Microsoft Sentinelのブックを使用してデータを視覚化および監視する

  • 適用対象: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

データ ソースを Microsoft Sentinel に接続した後は、Microsoft Sentinel のブックを使用してデータを視覚化および監視します。 Microsoft Sentinel ワークブックは Azure Monitor ワークブックを基盤としており、Azure ですでに利用可能なツールに加えて、ログやクエリの分析に使用するテーブルやグラフも備えています。

Microsoft Sentinelを使用すると、データ全体でカスタム ブックを作成したり、パッケージ化されたソリューションで使用できる既存のブック テンプレートを使用したり、コンテンツ ハブのスタンドアロン コンテンツとして使用したりできます。 各ブックは、他のあらゆる Azure リソースと同様に Azure リソースであり、Azure のロールベースのアクセス制御 (RBAC) を使用してアクセス許可を割り当てることで、誰がアクセスできるかを定義および制限できます。

重要

2027 年 3 月 31 日以降、Microsoft SentinelはAzure portalでサポートされなくなり、Microsoft Defender ポータルでのみ使用できるようになります。 Azure portalでMicrosoft Sentinelを使用しているすべてのお客様は、Defender ポータルにリダイレクトされ、Defender ポータルでのみMicrosoft Sentinelを使用します。

Azure portalでMicrosoft Sentinelを引き続き使用している場合は、スムーズな移行を確保し、Microsoft Defenderによって提供される統合セキュリティ操作エクスペリエンスを最大限に活用するために、Defender ポータルへの移行の計画を開始することをお勧めします。

前提条件

ブックを作成または使用する前に、次の前提条件を満たしていることを確認してください。

  • Microsoft Sentinel ワークスペースのリソース グループに対するブック閲覧者またはブック共同作成者のアクセス許可が少なくとも必要です。

    Microsoft Sentinelに表示されるブックは、Microsoft Sentinel ワークスペースのリソース グループ内に保存され、作成されたワークスペースによってタグ付けされます。

  • ブック テンプレートを使用するには、ブックを含むソリューションをインストールするか、 Content Hub からスタンドアロンアイテムとしてブックをインストールします。 詳細については、「Microsoft Sentinel のすぐに使えるコンテンツを確認して管理する」を参照してください。

  • Azure Data Explorer データ ソースを使用して Defender ポータルで作業している場合は、必ず Defender ポータルからAzure Data Explorerするように構成して認証してください。

テンプレートからワークブックを作成する

コンテンツ ハブからインストールされたテンプレートを使用してブックを作成します。

  1. Microsoft Sentinel で、脅威の管理 > ワークブック を選択します。

  2. ブック ページで、テンプレート タブを選択すると、インストールされているワークブック テンプレートの一覧を表示できます。 テンプレートを選択して詳細を表示します。

    一部のワークブックは、動作するには特定のデータ接続が必要です。 ワークブックを保存する前に、必須データ型フィールドを確認し、その種類のデータが取り込まれていることを確認してください。

    例:

  3. 詳細ウィンドウで [ 保存] を選択し、ブックを保存する場所を選択します。 このアクションにより、関連するテンプレートに基づいて、選択した場所にAzure リソースが作成されます。 ブックの JSON ファイルのみがこの場所に保存され、データは保存されません。

  4. 詳細ウィンドウで、[ 保存したブックの表示 ] を選択して編集用に開きます。

  5. ブックを開き、[ 編集] を選択して、必要に応じてブックをカスタマイズします。

    保存されたワークブックを示したスクリーンショット。

    Defender ポータルで作業する場合、一部の視覚化はAzure portalでのみ表示できます。 このような場合は、[Azureで開く] を選択して、Azure portalでブックを開きます。

    たとえば、 TimeRange フィルターを選択すると、現在の選択とは異なる時間範囲のデータが表示されます。 特定のブック領域を編集するには、[ 編集] を選択するか、省略記号 (...) を選択して要素を追加するか、領域を移動、複製、または削除します。

    ワークブックを複製するには、名前を付けて保存 を選択します。 同じサブスクリプションとリソース グループの下に、別の名前で複製を保存します。 複製したワークブックは、Microsoft Sentinel > Threat management > Workbooks ページの My workbooks タブにも表示されます。

