高度なハンティング イベントを Azure Event Hubs にストリーミングするように Microsoft Defender for Endpoint を構成する

  • [アーティクル]

適用対象:

注:

利用可能な完全なデータ ストリーミング エクスペリエンスについては、 Microsoft Defender XDR イベントのストリーミングに関するページを参照してください。 |Microsoft Learn。

Defender for Endpoint を試す場合は、 無料試用版にサインアップしてください。

開始する前に

  1. テナントに イベント ハブ を作成します。

  2. Azure テナントにサインインし、[サブスクリプション>サブスクリプション>リソース プロバイダー>Microsoft.insights に登録する] に移動します。

重要

Microsoft では、アクセス許可が最も少ないロールを使用することをお勧めします。 これにより、組織のセキュリティが向上します。 グローバル管理者は高い特権を持つロールであり、既存のロールを使用できない場合の緊急シナリオに限定する必要があります。

生データ ストリーミングを有効にする

  1. セキュリティ管理者として Microsoft Defender ポータルにサインインします。

  2. Microsoft Defender ポータルの [データ エクスポート設定] ページ に移動します。

  3. [ データ エクスポート設定の追加] を選択します。

  4. 新しい設定の名前を選択します。

  5. [ イベントを Azure Event Hubs に転送する] を選択します。

  6. Event Hubs の名前と Event Hubs リソース ID を入力します。

注:

Event Hubs 名を空のままにすると、選択した名前空間内のカテゴリごとにイベント ハブが作成されます。 専用 Event Hubs クラスターを使用していない場合、Event Hubs 名前空間には 10 個の Event Hubs の制限があります。

Event Hubs リソース ID を取得するには、Azure の [プロパティ] タブの [Azure Event Hubs 名前空間] ページに移動し>>リソース ID のテキストをコピーします。

Event Hubs リソース ID-1

  1. ストリーミングするイベントを選択し、[保存] を選択 します。

Azure Event Hubs のイベントのスキーマ

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the tenant that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

  • Azure Event Hubs の各イベント ハブ メッセージには、レコードの一覧が含まれています。

  • 各レコードには、イベント名、Microsoft Defender for Endpoint がイベントを受信した時刻、そのイベントが属するテナント (テナントからのみイベントを取得します)、および "properties" というプロパティの JSON 形式のイベントが含まれます。

  • Microsoft Defender for Endpoint イベントのスキーマの詳細については、「 Advanced Hunting の概要」を参照してください。

  • Advanced Hunting の DeviceInfo テーブルには、デバイスのグループを含む MachineGroup という名前の列があります。 ここでは、すべてのイベントもこの列で装飾されます。 詳細については、「 デバイス グループ」を参照してください。

    注:

    デバイス グループの作成は、Defender for Endpoint プラン 1 とプラン 2 でサポートされています。

データ型のマッピング

イベント プロパティのデータ型を取得するには、次の操作を行います。

  1. Microsoft Defender ポータルにサインインし、[高度なハンティング] ページに移動します。

  2. 次のクエリを実行して、各イベントのデータ型マッピングを取得します。

    {EventType}
| getschema
| project ColumnName, ColumnType

  • デバイス情報イベントの例を次に示します。

    Event Hubs リソース ID-2

ヒント

さらに多くの情報を得るには、 Tech Community 内の Microsoft Security コミュニティ (Microsoft Defender for Endpoint Tech Community) にご参加ください。