Microsoft Defender for Identity のログを収集する

このドキュメントでは、Azure Storage を使用して Microsoft Defender for Identity のログを Google Security Operations に取り込む方法について説明します。パーサーは、JSON ログを処理します。JSON 解析が失敗した場合は、CEF 形式のログを処理します。フィールドを抽出し、文字列変換、名前の変更、統合などのデータ変換を行い、統合データモデル（UDM）にマッピングします。さまざまなログ形式を処理し、ラベルや認証の詳細などの追加コンテキストでデータを拡充します。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• アクティブな Azure テナント
• Azure への特権アクセスと管理者セキュリティ ロール

Azure Storage アカウントを構成する

1. Azure コンソールで、[ストレージ アカウント] を検索します。
2. [作成] をクリックします。
3. 次の入力パラメータの値を指定します。
   • Subscription: サブスクリプションを選択します。
   • リソース グループ: リソース グループを選択します。
   • リージョン: リージョンを選択します。
   • パフォーマンス: パフォーマンスのタイプを選択します（標準が推奨されます）。
   • 冗長性: 冗長性のタイプを選択します（GRS または LRS を推奨）。
   • ストレージ アカウント名: 新しいストレージ アカウントの名前を入力します。
4. [Review + create] をクリックします。
5. アカウントの概要を確認して、[作成] をクリックします。
6. ストレージ アカウントの [概要] ページで、[セキュリティ + ネットワーキング] のサブメニュー [アクセスキー] を選択します。
7. [key1] または [key2] の横にある [Show] をクリックします。
8. [クリップボードにコピー] をクリックして、キーをコピーします。
9. キーは、後で参照できるように安全な場所に保存してください。
10. ストレージ アカウントの [概要] ページで、[設定] のサブメニュー [エンドポイント] を選択します。
11. [クリップボードにコピー] をクリックして、Blob サービス エンドポイント URL をコピーします。（例: https://<storageaccountname>.blob.core.windows.net）。
12. エンドポイント URL は、後で参照できるように安全な場所に保存します。
13. [概要] > [JSON ビュー] に移動します。
14. Storage のリソース ID をコピーして保存します。

Microsoft Defender for Identity のログ エクスポートを構成する

1. 特権アカウントを使用して Defender ポータルにサインインします。
2. [設定] に移動します。
3. [Microsoft Defender XDR] タブを選択します。
4. [全般] セクションで [Streaming API] を選択し、[追加] をクリックします。
5. [イベントを Azure Storage に転送する] を選択します。
6. 次の構成の詳細を指定します。
   • 名前: 一意でわかりやすい名前を入力します。
   • [イベントを Azure Storage に転送する] を選択します。
   • ストレージ アカウントのリソース ID: 先ほどコピーした Azure Storage リソース ID を入力します。
   • [イベントタイプ]: [アラートと動作] と [デバイス] の両方を選択します。
7. [送信] をクリックします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Defender Identity Logs）。
5. [ソースタイプ] で [Microsoft Azure Blob Storage] を選択します。
6. [Log type] として [Microsoft Defender for Identity] を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を指定します。

   • Azure URI: BLOB エンドポイント URL。

     ENDPOINT_URL/BLOB_NAME

     次のように置き換えます。

     • ENDPOINT_URL: BLOB エンドポイントの URL。（https://<storageaccountname>.blob.core.windows.net）
     • BLOB_NAME: blob の名前。（insights-logs-<logname> など）

   • URI is a: ログストリームの構成（[単一ファイル] | [ディレクトリ] | [サブディレクトリを含むディレクトリ]）に応じて選択します。

   • Source deletion options: 必要に応じて削除オプションを選択します。

   • 共有キー: Azure Blob Storage へのアクセスキー。

9. [次へ] をクリックします。

10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• Azure URI: BLOB エンドポイント URL。

  ENDPOINT_URL/BLOB_NAME

  次のように置き換えます。

  • ENDPOINT_URL: BLOB エンドポイントの URL。（https://<storageaccountname>.blob.core.windows.net）
  • BLOB_NAME: blob の名前。（insights-logs-<logname> など）
  • URI is a: ログストリームの構成（[単一ファイル] | [ディレクトリ] | [サブディレクトリを含むディレクトリ]）に応じて選択します。
  • Source deletion options: 必要に応じて削除オプションを選択します。

• 共有キー: Azure Blob Storage へのアクセスキー。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• アセットの名前空間: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。