STIX/TAXII を使用して Microsoft Sentinel で脅威インテリジェンスをインポートおよびエクスポートする

STIX データ形式と TAXII プロトコル は、脅威インテリジェンスを送信するための最も広く採用されている業界標準です。 Microsoft Sentinel では、標準を使用した脅威インテリジェンス プラットフォームとの統合がサポートされ、脅威インテリジェンスをインポートおよびエクスポートするための組み込みのコネクタが提供されます。

脅威インテリジェンス - TAXII データ コネクタを使用して、TAXII 2.0 または 2.1 サーバーから Sentinel ワークスペースに脅威インジケーターをインポートします。 脅威インテリジェンスを外部で共有するには、脅威インテリジェンス - TAXII エクスポート コネクタを構成します。これにより、サポートされている TAXII 2.1 プラットフォームへの安全な標準ベースのエクスポートが可能になります。

この記事では、両方のプロセス (インポート用の STIX/TAXII フィードへの接続と TAXII サーバーへのエクスポートの構成) について説明します。

Microsoft Sentinel の脅威インテリジェンスについて、特に Microsoft Sentinel と統合できる TAXII 脅威インテリジェンス フィードについて詳細をご確認ください。

詳細については、「脅威インテリジェンス プラットフォーム (TIP) を Microsoft Sentinel に接続する」を参照してください。

前提条件

• [コンテンツ ハブ] 内のスタンドアロン コンテンツまたはソリューションをインストール、更新、または削除するには、リソース グループ レベルでの Microsoft Sentinel 共同作成者ロールが必要です。
• TAXII 2.0 または TAXII 2.1 の API ルート URI とコレクション ID が必要です。

TAXII サーバー API ルートとコレクション ID を取得する

TAXII 2.x サーバーによって、脅威インテリジェンスのコレクションをホストする URL である API ルートが公開されます。 通常、API ルートとコレクション ID は、TAXII サーバーをホストする脅威インテリジェンス プロバイダーのドキュメント ページで確認できます。

Microsoft Sentinel に脅威インテリジェンス ソリューションをインストールする

TAXII サーバーから Microsoft Sentinel に脅威インジケーターをインポートするか、Microsoft Sentinel から脅威インジケーターをエクスポートするには、脅威インテリジェンス ソリューションをインストールします。

1. Azure portal の Microsoft Sentinel の [コンテンツ管理] で、[コンテンツ ハブ] を選択します。

   Defender ポータルの Microsoft Sentinel では、[Microsoft Sentinel]>[コンテンツ管理]>[コンテンツ ハブ] を選びます。

2. 脅威インテリジェンス ソリューションを見つけて選択します。

3. [インストール/更新] ボタンを選択します。

ソリューション コンポーネントを管理する方法の詳細については、すぐに使えるコンテンツの検出とデプロイに関するページを参照してください。

脅威インテリジェンス - TAXII データ コネクタを有効にする

TAXII データ コネクタを構成するには:

1. [ データ コネクタ ] メニューを選択します。

2. [脅威インテリジェンス - TAXII] データ コネクタを見つけて選択し、次に [コネクタ ページを開く] を選択します。

   

3. [フレンドリ名] テキスト ボックスに、この TAXII サーバー コレクションの名前を入力します。 [API ルート URL]、[コレクション ID]、[ユーザー名] (必要な場合)、[パスワード] (必要な場合) のテキスト ボックスに入力します。 インジケーターのグループと、必要なポーリング頻度を選択します。 [追加]を選択します。

   

TAXII サーバーへの接続が正常に確立されたことを確認するメッセージが表示されます。 1 つ以上の TAXII サーバーから複数のコレクションに接続する場合は、最後の手順を必要な回数繰り返します。

数分以内に、脅威インジケーターが Microsoft Azure Sentinel ワークスペースに送られるようになります。 [脅威インテリジェンス] ウィンドウで新しいインジケーターを見つけます。 Microsoft Sentinel メニューからアクセスできます。

Microsoft Sentinel TAXII クライアントの IP 許可リスト

FS-ISAC などの一部の TAXII サーバーには、Microsoft Sentinel TAXII クライアントの IP アドレスを許可リストに保持するという要件があります。 ほとんどの TAXII サーバーには、この要件はありません。

該当する場合、以下の IP アドレスを許可リストに含めてください。

脅威インテリジェンスを有効にする - TAXII Export データ コネクタ

TAXII データ コネクタを構成するには:

1. Microsoft Sentinel に最新バージョンの脅威インテリジェンス ソリューションがあることを確認します。 詳細については、「 Microsoft Sentinel での脅威インテリジェンス ソリューションのインストール」を参照してください。

2. [ データ コネクタ ] メニューを選択します。

3. 脅威インテリジェンス - TAXII エクスポート データ コネクタを選択し、サイドウィンドウで コネクタ ページを開くを選択します。

   

4. 脅威インテリジェンスの [TAXII エクスポート] ページの [構成] 領域で、次の操作を行います。

   • [サーバーのフレンドリ名] テキスト ボックスに、この TAXII サーバー コレクションの名前を 入力します。
   • API ルート URL、コレクション ID のテキスト ボックスに入力します。 詳細については、「 TAXII サーバー API のルートとコレクション ID を取得する」を参照してください。
   • [認証の種類] ドロップダウンから基本認証または API キーを選択し、関連する認証の詳細を指定します。
   • [ ルールの有効化] を 選択して、コネクタ ページで説明されている規則をエクスポートされたすべての脅威インテリジェンスに適用します。

   例えば次が挙げられます。

   • Defender ポータル
   • Azure Portal

   

   注

   現在、既存のコネクタの編集はサポートされていません。 TAXII サーバーまたはその規則の構成を変更するには、コネクタを再インストールします。

5. [ 追加] を選択してサーバーを追加します。

脅威インテリジェンスの IP 許可リスト - TAXII エクスポート コネクタ

次の IP アドレスを許可リストに追加して、エクスポート操作がブロックされないようにします。

関連コンテンツ

このドキュメントでは、TAXII プロトコルを使用して Microsoft Sentinel を脅威インテリジェンス フィードに接続する方法について学習しました。 Microsoft Sentinel での脅威インテリジェンスの操作の詳細については、次の記事を参照してください。

• Microsoft Sentinel 脅威インテリジェンスを使用する