  6. 完了したら、[ 編集の完了 ] を選択して変更を保存します。

詳細については、以下を参照してください:

新しいブックを作成する

Microsoft Sentinel で、ワークブックを最初から作成します。

  1. Microsoft Sentinel で、[脅威管理] > [ワークブック] を選択し、次に [ワークブックの追加] を選択します。

  2. ブックを編集するには、[ 編集] を選択し、必要に応じてテキスト、クエリ、パラメーターを追加します。

    ワークブックをカスタマイズする方法の詳細については、「Azure Monitor Workbooks を使用して対話型レポートを作成する方法」を参照してください。

    新しいブックを表示したスクリーンショット。

  3. クエリを作成するときに、[ データ ソース ] を [ログ] に、[ リソースの種類 ] を [Log Analytics] に設定し、1 つ以上のワークスペースを選択します。

    クエリでは、組み込みのテーブルではなく 、高度なセキュリティ情報モデル (ASIM) パーサー を使用することをお勧めします。 クエリでは、1 つのデータ ソースではなく、現在または将来の関連データ ソースがサポートされます。

  4. 編集が完了したら、[編集の 完了 ] を選択し、[ 保存] を選択します。 サイド ウィンドウで、ブックのわかりやすい名前を入力し、ワークスペースのサブスクリプションとリソース グループを選択します。

  5. Azure ポータルで作業する際は、いずれかのブックのツール バーにある [開く]ワークスペース内の保存済みブックを切り替えるために使用する [開く] ボタンのアイコン。 を選択して、ワークスペース内のブックを切り替えます。 切り替え先として選択できる他のワークブックの一覧画面に切り替わります。

    開きたいブックを選択します:

    ワークブックを切り替える方法を示したスクリーンショット。

ワークブック用の新しいタイルを作成する

Microsoft Sentinel ブックにカスタム タイルを追加するには、まず Log Analytics でタイルを作成します。 詳細については、「 Log Analytics のビジュアル データ」を参照してください。

タイルを作成したら、ピン留め を選択し、タイルの表示先のブックを選択します。

ワークブックのデータを更新する

ワークブックを更新して、最新のデータを表示します。 ツール バーで、次のいずれかのオプションを選択します。

  • 更新 をクリックすると、ブックのデータを手動で更新できます。

  • 自動更新。設定した間隔でワークブックが自動的に更新されるように設定します。

    • サポートされている自動更新間隔の範囲は 5 分 から 1 日です。

    • ワークブックの編集中は自動更新が一時停止され、編集モードから表示モードに戻るたびに更新間隔はリセットされます。

    • データを手動で更新すると、自動更新間隔も再起動されます。

    既定では、自動更新はオフになっています。 自動更新をオンにした場合は、ノートブックを閉じてパフォーマンスを最適化し、バックグラウンドで実行されないようにするたびに、再びオフになります。 次回ブックを開くときは、必要に応じて自動更新をオンに戻してください。

ブックを印刷したり、PDF として保存したりするには、ブック タイトルの右側にあるオプション メニューを使用します。 これらのオプションは、Azure portalでのみ使用できます。 Defender ポータルで作業している場合は、[Azureで開く] を選択して、Azure portalでブックを開きます。

  1. [コンテンツの印刷] >オプションを選択します。

  2. 印刷画面で、必要に応じて印刷設定を調整するか、[ PDF として保存] を選択してローカルに保存します。

    例:

    ブックを印刷するか PDF として保存する方法を示すスクリーンショット。

1 つ以上のワークブックを削除する

[マイ ブック] タブから、保存したテンプレートとカスタマイズされた ブックの両方を 削除できます。テンプレート自体は削除できません。

Warning

ワークブックを削除すると、ワークブック リソースとテンプレートに加えたカスタマイズが完全に削除されます。 この操作を元に戻すことはできません。 元のテンプレートは引き続き使用できます。

