Microsoft Sentinel でデータ層とリテンション期間を管理する (プレビュー)

Microsoft Sentinel (SIEM) と Microsoft Defender XDR に収集したデータは、テーブルに格納されます。 Microsoft Defender ポータルでは、データに関連付けられている保持期間とストア コストを管理できます。 データ保持とコストは、次のときに管理できます。

• Microsoft Sentinel または Microsoft Defender XDR にデータを送信するようにデータ コネクタを構成します。
• 既存のテーブルとデータを管理します。

この記事では、Microsoft Defender ポータルでテーブルの保持と階層のオプションを管理してセキュリティ操作を最適化し、Microsoft Sentinel と Microsoft Defender XDR のコストを削減する方法について説明します。

Defender ポータルで管理できるテーブルはどれですか?

このセクションでは、Defender ポータルで管理できるテーブルの種類について説明します。

データ層とデータ保持の仕組み

Microsoft Sentinel のデータは、次の 2 つのレベルのいずれかで保持できます。

• 分析レベル: このレベルでは、アラート、ハンティング、ブック、およびすべての Microsoft Sentinel 機能でデータを使用できます。 データは次の 2 つの状態で保持されます。

  • 分析のリテンション期間: この "ホット" 状態では、データはリアルタイム分析 (高パフォーマンスクエリや分析ルールを含む) と脅威ハンティングに完全に利用できます。 既定では、Microsoft Sentinel と Microsoft Defender XDR は、このレベルのデータを 30 日間保持します。 日割り計算された毎月の長期保有料金で、すべてのテーブルの保持期間を最大 2 年間まで延長できます。 Microsoft Sentinel ソリューション テーブルのリテンション期間を無料で 90 日間まで延長できます。
  • 合計リテンション期間: 既定では、分析層のすべてのデータは、同じ保有期間にわたってデータ レイクにミラーリングされます。 分析リテンション期間を超えて、レイク内のデータのリテンション期間を最大 12 年間、低コストで拡張できます。

• Data Lake レベル: この低コストの "コールド" レベルでは、Microsoft Sentinel はデータをレイクにのみ保持します。 Data Lake 層のデータは、リアルタイムの分析機能や脅威ハンティングでは使用できません。 ただし、 KQL ジョブを使用して必要なときにいつでもレイク内のデータにアクセスしたり、スケジュールされた KQL または Spark ジョブを実行して時間の経過に伴う傾向を分析したり、サマリー ルールを使用して定期的に受信データから分析情報を集計したりできます。

これら 2 つのリテンション期間の種類の違いの詳細については、「 分析レベルとデータ レイク層の比較」を参照してください。

既定では、Microsoft Defender XDR は 、XDR ライセンスに含まれる 30 日間の分析リテンション期間を含む、XDR の既定のレベルで脅威ハンティング データを保持します。 サポートされている Defender XDR テーブルの保持期間を 30 日を超えて延長できます。 サポートされている Microsoft Defender XDR テーブルの保持期間を延長すると、Microsoft は分析レベルの Microsoft Sentinel ワークスペースにテーブルを自動的に作成します。

次の図は、分析、データ レイク、XDR の既定のレベルの保持コンポーネントと、各層に適用されるテーブルの種類を示しています。

Microsoft Sentinel データ レイクの詳細については、「 Microsoft Sentinel Data Lake とは」を参照してください。

分析レベルとデータ レイク層を比較する

次の表は、2 つの分析層とデータ レイク層とその主な特性を比較しています。

テーブルの設定を変更するとどうなりますか

テーブルの階層とリテンション期間の設定はいつでも切り替えることができます。

テーブルの層を分析からデータ レイクに変更すると、リアルタイム分析およびハンティング クエリはすべて機能しなくなります。

テーブルの合計リテンション期間を短縮すると、Microsoft はデータを削除するまで 30 日間待機するため、変更を元に戻し、構成でエラーが発生した場合にデータ損失を回避できます。

合計保持期間を増やすと、新しい保持期間は、テーブルに取り込み済みでまだ削除されていないすべてのデータに適用されます。

既存のデータを含むテーブルの分析リテンション期間の設定を変更すると、変更はすぐに有効になります。

例:

• 分析レベルには、分析リテンション期間が 180 日間のテーブルがあります。 既定では、合計リテンション期間も 180 日に設定されます。
• 分析のリテンション期間を 90 日に変更すると、合計保有期間は 180 日に変更されません。
• Microsoft Sentinel は、過去 90 日間のデータを分析リテンション期間から自動的に削除しますが、データ レイクに 90 日から 180 日のデータを保存し続けます。

プレビューの制限事項

パブリック プレビューの一部として、次の手順を実行します。

• Basic プランを使用する Microsoft Sentinel テーブルは、Log Analytics ワークスペースからのみ管理できます。 詳細については、「Log Analytics ワークスペースのテーブルを管理する」を参照してください。

  Microsoft Defender ポータルから保持期間と階層化を管理するには、Log Analytics ワークスペースでテーブル プランを分析プランに変更します。

• 一部の Microsoft Defender XDR テーブルは、Microsoft Defender ポータルでのみ表示できます。 現在、Microsoft Defender ポータルでは、次の Microsoft Defender XDR テーブルの管理がサポートされています。

  • アラートエビデンス
  • AlertInfo
  • CampaignInfo
  • CloudAppイベント
  • DeviceEvents
  • DeviceFileCertificateInfo
  • DeviceFileEvents
  • デバイス画像読み込みイベント
  • DeviceInfo
  • DeviceLogonEvents
  • デバイスネットワークイベント
  • DeviceNetworkInfo
  • DeviceProcessEvents
  • DeviceRegistryEvents
  • メール添付情報
  • EmailEvents
  • EmailPostDeliveryEvents
  • EメールURL情報
  • FileMaliciousContentInfo
  • アイデンティティディレクトリイベント
  • アイデンティティログオンイベント
  • アイデンティティクエリエベント
  • セキュリティアラート
  • セキュリティインシデント
  • UrlClickEvents

次のステップ

詳細については、以下をご覧ください。

• ログ テーブル層とリテンション期間の設定の構成
• 特定の条件に一致するデータを取得する検索ジョブの作成