Microsoft Sentinel：クラウド SIEM

Microsoft Sentinel は、クラウドネイティブなSecurity Information and Event Management（SIEM） およびSecurity Orchestration, Automation, and Response（SOAR） プラットフォームです。Azure、オンプレミス、その他のクラウド、SaaS アプリケーションなど、デジタル環境全体からログとシグナルを取り込み、AI と機械学習を適用して脅威を検出し、セキュリティ アナリストによる大規模なインシデントの調査と対応を支援します。

従来のログ管理ツールは、コンプライアンスと検索のためにログを収集して保存します。SIEM はさらに、複数のデータ ソースにまたがるイベントを関連付け、検出ルールを適用して攻撃パターンを特定し、人による調査が必要なインシデントに優先順位を付けます。Sentinel はSOAR 機能も備えており、プレイブックを通じて IP のブロックやパスワードのリセットなど、繰り返し行う対応を自動化できます。これにより、アナリストは複雑な調査に集中できます。

Sentinel はLog Analytics ワークスペース上に構築されます。取り込まれたすべてのデータはワークスペース内のテーブルに保存され、Kusto Query Language（KQL）でクエリを実行できます。Log Analytics ワークスペースで Sentinel を有効にし、データ ソースを接続すると、Sentinel の分析、ハンティング、自動化機能を、そのワークスペースに保存されたデータに対して利用できるようになります。ワークスペースは、Sentinel と Azure Monitor の両方に共通する単一のデータ プレーンとして機能します。

データコネクタは、さまざまなソースからログやアラートをSentinelにストリーミングします。Microsoftネイティブのコネクタ（コード不要、トグル1つで有効化）では、Entra IDのサインインログ、Azure Activity、Defender for Cloudのアラート、Microsoft 365、Defender XDRに対応しています。コネクターハブでは、Common Event Format（CEF）またはSyslogを介して、Cisco、Palo Alto、AWS CloudTrail、Okta、Salesforceなど、多数のサードパーティソースに対応しています。Content Hubから利用できるコネクタは200種類以上あります。

分析ルールは、Sentinelの検出エンジンです。各ルールはスケジュール（5分ごとから24時間ごとまで）に基づいてKQLクエリを実行し、クエリが結果を返すとアラートを作成します。Sentinelには、よく知られた攻撃パターンを対象とする何百もの組み込みテンプレートが用意されています。Content Hubからテンプレートをインポートしてカスタマイズしたり、組織固有の脅威検出ロジックに対応する独自のルールを作成したりできます。

分析ルールが起動すると、そのアラートはインシデントにグループ化されます。インシデントは、セキュリティ侵害の可能性を調査するためのコンテナーです。調査グラフには、インシデントのエンティティ（アカウント、IP、ホスト、URL、ファイル）間の関係が視覚的に示されます。アナリストはグラフをたどって影響範囲を把握し、関連するアラートにピボットして、対応が必要な真陽性のインシデントか、クローズすべき偽陽性かを判断します。

Sentinelにおける脅威ハンティングとは、まだアラートを発生させていない脅威を能動的に検索することです。セキュリティアナリストは、事前に用意されたハンティングクエリ（KQL）を使用または作成し、自動検出ルールを回避する、侵害の微妙な兆候（低速かつ長期化する攻撃、ラテラルムーブメント、データステージングなど）を探します。ハンティング中に見つかった注目すべき行はブックマークに登録し、正式な調査のためにインシデントに関連付けることができます。

Sentinelのプレイブックは、インシデント対応アクションを自動化するAzure Logic Appsのワークフローです。インシデントが作成されたとき（またはアラートが発生したとき）、プレイブックによって次の処理を自動化できます。当番のアナリストへのTeamsまたはメール通知の送信、Azure Firewallでの悪意のあるIPのブロック、Entra IDでの侵害されたユーザーの更新トークンの無効化、ServiceNowチケットの作成、VMのネットワークからの分離などです。このSOAR機能により、平均対応時間（MTTR）を大幅に短縮できます。

Sentinelでは、すべての分析ルールをMITRE ATT&CKフレームワークにマッピングします。これは、攻撃者の戦術とテクニックを分類した、世界的に認知されているタクソノミーです。MITRE ATT&CKカバレッジビューでは、分析ルールがカバーしている戦術とテクニック、およびカバレッジに不足している部分をヒートマップで確認できます。これにより、セキュリティチームは、自身の脅威環境に関連するテクニックへの対応範囲を改善するため、新しい検出ルールの作成に優先順位を付けられます。

Sentinelには、セキュリティデータを可視化する、Log Analytics上に構築されたパラメーター化ダッシュボードであるワークブックが数十種類組み込まれています。テンプレートは、Azure Activity、Entra IDのサインインパターン、Microsoft 365のメール脅威、ファイアウォールトラフィックなどに対応しています。セキュリティオペレーションセンター（SOC）の管理者は、シフト引き継ぎのブリーフィングや傾向分析にワークブックを使用します。一方、アナリストは生のKQLを記述しなくても、異常をすばやく見つけるために使用できます。

Sentinelの料金は、基盤となるLog Analyticsワークスペースに取り込まれたデータ量に基づいて決まります。料金モデルは2種類あります。従量課金制（Pay-As-You-Go）では、取り込んだデータ1GBごとに課金されるため、量が少ない場合や予測できない場合に適しています。容量予約では、1日あたりの最低取り込み量（100GB、200GBなど）を確約することで、1GBあたりの料金が大幅に割引されます。Microsoft Defender for Cloudのセキュリティアラートは無料で取り込めます。また、Sentinelを新たに有効にしたワークスペースでは、最初の90日間が無料です。

このレッスンで扱ったMicrosoft Azure Fundamentals（AZ-900）の概念について、理解度を確認します。

このレッスンでは、次の内容を学習しました。Sentinelは、KQLを使用するLog Analyticsワークスペース上に構築された、クラウドネイティブのSIEMおよびSOARです。分析ルールは、スケジュールに従ってKQLクエリを実行し、インシデントを生成することで脅威を検出します。また、プレイブックはLogic Appsを使用して対応アクションを自動化し、MTTRを短縮します。次は、Azure DDoS ProtectionとAzure Firewallについて学習します。