Microsoft Sentinel でインシデントが作成された際に、自動的に管理者へメール通知を行う方法

Microsoft Sentinel でインシデント作成時時に管理者へ通知したい場合、標準機能では実現できません。ですが、Logic Apps と連携することで可能となります。

本記事では、Microsoft Sentinel にてインシデントが作成された際に、自動的に管理者へメール通知をする方法をご紹介します。

Microsoft Sentinel 単体でのメール通知機能は存在しないため、Logic Apps と連携する必要があります。

今回は、Microsoft Sentinel 上でインシデントが作成された時をトリガーとし、管理者へメール通知する方法をご紹介します。

※ Logic Apps をカスタマイズすることで、メール通知以外にも脅威への対処を実施することも可能です。

初めに、アラートが発報された場合にメールを送信するために、Logic Apps を作成します。

Azure Portal にて「Microsoft Sentinel」を検索し、選択します。
対象の対象の Log Analytics ワークスペースを選択します。
「構成」タブ内の「オートメーション」を選択します。
「＋作成」を選択し「インシデントトリガーを使用したプレイブック」を選択します。
「基本情報」タブにて任意の Logic Apps 名を入力し「接続」を選択します。
「接続」タブは既定値のまま「レビューと作成」を選択します。
設定内容を確認し「プレイブックの作成」を選択します。
作成が完了するとロジックアプリデザイナーの画面に遷移します。
「＋」からアクションの追加を選択します。
「office 365 Outlook」内にある「メールの送信（V2）」を選択します。
メール送信者とするアカウントでサインインします。
「パラメーター」タブにて宛先、件名、本文を入力します。

※ 空白を選択し稲妻マークを選択すると、動的な値を選ぶことが可能です。

今回は以下の通り、作成されたインシデントに関する内容を、動的な値を使用して設定します。
作成が完了したら「保存」を選択します。

Logic Apps が動作するようにするためには、オートメーションルールを作成する必要があります。

オートメーションルールを作成することで、インシデントと Logic Apps がリンクされ、動作が自動化されます。