Microsoft Sentinel のログを収集する

以下でサポートされています。

Google SecOps SIEM

注: この機能には、Google Security Operations サービス固有の規約の pre-GA サービス規約が適用されます。pre-GA の機能についてはサポートが制限されます。また、pre-GA の機能の変更は pre-GA の他のバージョンと互換性がない可能性があります。 詳細については、Google SecOps 技術サポート サービス ガイドラインと Google SecOps サービス固有の規約をご覧ください。

このドキュメントでは、Logic Apps と Webhook を使用してインシデントとアラートを Google Security Operations に送信するように Microsoft Sentinel を構成する方法について説明します。

Microsoft Sentinel は、クラウドネイティブのセキュリティ情報およびイベント管理（SIEM）とセキュリティ オーケストレーション、自動化、レスポンス（SOAR）ソリューションです。企業全体でインテリジェントなセキュリティ分析と脅威インテリジェンスを提供します。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• 次の権限を持つ Microsoft Azure ポータルへの特権アクセス権:
  • Logic Apps を作成する
  • Microsoft Sentinel の自動化ルールを構成する
  • リソース グループの権限を管理する
  • サービス プリンシパルを作成して管理する
• Google Cloud コンソールへのアクセス（API キーの作成用）

Google SecOps で Webhook フィードを作成する

フィードを作成する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Microsoft Sentinel Incidents）。
5. [Source type] として [Webhook] を選択します。
6. [Log type] として [Microsoft Sentinel] を選択します。
7. [次へ] をクリックします。
8. 次の入力パラメータの値を指定します。
   • 分割区切り文字（省略可）: 空のままにします（各インシデントまたはアラートは単一のイベントです）。
   • アセットの名前空間: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。
9. [次へ] をクリックします。
10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

秘密鍵を生成して保存する

フィードを作成したら、認証用のシークレット キーを生成する必要があります。

1. フィードの詳細ページで、[シークレット キーを生成] をクリックします。
2. ダイアログに秘密鍵が表示されます。

3. 秘密鍵をコピーして安全に保存します。

   注: シークレット キーは 1 回だけ表示され、後で取得することはできません。秘密鍵を紛失した場合は、新しい秘密鍵を生成する必要があります。

注意: HTTP 429（リクエストが多すぎます）エラーと取り込みの遅延を回避するため、複数のフィードで同じ共有キーまたはストレージ アカウントを再利用しないでください。

フィード エンドポイントの URL を取得する

1. フィードの [詳細] タブに移動します。
2. [エンドポイント情報] セクションで、[フィード エンドポイント URL] をコピーします。

3. URL の形式は次のとおりです。

   https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

   または

   https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

4. 次の手順で使用するため、この URL を保存します。

5. [完了] をクリックします。

Google Cloud API キーを作成する

Google SecOps では、認証に API キーが必要です。 Google Cloud コンソールで制限付き API キーを作成します。

API キーを作成する

1. Google Cloud コンソールの [認証情報] ページに移動します。
2. プロジェクト（Google SecOps インスタンスに関連付けられているプロジェクト）を選択します。
3. [認証情報を作成> API キー] をクリックします。
4. API キーが作成され、ダイアログに表示されます。
5. [API キーを編集] をクリックして、キーを制限します。

API キーを制限する

1. [API キー] 設定ページで、次の操作を行います。
   • 名前: わかりやすい名前を入力します（例: Google SecOps Webhook API Key）。
2. [API の制限] で次の操作を行います。
   • [キーを制限] を選択します。
   • [API を選択] リストで、[Google SecOps API]（または [Chronicle API]）を検索して選択します。
3. [保存] をクリックします。
4. ページ上部の [API キー] フィールドから API キーの値をコピーします。

5. API キーを安全に保存します。

   注: API キーを制限すると、Google SecOps API でのみ使用できるようになり、キーが不正使用された場合のリスクを軽減できます。

Microsoft Sentinel インシデントの Logic App を構成する

このセクションでは、Microsoft Sentinel インシデントを Google SecOps に送信するように Logic App を構成します。

Logic App を作成する

1. Azure Portal にログインします。
2. [Create a resource] をクリックします。
3. [Logic App] を検索します。
4. [Create] をクリックして作成プロセスを開始します。
5. 次の入力パラメータの値を指定します。
   • Subscription: サブスクリプションを選択します。
   • Resource group: リソース グループを選択します。
   • 名前: Logic App の名前を入力します（例: Sentinel-Incidents-to-SecOps）。
   • Region: リージョンを選択します。
   • Log Analytics workspace: Log Analytics ワークスペースを選択します。
6. [Review + create] をクリックします。
7. [作成] をクリックします。
8. Logic App が作成されたら、[Go to resource] をクリックします。

