Microsoft Sentinel の概要

本記事では、Microsoft のセキュリティソリューションである、Microsoft Sentinel の概要についてご紹介させていただきます。

Microsoft Sentinel とは　ログデータの収集や相関分析といった「SIEM（セキュリティ情報管理イベント）」の機能と SIEM を運用する上で必要な分析や対処を自動化する「SOAR（セキュリティオーケストレーション）」の機能を持ったセキュリティソリューションです。

Microsoft Sentinel の主な機能として以下が挙げられます。

Microsoft Sentinel では、ネットワークセキュリティのログ、Microsoft 製品のログ、Azure 上のリソースログなど幅広い製品のログ収集が可能です。

Microsoft Sentinel ではデータコネクタという機能を活用しログ収集が行われます。

200種類以上のセキュリティ機器、ネットワーク、アプリケーション、SaaS サービスと接続することが可能です。

データコネクタに対応している製品は、選択形式でその場でログ収集が可能なものからログ収集までの手順が明記されている製品が存在します。

その他にも、Azure Monitor Agent と連携し Windowsのセキュリティイベント、Syslog 、カスタム形式のログも収集可能です。

脅威の検出では、主に以下の分析ルール形式に基づき脅威を検出することが可能です。
検出した脅威は、「インシデント」という形で管理します。

標準分析ルール
- Microsoft 標準の様々な製品に関する分析ルールです。難しい設定をすることなく分析を行うことが可能です。定期的に更新がかかっており、新しい分析ルールの追加も行われています。
NRT ルール　（リアルタイムルール）
- 可能な限り最短で検出できるよう毎分実行されるように設計された特別なルールセットです。
カスタムルール
- 1からルールを作成することが可能です。管理者自身でルールを定義することができます。
- また、標準分析ルールをカスタマイズし、独自の分析ルールとして作成することも可能です。