ベスト プラクティス ガイダンスは、Microsoft Sentinelの技術ドキュメント全体を通じて提供されます。 この記事では、Microsoft Sentinelのデプロイ、管理、および使用に使用する主要なガイダンスについて説明します。
重要
2027 年 3 月 31 日以降、Microsoft SentinelはAzure portalでサポートされなくなり、Microsoft Defender ポータルでのみ使用できるようになります。 Azure portalでMicrosoft Sentinelを使用しているすべてのお客様は、Defender ポータルにリダイレクトされ、Defender ポータルでのみMicrosoft Sentinelを使用します。
Azure portalでMicrosoft Sentinelを引き続き使用している場合は、スムーズな移行を確保し、Microsoft Defenderによって提供される統合セキュリティ操作エクスペリエンスを最大限に活用するために、Defender ポータルへの移行の計画を開始することをお勧めします。
Microsoft Sentinelの使用を開始するには、デプロイ ガイドを参照してください。このガイドでは、Microsoft Sentinelデプロイを計画、デプロイ、微調整するための大まかな手順について説明します。 このガイドから、指定されたリンクを選択して、デプロイ内の各ステージの詳細なガイダンスを見つけます。
単一プラットフォーム アーキテクチャを採用する
Microsoft Sentinelは、手頃な価格で長期的なストレージを提供する最新のデータ レイクと統合されているため、チームはデータ管理を簡素化し、コストを最適化し、AI の導入を加速できます。 Microsoft Sentinel データ レイクを使用すると、セキュリティ データの単一プラットフォーム アーキテクチャが可能になり、アナリストは、Microsoft Sentinelの豊富なコネクタ エコシステムを活用しながら、統合されたクエリ エクスペリエンスを実現できます。 詳細については、「Microsoft Sentinel data lake」を参照してください。
Microsoft Defender ポータルにMicrosoft Sentinelをオンボードし、Microsoft Defender XDRと統合する
インシデント管理や高度なハンティングなどのMicrosoft Defender XDRと機能を統合するために、Microsoft Defender ポータルにMicrosoft Sentinelをオンボードすることを検討してください。
Microsoft Defender ポータルにMicrosoft Sentinelをオンボードしていない場合は、次の点に注意してください。
- 2026 年 7 月までに、Azure portalを使用するすべてのMicrosoft Sentinelのお客様が Defender ポータルにリダイレクトされます。
- それまでは、Defender XDR データ コネクタを使用して、Microsoft Defenderサービス データをAzure portal内のMicrosoft Sentinelと統合できます。
次の図は、Microsoft の XDR ソリューションがMicrosoft Sentinelとシームレスに統合される方法を示しています。
詳細については、次の記事を参照してください。
- Microsoft Defender XDRとMicrosoft Sentinelの統合
- Microsoft Sentinel を Microsoft Defender XDR に接続する
- Microsoft Defender ポータルの Microsoft Sentinel
Microsoft セキュリティ サービスを統合する
Microsoft Sentinelは、ワークスペースにデータを送信するコンポーネントによって強化され、他の Microsoft サービスとの統合によって強化されます。 Microsoft Defender for Cloud Apps、Microsoft Defender for Endpoint、Microsoft Defender for Identity などの製品に取り込まれたログにより、これらのサービスで検出結果を作成し、その検出結果を Microsoft Sentinel に提供できます。 ログを直接Microsoft Sentinelに取り込んで、イベントやインシデントの全体像を把握することもできます。
他のソースからアラートとログを取り込むだけでなく、Microsoft Sentinelにも次の機能が用意されています。
| 能力 | 説明 |
|---|---|
| 脅威の検出 | 人工知能を使用した脅威検出機能を使用すると、ブックを介して対話型ビジュアルを構築して提示したり、プレイブックを実行してアラートに自動的に対処したり、機械学習モデルを統合してセキュリティ操作を強化したり、脅威インテリジェンス プラットフォームからエンリッチメント フィードを取り込んでフェッチしたりできます。 |
| 脅威の調査 | 脅威調査機能 を使用すると、アラートとエンティティの視覚化と探索、ユーザーとエンティティの動作の異常の検出、調査中のリアルタイム イベントの監視を行うことができます。 |