Logic App デザイナーを構成する

1. [Development Tools] > [Logic App Designer] をクリックします。
2. [Add a trigger] をクリックします。
3. [Microsoft Sentinel] を検索します。
4. トリガーとして [Microsoft Sentinel incident] を選択します。
5. Microsoft Sentinel への接続をまだ作成していない場合は、ここで作成する必要があります。
6. [Create new] をクリックし、画面の指示に沿って認証します。
   • [マネージド ID でログイン]（推奨）または [ログイン] を選択して、認証情報を使用します。
7. [Insert a new step] をクリックします。
8. [Add an action] をクリックします。
9. アクションとして [HTTP] を検索して選択します。
10. 次の入力パラメータの値を指定します。
    • URI: Google SecOps フィードからフィード エンドポイント URL を貼り付けます。
    • Method: [POST] を選択します。
    • Headers: 次のヘッダーを追加します。
      • ヘッダー名: X-goog-api-key
      • 値: 前に作成した API キーを貼り付けます。
      • ヘッダー名: X-Webhook-Access-Key
      • 値: フィードの作成時に生成された秘密鍵を貼り付けます。
11. [Body] フィールドをクリックします。
12. ダイナミック コンテンツ パネルで [式] タブをクリックします。

13. 式フィールドに「@{triggerBody()}」と入力して [OK] をクリックします。

    注: @{triggerBody()} 式は、インシデントの完全な JSON を Google SecOps に送信します。このパラメータは必須です。このパラメータがないと、Webhook は空のリクエストを受信し、データは取り込まれません。

14. [保存] をクリックして、Logic App を保存します。

Logic App を実行する権限を Microsoft Sentinel に付与する

自動化ルールで Logic App を正常にトリガーするには、2 つの個別の権限割り当てが必要です。

権限 1: Logic App のマネージド ID に Sentinel ワークスペースへのアクセス権を付与する

Logic App のマネージド ID には、Microsoft Sentinel ワークスペースからインシデントを読み取る権限が必要です。

Logic App のマネージド ID を有効にする

1. Azure Portal で、Logic App リソース（Sentinel-Incidents-to-SecOps）に移動します。
2. 左側のナビゲーションで、[設定] の [ID] を選択します。
3. [システム割り当て] タブで、[ステータス] を [オン] に設定します。
4. [保存] をクリックします。
5. [はい] をクリックして確定します。
6. 有効にしたら、表示されたオブジェクト（プリンシパル）ID をメモします。

Logic App に Microsoft Sentinel レスポンダー ロールを付与する

1. Azure Portal で、Microsoft Sentinel ワークスペースに移動します。
2. 左側のナビゲーションで、[設定] の [アクセス制御（IAM）] を選択します。
3. [+ 追加 > ロールの割り当てを追加] をクリックします。
4. [ロール] タブで、[Microsoft Sentinel レスポンダー] を検索して選択します。
   • 代替手段: プレイブックがインシデントの読み取りのみを行う場合は、Microsoft Sentinel Reader ロールを使用します。
5. [次へ] をクリックします。
6. [メンバー] タブで、次のように構成します。
   1. アクセスを割り当てる: [マネージド ID] を選択します。
   2. [+ メンバーを選択] をクリックします。
   3. [マネージド ID] リストで、[Logic App] を選択します。
   4. リストから Logic App（Sentinel-Incidents-to-SecOps）を選択します。
7. [選択] をクリックします。
8. [レビュー + 割り当て] をクリックします。
9. もう一度 [確認して割り当てる] をクリックして確定します。

権限 2: リソース グループに対する Microsoft Sentinel 自動化権限を付与する

Microsoft Sentinel では、Logic App を含むリソース グループに対する Microsoft Sentinel Automation Contributor ロールが必要です。この権限がないと、自動化ルールでプレイブックをトリガーできません。

Sentinel UI を使用して自動化権限を付与する

1. Azure Portal で、Microsoft Sentinel ワークスペースに移動します。
2. [設定> 自動化] に移動します。
3. ページ上部の [ハンドブックの権限を管理] をクリックします。
4. [権限の管理] ペインで、次の構成を行います。
   1. Logic App（Sentinel-Incidents-to-SecOps）を含むリソース グループを選択します。

5. [適用] をクリックします。

   注: これにより、選択したリソース グループに対する Microsoft Sentinel Automation Contributor ロールが Microsoft Sentinel サービス プリンシパル（Azure Security Insights）に付与されます。