ワークブックを削除するには、[マイ ブック] タブで削除するワークブックを選択し、[削除] を選択します。

ワークブックの推奨事項

次の推奨事項は、Microsoft Sentinel のブックを効果的に使用する際に役立ちます。

Microsoft Entra ID のワークブックの追加

Microsoft SentinelでMicrosoft Entra IDを使用する場合は、Microsoft Sentinel用のMicrosoft Entra ソリューションをインストールし、次のブックを使用することをお勧めします。

  • Microsoft Entraサインインでは、時間の経過に伴うサインインが分析され、異常があるかどうかを確認します。 このブックでは、アプリケーション、デバイス、場所によって失敗したサインインが提供されるため、異常なことが発生した場合に一目でわかります。 失敗した複数のサインインに注意してください。
  • Microsoft Entra監査ログは、ユーザーの変更 (追加、削除など)、グループの作成、変更などの管理アクティビティを分析します。

ファイアウォールのワークブックを追加する

コンテンツ ハブから適切なソリューションをインストールして、ファイアウォール用のブックを追加することをお勧めします。

たとえば、Palo Alto ワークブックを追加するには、Microsoft Sentinel 向けの Palo Alto ファイアウォール ソリューションをインストールします。 ブックはファイアウォール トラフィックを分析し、ファイアウォール データと脅威イベントの間の相関関係を提供し、エンティティ間の疑わしいイベントを強調表示します。

Palo Alto ワークブックのスクリーンショット。

用途ごとに異なるワークブックを作成する

ペルソナのロールと目的に基づいて、ブックを使用するペルソナの種類ごとに異なる視覚化を作成することをお勧めします。 たとえば、ファイアウォール データを含むネットワーク管理者用のブックを作成します。

または、どのくらいの頻度で確認したいかに応じてワークブックを作成します。たとえば、毎日確認したいものや、1時間ごとに確認したい項目ごとに作成します。 たとえば、異常がないか確認するために、1 時間ごとに Microsoft Entra のサインインを確認したい場合があります。

次のクエリを使用して、数週間にわたるトラフィックの傾向を比較する視覚化を作成します。 環境に応じて、クエリを実行するデバイス ベンダーとデータ ソースを切り替えます。

次のサンプル クエリでは、Windows の SecurityEvent テーブルを使用します。 AzureActivity テーブルまたは CommonSecurityLog テーブル、その他のファイアウォールで実行するように切り替えることができます。

このクエリでは、現在の週と前の週の間の毎日のセキュリティ イベント数が比較されるため、イベント ボリュームの異常な変化をすばやく見つけることができます。

// week over week query
SecurityEvent
| where TimeGenerated > ago(14d)
| summarize count() by bin(TimeGenerated, 1d)
| extend Week = iff(TimeGenerated>ago(7d), "This Week", "Last Week"), TimeGenerated = iff(TimeGenerated>ago(7d), TimeGenerated, TimeGenerated + 7d)

複数のソースからのデータを含むサンプル クエリ

複数のソースからのデータを組み込んだクエリを作成することもできます。 たとえば、新しく作成されたユーザーについて Microsoft Entra の監査ログを確認し、さらに Azure アクティビティ ログを確認して、そのユーザーが作成後 24 時間以内に Azure RBAC ロールの割り当て変更を開始したかどうかを調べるクエリを作成します。 その疑わしいアクティビティは、次のクエリを使用して視覚化に表示されます。

次のクエリでは、Microsoft Entra監査ログで新しく作成されたユーザーを検索し、Azure アクティビティ ログと結合して、ユーザー作成から 24 時間以内に行われたロールの割り当ての変更を検出します。

AuditLogs
| where OperationName == "Add user"
| project AddedTime = TimeGenerated, user = tostring(TargetResources[0].userPrincipalName)
| join (AzureActivity
| where OperationName == "Create role assignment"
| project OperationName, RoleAssignmentTime = TimeGenerated, user = Caller) on user
| project-away user1

前の例で使用した次の項目の詳細については、Kusto のドキュメントを参照してください。

KQL の詳細については、「Kusto 照会言語 (KQL) の概要」を参照してください。

その他のリソース：

詳細については、以下を参照してください:

  • Last updated on