Microsoft Sentinel プレイブックを作成して管理する

プレイブックは、インシデント全体、個々のアラート、または特定のエンティティに対応して Microsoft Sentinel から実行できる手続きのコレクションです。 プレイブックは、応答の自動化と調整に役立ち、特定のアラートが生成されたとき、またはインシデントが作成または更新されたときに自動的に実行されるように自動化ルールにアタッチできます。 また、特定のインシデント、アラート、またはエンティティに対し、オンデマンドで、手動でプレイブックを実行することもできます。

この記事では、Microsoft Sentinel プレイブックを作成して管理する方法について説明します。 これらのプレイブックは、後で分析ルールまたは自動化ルールにアタッチすることも、特定のインシデント、アラート、またはエンティティに対して手動で実行することもできます。

前提条件

• Azure アカウントとサブスクリプション。 サブスクリプションをお持ちでない場合は、 無料の Azure アカウントにサインアップしてください。

• プレイブックを作成して管理するには、次のいずれかの Azure ロールを使用して Microsoft Sentinel にアクセスする必要があります。

  ロジック アプリ	Azure ロール	説明
  従量課金プラン	ロジック アプリ共同作成者	ロジック アプリを編集および管理します。
  従量課金プラン	ロジック アプリ オペレーター	ロジック アプリの読み取り、有効化、無効化を行います。
  スタンダード	Logic Apps Standard オペレーター	ワークフローの有効化、再送信、無効化を行います。
  スタンダード	Logic Apps Standard Developer	ワークフローを作成および編集します。
  スタンダード	Logic Apps 標準共同作成者	ワークフローのすべての側面を管理します。

  詳しくは、次のドキュメントをご覧ください。

  • ロジック アプリの操作へのアクセス
  • Microsoft Sentinel プレイブックの前提条件。

• プレイブックを作成する前に、 Azure Logic Apps for Microsoft Sentinel プレイブックをお読みすることをお勧めします。

プレイブックを作成する

Microsoft Sentinel に新しいプレイブックを作成するには、これらの手順に従います。

1. Defender ポータルまたは Azure portal で、Microsoft Sentinel ワークスペースに移動します。 ワークスペース メニューの [ 構成] で、[Automation] を選択 します。

   • Defender ポータル
   • Azure Portal

   

2. 上部のメニューから [ 作成] を選択し、次のいずれかのオプションを選択します。

   • 従量課金プレイブックを作成する場合は、使用するトリガーに応じて次のいずれかのオプションを選択し、従量課金ロジック アプリの手順に従います。

     • インシデント トリガーを使用したプレイブック
     • アラート トリガーを使用したプレイブック
     • エンティティ トリガーを使用したプレイブック

     このガイドは、 エンティティ トリガーを含むプレイブックに進みます。

   • Standard プレイブックを作成する場合は、[空のプレイブック] を選択し、Standard ロジック アプリの種類の手順に従います。

   詳細については、「 サポートされているロジック アプリの種類 」と「 Microsoft Sentinel プレイブックでサポートされているトリガーとアクション」を参照してください。

プレイブックのロジック アプリを準備する

プレイブックのロジック アプリを作成する方法の詳細については、従量課金または Standard のどちらのロジック アプリを使用するかに応じて、次のタブのいずれかを選択します。 詳細については、「 サポートされているロジック アプリの種類」を参照してください。

認証プロンプト

認証を必要とするトリガーまたは後続のアクションを追加すると、対応するリソース プロバイダーでサポートされている使用可能な認証の種類から選択するように求められる場合があります。 この例では、Microsoft Sentinel トリガーは、ワークフローに追加する最初の操作です。 そのため、リソース プロバイダーは Microsoft Sentinel であり、複数の認証オプションをサポートしています。 詳しくは、次のドキュメントをご覧ください。

• Microsoft Sentinel にプレイブックを認証する
• Microsoft Sentinel プレイブックでサポートされているトリガーとアクション

プレイブックにアクションを追加する

これでプレイブックのワークフローが作成されたので、プレイブックを呼び出すときの動作を定義します。 アクション、論理条件、ループ、または切り替えのケース条件をすべて追加するには、デザイナーで正符号 (+) を選択します。 詳細については、「 トリガーまたはアクションを使用してワークフローを作成する」を参照してください。

