コンテンツにスキップ

XDR 向け Power BI🔗

概要🔗

Microsoft Power BI は、安全なホスト型クラウドサービスであり、ユーザーはウェブブラウザーまたは Windows、iOS、Android 向けアプリを使用して、ダッシュボード、レポート、および関連するダッシュボードとレポートを組み合わせたコンテンツの一種である Power BI アプリを作成および表示できます。Power BI は専用ライセンスを通じて利用できますが、Office 365 E5 にも含まれているため、多くのお客様はすでにアクセス可能であり、全社的なレポート機能のための最も簡単で合理化され、統合された選択肢の 1 つとなっています。

Power BI を使用して Secureworks® Taegis™ XDR のデータを要約および可視化することで、ユーザーはネットワークやユーザーのアクティビティ、およびそのアクティビティの結果として生じる検出やケースについて、豊富なインサイトを得ることができます。Secureworks は、XDR 内の複数の API のデータを使用して、お客様の組織内のさまざまなレポート要件に対応するために利用できるサンプルレポート一式を作成しました。

ユースケースの例🔗

レポートは多くの目的に役立ちます。XDR には、ネットワークデバイスやユーザー、およびそれらのエンティティに関連するケースに関する豊富な情報が含まれており、さまざまな方法で分析および可視化してストーリーを伝えることができます。これらのストーリーは、特定の成果の影響や進捗を測定するのに役立つ指標を提供することで、ビジネス内のさまざまな役割にとって重要な成果を推進するために利用できます。XDR のデータを Power BI に統合することで、XDR の検出やケースに関連するデータにより、お客様やパートナーは、脅威を効果的かつ効率的に検知して対応する能力に影響を与える傾向をより深く理解できます。

以下は、Power BI が支援できるいくつかの役割と、その想定される責任および成果です。提供されるデータセットとレポートは出発点として意図されています。これらは、目標を支える指標が特定された後、特定のビジネス目標に固有の要件に応じて変更および拡張できます。

  • SOC マネージャー

    • 責任: ワークロードの監視、アナリストのスキル／学習管理
    • 成果: 対応時間と解決時間の短縮、アナリストの効率向上、より難しい問題のトリアージ

  • セキュリティリーダーおよびアーキテクト

    • 責任: 振り返り、技術的ギャップ、攻撃ベクトルの傾向
    • 成果: セキュリティプログラムの進化、防御の拡張、より大きく優れた取り組みに時間を充てる

  • 脅威ハンター

    • 責任: エンティティコンテキスト、攻撃ベクトル、ギャップの分析
    • 成果: 不明瞭／まれな攻撃や脆弱性の発見、未知のギャップの解消、脅威が発生する前の阻止

  • セキュリティ管理者

    • 責任: デバイス管理、機密性／完全性／可用性、エージェントおよびライセンス管理
    • 成果: マシンの維持、アナリストが有用なすべてのデータを利用できるようにする、コストとオーバーヘッドの削減

  • MSSP

    • 責任: ワークロードの監視、アナリストのスキル／学習管理、管理
    • 成果: 重要なお客様の監視、アナリストの効率向上、コストとオーバーヘッドの削減

実装の詳細🔗

XDR 向け Power BI インテグレーションは、Power BI 内のプログラミング言語である PowerQuery を介して機能します。PowerQuery は、API 認証とクエリの実行、および Power BI 内で使用するためのレスポンスデータの解析をサポートします。XDR への認証は PowerQuery 内で行われますが、PowerQuery は Power BI が匿名認証を使用した初期認証を完了するまで実行できません。認証情報が平文で送信されることはなく、匿名認証自体も許可されていません。ただし、このサンプルテンプレートの目的上、PowerQuery スクリプトを実行できるようにするため、Power BI に匿名認証を使用するよう指定する必要があります。実際の XDR への OAuth 認証は、client ID と client secret を使用して行われます。

XDR API は、データ取得に GraphQL クエリを使用します。PowerQuery スクリプトは、さまざまな XDR API エンドポイントに GraphQL クエリを渡して、検出、ケース、資産、ユーザー、データ量などに関する必要な情報を取得します。使用する XDR API エンドポイントに応じて、返される JSON データは異なる方法で処理する必要があります。たとえば、リストをテーブルに分割する、レコードを掘り下げて特定の値を取得する、列を並べ替える、列名を変更するなどです。そのため、各 PowerQuery スクリプトには API レスポンスに対する独自の処理があります。

いくつかのベースクエリは、XDR から検出およびケースに関するデータセットを取得します。また、エンドポイントやテナントユーザーに関する情報を取得する補助クエリもあり、これらは他のデータセットをフィルタリングおよび拡張するためのルックアップテーブルとして使用されます。モデル内には、検出やケースをこれらのさまざまなルックアップに関連付ける関係が設定されています。Power BI の Model view で、すべてのクエリとその関係を確認できます。

