Defender for IoT クラウド アラートをパートナー SIEM にストリーミングする

開始する前に、Microsoft Sentinel インスタンスにインストールされている Microsoft Defender for IoT データ コネクタが必要です。 詳細については、「チュートリアル: Microsoft Defender for IoT を Microsoft Sentinel に接続する」を参照してください。

また、以下の手順でリンクされている各手順の前提条件も確認してください。

Microsoft Cloud Services 用の Splunk アドオンのサービス プリンシパルとして定義された Microsoft Entra ID が必要です。 これを行うには、特定のアクセス許可を持つ Microsoft Entra アプリケーションを作成する必要があります。

Microsoft Entra ID アプリケーションを登録し、アクセス許可を定義するには、以下の手順を実行します。

1. Microsoft Entra ID で、新しいアプリケーションを登録します。 [証明書とシークレット] ページで、サービス プリンシパルの新しいクライアント シークレットを追加します。

   詳細については、「Microsoft ID プラットフォームにアプリケーションを登録する」を参照してください。

2. アプリの [API のアクセス許可] ページで、アプリからデータを読み取る API のアクセス許可を付与します。

   • アクセス許可の追加を選択してから、[Microsoft Graph]>[アプリケーションのアクセス許可]>[SecurityEvents.ReadWrite.All]>[アクセス許可の追加] の順に選択します。

   • アクセス許可に管理者の同意が必要であることを確認します。

   詳細については、「Web API にアクセスするようにクライアント アプリケーションを構成する」を参照してください。

3. アプリの [概要] ページで、アプリの以下の値をメモします。

   • 表示名
   • アプリケーション (クライアント) ID
   • ディレクトリ (テナント) ID

4. [証明書とシークレット] ページで、クライアント シークレットの [値] と [シークレット ID] の値をメモします。

Microsoft Sentinel とパートナー SIEM の間のブリッジとして使用する Azure イベント ハブを作成します。 この手順を開始するには、Azure イベント ハブの名前空間を作成してから、Azure イベント ハブを追加します。

イベント ハブの名前空間とイベント ハブを作成するには、以下の手順を実行します。

1. Azure Event Hubs で、新しいイベント ハブの名前空間を作成します。 新しい名前空間で、新しい Azure イベント ハブを作成します。

   イベント ハブで、 [パーティション数] と [メッセージの保持期間] の設定を必ず定義してください。

   詳細については、「Azure portal を使用したイベント ハブの作成」を参照してください。

2. イベント ハブの名前空間で、「アクセス制御 (IAM)」ページを選択し、新しいロールの割り当てを追加します。

   Azure Event Hubs データ受信者ロールを使用することを選択し、前にメンバーとして作成した Microsoft Entra サービス プリンシパル アプリを追加します。

   詳細については、「Azure portal を使用して Azure ロールを割り当てる」を参照してください。

3. イベント ハブ名前空間の [概要] ページで、名前空間の [ホスト名] の値をメモします。

4. イベント ハブ名前空間の [Event Hubs] ページで、イベント ハブの名前をメモします。

Microsoft Sentinel インシデントまたはアラートをイベント ハブに転送するには、Azure Log Analytics からデータ エクスポート ルールを作成します。

ルールで、必ず次の設定を定義してください。

1. [ソース] を SecurityIncident として構成します

2. 先ほど記録したイベント ハブの名前空間とイベント ハブ名を使用して、[宛先] を [イベントの種類] として構成します。

   詳細については、Azure Monitor での Log Analytics ワークスペースのデータ エクスポートに関するページを参照してください。

イベント ハブとエクスポート ルールを構成したら、イベント ハブから Microsoft Sentinel インシデントを使用するように Splunk を構成します。

1. Microsoft Cloud Services 用の Splunk アドオン アプリをインストールします。

2. Microsoft Cloud Services 用の Splunk アドオン アプリで、Azure アプリ アカウントを追加します。

   1. わかりやすいアカウント名を入力します。
   2. 前に記録したクライアント ID、クライアント シークレット、テナント ID の詳細を入力します。
   3. アカウント クラスの種類を [Azure パブリック クラウド] として定義します。

3. Microsoft Cloud Services 用の Splunk アドオンの入力に進み、Azure イベント ハブの新しい入力を作成します。

   1. 入力のわかりやすい名前を入力します。
   2. Microsoft Services 用の Splunk アドオン アプリで作成したばかりの Azure アプリ アカウントを選択します。
   3. イベント ハブ名前空間の FQDN とイベント ハブ名を入力します。

   その他の設定は、既定値のままにしておきます。

   データがイベント ハブから Splunk に取り込まれ始めたら、検索フィールドで次の値を使用してデータのクエリを実行します。sourcetype="mscs:azure:eventhub"