この選択により、[ アクションの追加 ] ウィンドウが開き、サービス、アプリケーション、システム、制御フロー アクションなどを参照または検索できます。 検索語句を入力するか、目的のリソースを選択すると、結果の一覧に使用可能なアクションが表示されます。

各アクションでは、フィールド内で選択すると、次のオプションが表示されます。

• 動的コンテンツ (稲妻アイコン): Microsoft Sentinel トリガーを含む、ワークフロー内の上記のアクションから使用可能な出力の一覧から選択します。 たとえば、これらの出力には、プレイブックに渡されたアラートまたはインシデントの属性 (マップされたすべての エンティティ の値と属性、アラートまたはインシデントの カスタムの詳細 など) を含めることができます。 現在のアクションへの参照を追加するには、これらの出力を選択します。

  動的コンテンツの使用例については、次のセクションを参照してください。

  • インシデント ID なしでエンティティ プレイブックを使用する
  • カスタムの詳細を操作する

• 式エディター (関数アイコン): ワークフローにロジックを追加するには、関数の大規模なライブラリから選択します。

詳細については、「 Microsoft Sentinel プレイブックでサポートされているトリガーとアクション」を参照してください。

動的コンテンツ: インシデント ID のないエンティティ プレイブック

Microsoft Sentinel エンティティ トリガーで作成されたプレイブックでは、多くの場合、インシデント ARM ID フィールドが使用されます。たとえば、エンティティに対してアクションを実行した後にインシデントを更新します。 このようなプレイブックが、インシデントに関係のないシナリオ (たとえば、脅威ハンティングの場合など) でトリガーされた場合、このフィールドに設定できるインシデント ID はありません。 代わりに、このフィールドには null 値が設定されます。 その結果、プレイブックの実行を完了できない可能性があります。

このエラーを回避するには、ワークフローが他のアクションを実行する前に、[インシデント ID] フィールドの値をチェックする条件を作成することをお勧めします。 プレイブックがインシデントから実行されていないために、フィールドに null 値が設定されている場合に実行する別のアクション セットを指定できます。

1. ワークフローで、[ インシデント ARM ID ] フィールドを参照する最初のアクションの前に 、次の一般的な手順に従って 条件 アクションを追加します。

2. 条件ペインの条件行で、左側の [値の選択] フィールドを選択し、動的コンテンツ オプション (稲妻アイコン) を選択します。

3. 動的コンテンツリストの Microsoft Sentinel インシデントで、検索ボックスを使用して インシデント ARM ID を検索して選択します。

   ヒント

   出力が一覧に表示されない場合は、トリガー名の横にある [ 詳細] を選択します。

4. 中央フィールドで、演算子リストから等しくないを選択します。

5. 右側の [値の選択 ] フィールドで、式エディター オプション (関数アイコン) を選択します。

6. エディターで 「null」と入力し、[ 追加] を選択します。

完了すると、条件は次の例のようになります。

動的コンテンツ: カスタム詳細を操作する

Microsoft Sentinel インシデント トリガーでは、アラートのカスタム詳細出力は JSON オブジェクトの配列であり、それぞれがアラートのカスタム詳細を表します。 カスタム詳細は、キーと値のペアです。これを使用すると、アラート内のイベントからの情報を表示できるため、イベントをインシデントの一部として表現、追跡、分析することができます。

アラートのこのフィールドはカスタマイズ可能であるため、スキーマは、表示されるイベントの種類によって異なります。 カスタム詳細出力を解析する方法を決定するスキーマを生成するには、このイベントのインスタンスからのデータを指定します。

1. Microsoft Sentinel ワークスペース メニューの [構成] で、[ 分析] を選択します。

2. 既存の スケジュールされたクエリ ルール または NRT クエリ ルールを作成または開く手順に従います。

3. [ルール ロジックの設定] タブで、[カスタムの詳細] セクションを展開します。次に例を示します。

   