自動化の権限を確認する（省略可）

1. Azure Portal で、Logic App を含むリソース グループに移動します。
2. 左側のナビゲーションで、[アクセス制御（IAM）] を選択します。
3. [ロールの割り当て] をクリックします。
4. Azure Security Insights を検索します。

5. Azure Security Insights に Microsoft Sentinel Automation Contributor ロールが付与されていることを確認します。

   注: Sentinel UI に [プレイブックの権限を管理する] が表示されない場合は、権限を手動で付与できます。

6. Logic App を含むリソース グループに移動します。

7. [Access control (IAM)] > [Add role assignment] を選択します。

8. [Microsoft Sentinel Automation Contributor] ロールを選択します。

9. [メンバー] で、[ユーザー、グループ、サービス プリンシパル] を選択します。

10. [+ Select members] をクリックし、Azure Security Insights を検索します。

11. [Azure Security Insights] を選択し、[選択] をクリックします。

12. [Review + assign] を 2 回クリックして確定します。

Microsoft Sentinel アラートの Logic App を構成する

このセクションでは、Microsoft Sentinel アラートを Google SecOps に送信する別の Logic App を構成します。

注: アラート トリガーはプレビュー版であり、手動またはスケジュールされた分析ルールによってのみトリガーできます。自動化ルールで呼び出すことはできません。

アラート用の Logic App を作成する

1. Azure ポータルのホームページに移動します。
2. [Create a resource] をクリックします。
3. [Logic App] を検索します。
4. [Create] をクリックして作成プロセスを開始します。
5. 次の入力パラメータの値を指定します。
   • Subscription: サブスクリプションを選択します。
   • Resource group: リソース グループを選択します。
   • 名前: Logic App の名前を入力します（例: Sentinel-Alerts-to-SecOps）。
   • Region: リージョンを選択します。
   • Log Analytics workspace: Log Analytics ワークスペースを選択します。
6. [Review + create] をクリックします。
7. [作成] をクリックします。
8. Logic App が作成されたら、[Go to resource] をクリックします。

アラート用に Logic App デザイナーを構成する

1. [Development Tools] > [Logic App Designer] をクリックします。
2. [Add a trigger] をクリックします。
3. [Microsoft Sentinel] を検索します。
4. トリガーとして [Microsoft Sentinel alert] を選択します。
5. Microsoft Sentinel への接続をまだ作成していない場合は、ここで作成する必要があります。
6. [Create new] をクリックし、画面の指示に沿って認証します。
   • [マネージド ID でログイン]（推奨）または [ログイン] を選択して、認証情報を使用します。
7. [Insert a new step] をクリックします。
8. [Add an action] をクリックします。
9. アクションとして [HTTP] を検索して選択します。
10. 次の入力パラメータの値を指定します。
    • URI: Google SecOps フィードからフィード エンドポイント URL を貼り付けます。
    • Method: [POST] を選択します。
    • Headers: 次のヘッダーを追加します。
      • ヘッダー名: X-goog-api-key
      • 値: 前に作成した API キーを貼り付けます。
      • ヘッダー名: X-Webhook-Access-Key
      • 値: フィードの作成時に生成された秘密鍵を貼り付けます。
11. [Body] フィールドをクリックします。
12. ダイナミック コンテンツ パネルで [式] タブをクリックします。

13. 式フィールドに「@{triggerBody()}」と入力して [OK] をクリックします。

    注: @{triggerBody()} 式は、完全なアラート JSON を Google SecOps に送信します。このパラメータは必須です。このパラメータがないと、Webhook は空のリクエストを受信し、データは取り込まれません。

14. [保存] をクリックして、Logic App を保存します。

アラート Logic App を実行する Microsoft Sentinel の権限を付与する

アラート Logic App には、インシデント Logic App の構成と同じように、2 つの別々の権限割り当てが必要です。

権限 1: アラートの Logic App マネージド ID に Sentinel ワークスペースへのアクセス権を付与する

アラート Logic App のマネージド ID には、Microsoft Sentinel ワークスペースからアラートを読み取る権限が必要です。

アラート Logic App のマネージド ID を有効にする

1. Azure Portal で、アラートの Logic App リソース（Sentinel-Alerts-to-SecOps）に移動します。
2. 左側のナビゲーションで、[設定] の [ID] を選択します。
3. [システム割り当て] タブで、[ステータス] を [オン] に設定します。
4. [保存] をクリックします。
5. [はい] をクリックして確定します。
6. 有効にしたら、表示されたオブジェクト（プリンシパル）ID をメモします。

