Microsoft Sentinel による脅威の検出 (ルールとアラートの作成)

Microsoft Sentinel による脅威の検出 (ルールとアラートの作成)

2024 年 3 月 1 日

この技術的および教育的な記事は、セキュリティ アナリスト、IT 管理者、およびシステム エンジニアが、Microsoft Sentinel、Microsoft クラウドネイティブ SIEM (セキュリティ情報およびイベント管理)、および SOAR (セキュリティ オーケストレーション、自動化、および応答) を使用して脅威をプロアクティブに検出する方法をガイドすることを目的としています。 Microsoft Sentinel は、複数のソースからデータを収集し、脅威を検出し、インシデントを調査し、自動化された方法で対応することにより、企業全体のセキュリティの統一されたビューを提供します [1]。

はじめに

ますます複雑化、大量化するサイバー脅威の状況において、組織はセキュリティ データを収集するだけでなく、それをインテリジェントに分析して悪意のあるアクティビティを特定するツールを必要としています。 Microsoft Sentinel は、セキュリティ チームがリアルタイムで脅威を監視、検出し、対応できるようにすることで、このギャップを埋めます。分析ルールとアラートの作成は Sentinel の検出機能の中心であり、膨大な量のログを実用的な洞察に変換します [2]。

この実践的なガイドでは、データの取り込みからカスタム アラートの作成、その有効性の検証まで、Azure Sentinel での分析ルールの構成について説明します。読者が環境内で脅威検出を実装および最適化し、セキュリティ体制を強化し、インシデント対応を迅速化できるように、段階的な手順、KQL (Kusto Query Language) クエリの例、および説明が提供されます。

脅威検出に Azure Sentinel を使用する理由

  • クラウド スケーラビリティ: Azure に基づいて、ログの取り込みとストレージに無制限のスケーラビリティを提供します。
  • 統合脅威インテリジェンス: Microsoft とパートナーの脅威インテリジェンスを利用して、検出を強化します。
  • 行動分析 (UEBA): ユーザーおよびエンティティの異常および疑わしい動作を特定します。
  • 自動化 (SOAR): プレイブックを通じてインシデントへの対応を自動化できます。
  • 包括的な可視性: Microsoft 365、Azure、AWS、Google Cloud、サードパーティのセキュリティ ソリューションを含む複数のデータ ソースに接続します。

前提条件

Azure Sentinel を使用して脅威検出を構成するには、次のアイテムが必要です。

  1. Azure サブスクリプション: アクティブな Microsoft Azure サブスクリプション。
  2. 管理アクセス: Azure portal (portal.azure.com) で Sentinel 共同作成者または Log Analytics 管理者のアクセス許可を持つアカウント。
  3. Log Analytics ワークスペース: Sentinel のデータ リポジトリとして機能する、構成された Log Analytics ワークスペース。
  4. Microsoft Sentinel がアクティブ: Microsoft Sentinel が Log Analytics ワークスペースで有効になっている必要があります。
  5. 構成されたデータ コネクタ: セキュリティ データ (ログ) は、Azure AD、Microsoft 365、Microsoft Defender for Endpoint、ファイアウォールなどのソースから Log Analytics ワークスペースに取り込まれる必要があります [3]。

ステップバイステップ: 分析ルールとアラートの作成

スケジュールされた分析ルールを作成して、一般的な脅威シナリオ、つまりブルート フォースの試みを示す短期間での複数のログイン失敗を検出しましょう。

1. データ コネクタを確認する

ルールを作成する前に、関連するデータが取り込まれていることを確認してください。ログイン失敗の検出には、Azure Active Directory (Microsoft Entra ID) のログが必要です。

  1. Azure ポータル:「https://portal.azure.com」に移動します。
  2. Microsoft Sentinel に移動します。
  3. 左側のナビゲーション ペインで、データ コネクタを選択します。
  4. Azure Active Directory を検索し、ステータスが 接続中であることを確認します。