   次の表は、これらのキーと値のペアの詳細情報を示しています。

   項目	場所	説明
   鍵	左列	作成するカスタム フィールドを表します。
   価値	右列	カスタム フィールドを設定するイベント データのフィールドを表します。

4. スキーマを生成するには、次の JSON コード例を指定します。

   { "FirstCustomField": [ "1", "2" ], "SecondCustomField": [ "a", "b" ] }
   

   このコードは、キーを配列として、値を配列内の項目として示します。 値は、値を含む列としてではなく、実際の値として示されます。

インシデント トリガーにカスタム フィールドを使用するには、ワークフローで次の手順に従います。

1. ワークフロー デザイナーの Microsoft Sentinel インシデント トリガーで、[ JSON の解析] という名前の組み込みアクションを追加します。

2. アクションの Content パラメーター内を選択し、動的コンテンツ リスト オプション (稲妻アイコン) を選択します。

3. 一覧のインシデント トリガー セクションで、[ アラートのカスタム詳細] を見つけて選択します。次に例を示します。

   

   インシデントにはアラートの配列が含まれているため、この選択により、JSON の解析に関する For each ループが自動的に追加されます。

4. [JSON 情報の 解析 ] ウィンドウで、[ サンプル ペイロードを使用してスキーマを生成する] を選択します。次に例を示します。

   

5. [ サンプル JSON ペイロードの入力または貼り付け ] ボックスにサンプル ペイロードを入力し、[ 完了] を選択します。

   たとえば、Log Analytics でこのアラートの別のインスタンスを探し、カスタム詳細オブジェクトをコピーすることで、サンプル ペイロードを見つけることができます。このオブジェクトは[ 拡張プロパティ] の下にあります。 Log Analytics データにアクセスするには、Azure portal の [ログ ] ページまたは Defender ポータルの [高度なハンティング ] ページに移動します。

   次の例は、前述のサンプル JSON コードを示しています。

   

   完了すると、[ スキーマ ] ボックスに、指定したサンプルに基づいて生成されたスキーマが含まれるようになりました。 JSON の解析アクションでは、ワークフローの後続のアクションで Array 型の動的フィールドとして使用できるカスタム フィールドが作成されます。

   次の例は、スキーマと、 Compose という名前の後続のアクションの動的コンテンツ リストの両方に配列とその項目を示しています。

   

プレイブックを管理する

[オートメーション] > [アクティブなプレイブック] タブの順に選択して、アクセスできるすべてのプレイブックをサブスクリプション ビューでフィルター処理して表示します。

Microsoft Defender ポータルにオンボードした後、既定では、[ アクティブなプレイブック ] タブには、オンボードされたワークスペースのサブスクリプションを含む定義済みのフィルターが表示されます。 Azure portal で、グローバル Azure ページ ヘッダーの [ディレクトリ + サブスクリプション ] メニューから表示されているサブスクリプションを編集します。

[アクティブなプレイブック] タブには、選択したサブスクリプションで利用可能なすべてのアクティブなプレイブックが表示されますが、プレイブックのリソース グループに対して Microsoft Sentinel のアクセス許可を明示的に付与しない限り、既定ではプレイブックは、そのプレイブックが属するサブスクリプション内でのみ使用できます。

[ アクティブなプレイブック ] タブには、プレイブックと次の詳細が表示されます。

プレイブックを選択して、その Azure Logic Apps ページを開きます。このページには、プレイブックに関するより多くの詳細が表示されます。 Azure Logic Apps ページで次の操作を行います。

• プレイブックが実行されたすべての時刻のログを表示します
• 成功や失敗、その他の詳細などの実行結果を表示します
• 関連するアクセス許可がある場合、Azure Logic Apps でワークフロー デザイナーを開いてプレイブックを直接編集します

関連するコンテンツ

プレイブックを作成したら、それを、環境内のイベントによってトリガーされるルールにアタッチするか、特定のインシデント、アラート、またはエンティティに対してプレイブックを手動で実行します。

詳細については、以下を参照してください:

• Microsoft Sentinel プレイブックを自動化して実行する
• Microsoft Sentinel にプレイブックを認証する
• Microsoft Sentinel プレイブックを使用して、侵害された可能性のあるユーザーを停止する