| データ収集 | オンプレミスと複数のクラウドの両方で、すべてのユーザー、デバイス、アプリケーション、インフラストラクチャにわたってデータを収集します。 |
| 脅威の対応 | Azure サービスや既存のツールと統合するプレイブックなどの脅威対応機能。 |
| パートナー統合 | Microsoft Sentinel データ コネクタを使用してパートナー プラットフォームと統合し、SOC チームに不可欠なサービスを提供します。 |
カスタム統合ソリューション (パートナー) を作成する
Microsoft Sentinelと統合するカスタム ソリューションを作成するパートナーについては、「Microsoft Sentinel SIEM ソリューションのビルドと発行」を参照してください。
インシデント管理と対応プロセスを計画する
次の図は、インシデント管理と対応プロセスで推奨される手順を示しています。
次の表に、インシデント管理と対応のタスクの概要と、関連するベスト プラクティスを示します。 詳細については、Azure portal での Microsoft Sentinel のインシデント調査またはMicrosoft Defender ポータルのインシデントとアラートを参照してください。
| タスク | ベスト プラクティス |
|---|---|
| [インシデントの確認] ページ | [ インシデント ] ページでインシデントを確認します。タイトル、重大度、および関連するアラート、ログ、および関心のあるエンティティが一覧表示されます。 インシデントから収集されたログやインシデントに関連するツールにジャンプすることもできます。 |
| インシデント グラフを使用する | インシデントの インシデント グラフ を確認して、攻撃の完全な範囲を確認します。 その後、イベントのタイムラインを構築し、脅威チェーンの範囲を検出できます。 |
| 誤検知のインシデントを確認する | アカウント、URL、IP アドレス、ホスト名、アクティビティ、タイムラインなどの主要なエンティティに関するデータを使用して、誤検知があるかどうかを把握します。その場合は、インシデントを直接閉じることができます。 インシデントが真の陽性であることが判明した場合は、[ インシデント ] ページから直接アクションを実行して、ログ、エンティティを調査し、脅威チェーンを探索します。 脅威を特定し、アクションの計画を作成したら、Microsoft Sentinelやその他の Microsoft セキュリティ サービスの他のツールを使用して調査を続行します。 |
| 情報を視覚化する | Microsoft Sentinelの概要ダッシュボードを見て、organizationのセキュリティ体制を把握します。 詳細については、「 収集されたデータを視覚化する」を参照してください。 Microsoft Sentinel の概要ページに表示される情報や傾向に加えて、ワークブックは有用な調査ツールです。 たとえば、 Investigation Insights ブックを使用して、関連するすべてのエンティティとアラートと共に特定のインシデントを調査します。 このブックを使用すると、関連するログ、アクション、アラートを表示することで、エンティティをさらに詳しく調べることができます。 |
| 脅威を探索する | 根本原因の調査と検索中に、組み込みの脅威ハンティング クエリを実行し、侵害のインジケーターの結果をチェックします。 詳細については、「Microsoft Sentinelでの脅威ハンティング」を参照してください。 |
| エンティティの動作 | Microsoft Sentinelでのエンティティの動作により、ユーザーはアカウントやホスト名の調査など、特定のエンティティのアクションとアラートを確認および調査できます。 詳細については、以下を参照してください: - Microsoft Sentinelでユーザーとエンティティの動作分析 (UEBA) を有効にする - UEBA データを使用してインシデントを調査する - Microsoft Sentinel の UEBA エンリッチメント リファレンス |
| ウォッチリスト | 取り込まれたデータと、エンリッチメント データなどの外部ソースからのデータを結合するウォッチリストを使用します。 たとえば、貴社または最近退職した従業員が使用している IP アドレス範囲のリストを作成します。 プレイブックでウォッチリストを使用してエンリッチメント データを収集します。たとえば、検出、脅威ハンティング、調査中に使用するウォッチリストに悪意のある IP アドレスを追加するなどです。 インシデントの間、監視リストを使用して調査データを格納し、調査が完了したときに削除して機密データが表示されないようにします。 詳細については、「Microsoft Sentinelのウォッチリスト」を参照してください。 |
データ収集とインジェストを最適化する
データ コネクタの優先順位付け、ログのフィルター処理、データ インジェストの最適化など、Microsoft Sentinelデータ収集のベスト プラクティスを確認します。
Kusto 照会言語 クエリの高速化
Kusto 照会言語ベスト プラクティスを確認して、クエリを高速化します。