2. スケジュールされた分析ルールを作成する

10 分以内に同じ IP からの 5 回以上のログイン失敗を検出するルールを作成してみましょう。

  1. Azure Sentinel の左側のナビゲーション ウィンドウで、分析 を選択します。
  2. [+作成] > [スケジュールされたクエリ ルール] をクリックします。

ステップ 1: 一般

  1. 名前: Azure AD ブルート フォース試行
  2. 説明: 「短期間内に同じ IP アドレスからの複数の Azure AD ログイン失敗を検出し、ブルート フォース攻撃の可能性を示します。」
  3. 戦術: 「資格情報へのアクセス」を選択します。
  4. 重大度:「中」。
  5. ステータス:「有効」。
  6. [次へ: Defi] をクリックします。ルールロジックを定義します。

ステップ 2: ルール ロジックを定義する

  1. ルール クエリ: KQL クエリを入力します。

「くすと」 サインインログ | where ResultType == "50126" // 資格情報の検証が失敗しました | IPAddress、UserPrincipalName、bin(TimeGenerated, 10m) による FailedLogins = count() の要約 |ここで、FailedLogins >= 5 | extend AccountCustomEntity = UserPrincipalName、IPCustomEntity = IPAddress 「」

  1. エンティティ マッピング: エンティティをマッピングしてアラートを強化します。 エンティティ マッピング で、次を追加します。

    • アカウント: AccountCustomEntity
    • IP アドレス: IPCustomEntity

  2. 予約のスケジュール:

    • クエリを実行する間隔: 10 分
    • 最新の検索データ: 10 分

  3. アラート制限: デフォルトの「クエリ結果の数が 0 より大きい場合にアラートを生成する」のままにします。

ステップ 3: インシデントの設定

  1. この分析ルールによってトリガーされたアラートからインシデントを作成: 有効。
  2. アラートのグループ化: 「すべてのアラートが同じエンティティから生成されている場合、アラートを 1 つのインシデントにグループ化します」。

ステップ 4: 自動応答

必要に応じて、プレイブック (Logic Apps に基づく) を添付して、ファイアウォールでの IP アドレスのブロックやユーザー アカウントの無効化などのアクションを自動化できます。

ステップ 5: 確認と作成

すべての設定を確認し、作成 をクリックします。

アラートとインシデントの調査

ルールが不審なアクティビティを検出すると、インシデントが作成されます。

  1. Azure Sentinel で、インシデント に移動します。
  2. ルールによって生成されたインシデントをクリックします。
  3. インシデントの詳細ページには、次の内容が表示されます。
    • タイムライン: アラートの年表。
    • エンティティ: マップされたエンティティ (ユーザーと IP)。さらに調査できます。
    • 調査グラフ: エンティティ間の接続をグラフィカルに視覚化したもの。

これらのツールを使用して攻撃の範囲を理解し、必要な対応措置を講じます。

分析ルール テンプレートの使用

Microsoft Sentinel には、Microsoft とそのセキュリティ コミュニティが提供する何百もの事前に構築されたルール テンプレートが付属しています。これらを使用すると、検出能力を高める簡単な方法です。

  1. 分析で、ルール テンプレート タブに移動します。
  2. データソース、MITRE ATT&CK® 戦術などでフィルタリングします。
  3. 関連するテンプレート (例: 「異常なサインイン場所」) を選択します。
  4. 詳細ペインで [ルールの作成] をクリックします。ウィザードにはテンプレート ロジックと設定が入力され、アクティブなルールを作成する前にカスタマイズできます。

結論

Azure Sentinel でのカスタム分析ルールの作成は、セキュリティ チームにとって不可欠な機能です。生データを実用的な検出に変換することで、組織はブルート フォース攻撃、水平移動、データ漏洩などの脅威を積極的に特定できます。 Sentinel を応答の自動化と既存のルール テンプレートと組み合わせることで、アナリストは最も重要なこと、つまり組織の保護に集中できるようになります。

参考文献

[1] マイクロソフト。 （2023年）。 Microsoft Sentinel とは何ですか? [2] マイクロソフト。 （2023年）。 Microsoft Sentinel でインシデントを表示および調査します。 [3] マイクロソフト。 （2023年）。 Microsoft Sentinel データ コネクタと連携。