演習 - Microsoft Sentinel を Microsoft Defender XDR に接続する

あなたは、Microsoft Defender XDR と Microsoft Sentinel の両方を展開した会社で働いているセキュリティ運用アナリストです。 Microsoft Sentinel を Defender XDR に接続して、Microsoft Defender ポータルで Microsoft Sentinel の準備をする必要があります。

この演習では、次のタスクを実行します。

• Microsoft Defender XDR コンテンツ ハブ ソリューションをインストールします。
• Microsoft Sentinel コネクタをデプロイして、Microsoft Sentinel を Microsoft Defender XDR に接続します。
• Microsoft Sentinel を Microsoft Defender XDR に接続します。
• Microsoft Defender XDR ポータルで Microsoft Sentinel の機能について説明します。

タスク 1: Defender XDR を接続する

このタスクでは、Microsoft Defender XDR コネクタを展開します。

1. Microsoft Edge ブラウザーで、 Azure portal というリンクを選択して、シミュレートされた環境を開きます。

2. Azure portal の ホーム ページで、 Microsoft Sentinel アイコンを選択します。

3. Microsoft Sentinel ページで、Woodgrove-LogAnalyiticWorkspace ワークスペースを選択します。

4. Microsoft Sentinel ナビゲーション メニューで、[ コンテンツ管理 ] セクションまで下にスクロールして展開します。 次に、[ コンテンツ ハブ] を選択します。

5. [コンテンツ ハブ] で、Microsoft Defender XDR ソリューションを検索し、リストから選択します。

6. Microsoft Defender XDR ソリューションの詳細ページで、[インストール] を選択します。

7. インストールが完了したら、 Microsoft Defender XDR ソリューションを検索して選択します。

8. Microsoft Defender XDR ソリューションの詳細ページで、[管理] を選択します

9. [Microsoft Defender XDR] データ コネクタ チェック ボックスをオンにし、[コネクタ ページを開く] を選択します。

10. [ 構成 ] セクションの [ 手順 ] タブで、[ インシデントとアラートの接続 ] ボタンを選択します。

11. 接続が成功したことを示すメッセージが表示されるはずです。

タスク 2: Microsoft Sentinel と Microsoft Defender XDR を接続する

このタスクでは、シミュレーションを続行し、Microsoft Sentinel ワークスペースを Microsoft Defender XDR に接続します。

1. Microsoft Sentinel コンテンツ ハブ (ページの上部にある [階層リンク] メニュー リンクを使用) に戻り、ナビゲーション メニューの [全般] セクションから [概要 (プレビュー)] を選択します。

2. [Get your SIEM and XDR in one place]\(SIEM と XDR を 1 か所で取得する\) メッセージの [詳細情報] ボタンを選択します。

   

3. [ 詳細情報 ] ボタンを選択すると、 Microsoft Defender XDR ポータルのブラウザーに新しいタブが開きます。

4. Defender Defender ポータルのホーム画面の上部に、SIEM と XDR を 1 か所で取得するというメッセージが表示されます。 [ワークスペースの接続] ボタンを選択します。

   

5. [ ワークスペースの選択 ] ページ で、woodgrove-loganalyiticsworkspace Microsoft Sentinel ワークスペースを選択します。

6. [ 次へ ] ボタンを選択します。

7. [ プライマリ ワークスペースの設定 ] ページで、ドロップダウン メニュー に woodgrove-loganalyiticsworkspace Microsoft Sentinel ワークスペースが表示されます。 [ 次へ ] ボタンを選択します。

8. [ 確認と終了 ] ページで、ワークスペースの選択が正しいことを確認し、[ ワークスペース が 接続されているときに予期 するもの] セクションの箇条書き項目を確認します。 関連付けボタンを選択します。

9. ワークスペースに接続しようとしているメッセージが表示されます。 関連付けボタンを選択します。

10. これで、 ワークスペースが正常に接続されたページに移動 します。

11. [閉じる] ボタンを選択します。

    

12. Defender XDR ポータルの [ホーム] 画面の上部に、"統合された SIEM と XDR の準備ができました" というメッセージのバナーが表示されるはずです。 [ハンティングの開始] ボタンを選択します。

13. 高度なハンティングでは、"Microsoft Sentinel からコンテンツを探索する" というメッセージが表示されます。 高度なハンティング ナビゲーション メニューでは、対応するタブの下に Microsoft Sentinel のテーブル、関数、クエリがあります。

14. [ スキーマ ] タブの下の Microsoft Sentinel 見出しまで下にスクロールし、 ThreatIntelligenceIndicator テーブルをダブルクリックします。

15. [クエリ] ウィンドウに、脅威インテリジェンス インジケーターを返す (KQL) クエリが表示されます。 [ クエリの実行 ] ボタンを選択します。

    

16. 折りたたまれている場合は左側のメイン メニュー ウィンドウを展開し、新しい Microsoft Sentinel メニュー項目を展開します。 検索、脅威の管理、コンテンツ管理、構成の選択が表示されます。

    注

    Azure Microsoft Sentinel ポータルと Microsoft Defender XDR ポータルの Sentinel には、ポータルの機能に違いがあります。

17. Microsoft Defender XDR Microsoft Sentinel メニュー項目から、[ 構成 ] と [ データ コネクタ] の順に選択します。

18. [データ コネクタ] ページに、状態が [接続済み] の Azure アクティビティとその他のデータ コネクタが表示されます。