アラートの Logic App に Microsoft Sentinel レスポンダー ロールを付与する

1. Azure Portal で、Microsoft Sentinel ワークスペースに移動します。
2. 左側のナビゲーションで、[設定] の [アクセス制御（IAM）] を選択します。
3. [+ 追加 > ロールの割り当てを追加] をクリックします。
4. [ロール] タブで、[Microsoft Sentinel レスポンダー] を検索して選択します。
   • 代替手段: プレイブックがアラートの読み取りのみを行う場合は、Microsoft Sentinel 閲覧者ロールを使用します。
5. [次へ] をクリックします。
6. [メンバー] タブで、次のように構成します。
   1. アクセスを割り当てる: [マネージド ID] を選択します。
   2. [+ メンバーを選択] をクリックします。
   3. [マネージド ID] リストで、[Logic App] を選択します。
   4. リストからアラートの Logic App（Sentinel-Alerts-to-SecOps）を選択します。
7. [選択] をクリックします。
8. [レビュー + 割り当て] をクリックします。
9. もう一度 [確認して割り当てる] をクリックして確定します。

権限 2: アラートの Microsoft Sentinel 自動化権限をリソース グループに付与する

Microsoft Sentinel では、アラートの Logic App を含むリソース グループに対する Microsoft Sentinel Automation Contributor ロールが必要です。

Sentinel UI を使用して自動化権限を付与する

1. Azure Portal で、Microsoft Sentinel ワークスペースに移動します。
2. [設定> 自動化] に移動します。
3. ページ上部の [ハンドブックの権限を管理] をクリックします。
4. [権限の管理] ペインで、次の構成を行います。
   1. アラートの Logic App（Sentinel-Alerts-to-SecOps）を含むリソース グループを選択します。
      • インシデントの Logic App と同じリソース グループの場合は、すでに選択されている可能性があります。

5. [適用] をクリックします。

   注: リソース グループがインシデントの Logic App 用にすでに構成されている場合、この手順ではアラートの Logic App に同じ権限が付与されます。

アラート Logic App の自動化権限を確認する（省略可能）

1. Azure Portal で、アラートの Logic App を含むリソース グループに移動します。
2. 左側のナビゲーションで、[アクセス制御（IAM）] を選択します。
3. [ロールの割り当て] をクリックします。
4. Azure Security Insights を検索します。
5. Azure Security Insights に Microsoft Sentinel Automation Contributor ロールが付与されていることを確認します。

Microsoft Sentinel の自動化ルールを構成する

自動化ルールは、Microsoft Sentinel でインシデントが作成または更新されると Logic Apps をトリガーします。

インシデント作成の自動化ルールを作成する

1. Microsoft Sentinel ワークスペースに移動します。
2. [構成] > [自動化] をクリックします。
3. [作成] をクリックします。
4. [Automation rule] を選択します。
5. 次の入力パラメータの値を指定します。
   • 名前: 自動化ルールの名前を入力します（Send New Incidents to SecOps など）。
   • Trigger: [When incident is created] を選択します。
   • アクション: リストから [プレイブックを実行] を選択します。
   • インシデント用に作成された Logic App（Sentinel-Incidents-to-SecOps）を選択します。
6. [適用] をクリックします。

インシデントの更新に関する自動化ルールを作成する

1. Microsoft Sentinel ワークスペースに移動します。
2. [構成] > [自動化] をクリックします。
3. [作成] をクリックします。
4. [Automation rule] を選択します。
5. 次の入力パラメータの値を指定します。
   • 名前: 自動化ルールの名前を入力します（Send Updated Incidents to SecOps など）。
   • Trigger: [When incident is updated] を選択します。
   • Condition: [Add] > [Condition (And)] > [Status] > [Changed] をクリックします。
6. [操作] セクションで、次の構成を行います。
   1. リストから [Run playbook] を選択します。
   2. インシデント用に作成された Logic App（Sentinel-Incidents-to-SecOps）を選択します。
7. [適用] をクリックします。

アラートの自動化ルールを作成する

注: アラート自動化ルールでは、インシデント トリガーとは別の アラートが作成されたときのトリガーが使用されます。

1. Microsoft Sentinel ワークスペースに移動します。
2. [構成] > [自動化] をクリックします。
3. [作成] をクリックします。
4. [Automation rule] を選択します。
5. 次の入力パラメータの値を指定します。
   • 名前: 自動化ルールの名前を入力します（Send Alerts to SecOps など）。
   • Trigger: [When alert is created] を選択します。
   • アクション: リストから [プレイブックを実行] を選択します。
   • アラート用に作成した Logic App（Sentinel-Alerts-to-SecOps）を選択します。
6. [適用] をクリックします。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。