsoft Sentinel に進んで統合を完了します。 Microsoft Sentinel の構成の詳細については、「Microsoft Sentinel data connector for Defender for Cloud Apps」を参照してください。 次に例を示します。

   

Microsoft Sentinel のアラートと探索ログ

統合が完了すると、Microsoft Sentinel で Defender for Cloud Apps のアラートと探索ログを表示できます。

Microsoft Sentinel では、[ログ] の [Security Insights]\(セキュリティ分析情報\) の下に、Defender for Cloud Apps のデータの種類のログが次のように表示されます。

次のテーブルでは、McasShadowItReporting スキーマの各フィールドについて説明します。

Microsoft Sentinel 内の Defender for Cloud Apps データを Power BI で使用する

統合が完了したら、Microsoft Sentinel に格納されている Defender for Cloud Apps データを他のツールで使用することもできます。

このセクションでは、Microsoft Power BI を使用してデータを簡単に整形および結合して、組織のニーズを満たすレポートとダッシュボードを作成する方法について説明します。

作業を開始するには:

1. Power BI で、Microsoft Sentinel から Defender for Cloud Apps データ用のクエリをインポートします。 詳細については、「Azure Monitor ログ データを Power BI にインポートする」をご覧ください。

2. Defender for Cloud Apps Shadow IT Discovery アプリをインストールし、探索ログ データに接続して、組み込みの Shadow IT Discovery ダッシュボードを表示します。

   Note

   現時点では、アプリは Microsoft AppSource で公開されていません。 そのため、アプリをインストールするためのアクセス許可について、Power BI 管理者に問い合わせる必要がある場合があります。

   次に例を示します。

   

3. 必要に応じて、Power BI Desktop でカスタム ダッシュボードを構築し、組織のビジュアル分析とレポートの要件に合わせて調整します。

Defender for Cloud Apps アプリを接続する

1. Power BI で、[アプリ] > [シャドウ IT 検出] アプリを選択します。

2. [新しいアプリを開始する] ページで、[接続] を選択します。 次に例を示します。

   

3. ワークスペース ID のページで、ログ分析の概要ページに表示される Microsoft Sentinel ワークスペース ID を入力し、[次へ] を選択します。 次に例を示します。

   

4. 認証ページで、認証方法とプライバシー レベルを指定し、[サインイン] を選択します。 次に例を示します。

   

5. データを接続したら、ワークスペースの [データセット] タブにアクセスし、[最新の情報に更新] を選択します。 これにより、独自のデータでレポートが更新されます。

問題が発生した場合は、ここにお問い合わせください。 お使いの製品の問題について支援やサポートを受けるには、 サポート チケットを作成してください。