展開手順🔗

API URL リージョン🔗

地域

XDR APIにアクセスするためのURLは、お客様の環境が展開されているリージョンによって異なる場合があります。

  • US1— https://api.ctpx.secureworks.com
  • US2— https://api.delta.taegis.secureworks.com
  • US3— https://api.foxtrot.taegis.secureworks.com
  • EU1— https://api.echo.taegis.secureworks.com
  • EU2— https://api.golf.taegis.secureworks.com

このXDR APIドキュメントの例では、https://api.ctpx.secureworks.com を使用しています。別のリージョンをご利用の場合は、適切なURLに置き換えてください。

Power BI テンプレートのインポート🔗

これらのレポートを展開するために、Power BI Desktop にインポートする必要がある .pbit テンプレートファイルを用意しています。Power BI Desktop は Microsoft から入手できます。これらの手順に従う前に、Microsoft から Power BI ライセンスを取得していることを確認してください。ライセンスオプションについては Microsoft のウェブサイト を参照してください。このテンプレートファイルの使用はユーザーの裁量によるものであり、Secureworks はその使用または提供されるデータの解釈について一切責任を負わないことに注意してください。

  1. API Authentication に記載された手順を使用して、Tenant Auditor ロールを持つ XDR API クライアントを作成します。

    • Taegis の環境に対応する API URL ドメイン（例: api.delta.taegis.secureworks.com）に置き換えていることを確認してください。
    • コマンドの出力を安全で非公開の場所にコピーしてください。これには機密性の高い認証情報が含まれており、お客様の組織内で Power BI にのみ使用する必要があります。Power BI テンプレートには client_id と client_secret が必要です。

  2. Microsoft から Power BI Desktop をダウンロードしてインストールします。

ヒント

Power BI の公式な RAM 推奨値は 4 GB ですが、最適なシステムパフォーマンスのために 8 GB を推奨します。

  1. ここから powerbi_for_taegisxdr.pbit テンプレートファイルをダウンロードします: powerbi_for_taegisxdr.pbit。
  2. ダウンロードした .pbit ファイルを開きます。組織のアクセスポリシーによっては、Microsoft アカウント認証を求めるプロンプトが表示される場合があります。レポートを Power BI ワークスペースに公開するには、Microsoft への認証が必要です。

  3. 開くと、パラメーター入力を求めるポップアップウィンドウが表示されます。次の操作を実行します。

    • 手順 1 の API 認証情報作成プロセスで取得した client_id と client_secret を入力します。
    • XDR Environment パラメーターに対して、Taegis の環境 URLを選択します。
    • XDR のテナント ID を入力します（XDR 内の Tenant Settings → Subscriptions ページで確認できます）。
    • 結果件数の上限や期間範囲のデフォルトしきい値を必要に応じて調整します（90 日以下）。
    • Load をクリックします。

パラメーターの入力

  1. Access Web content ウィンドウで認証を求められたら、デフォルトの Anonymous アクセスを使用して Connect をクリックします。

Access Web Content

  1. Privacy Levels のポップアップで求められるすべての URL に対して、Organizational のプライバシーを選択します。これは Anonymous 認証の事前チェックを成功させるために必要です。

組織のプライバシーを選択

  1. すべて正常に完了すると、クエリが実行され、モデルに行が読み込まれます。データが入力されたレポートが開き、さまざまなビジュアルが表示されます。ビジュアルが表示されない場合、またはエラーメッセージを受け取った場合は、このドキュメントの 既知の問題 セクションを参照してください。

インポート成功

レポートを Power BI Web に公開する🔗

すべてのレポートをオンラインの Power BI ワークスペースに公開するには:

  1. Power BI ウィンドウ上部の Home タブの右端にある Publish をクリックします。これにより、ファイルをコンピューター上にローカル保存するよう求められます。名前と保存場所を選択してファイルを保存します。
  2. 保存後、まだ実施していない場合は Microsoft アカウントへのログインを求められます。

  3. ログイン後、利用可能なワークスペースの一覧が表示されます。自分またはチームに適したものを選択し（開始点として "My workspace" を検討してください）、Select をクリックします。

    ワークスペースの選択

  4. レポートは Power BI web に公開され、そこで表示できます。

    レポートの公開

  5. Semantic Model と呼ばれるデータの更新間隔を設定するには、Semantic Model の横にある Schedule refresh アイコンをクリックします。これにより、モデルの設定が開きます。

    スケジュール更新の選択

  6. Refresh 設定を展開して更新スケジュールを有効にします。希望するタイムゾーンと更新間隔を選択し、Apply をクリックします。これで、レポートは希望する間隔で自動的に更新されます。

    更新の設定

レポート例🔗

以下は可能な内容の例であることに注意してください。お客様には、望ましい成果を測定および追跡するために必要な指標に応じて、独自のダッシュボードを検討および作成することを推奨します。

ケース概要🔗

ケース概要レポートの例

アナリストパフォーマンスの詳細🔗

アナリストパフォーマンス詳細レポートの例

検出エンティティブラウザー🔗

検出エンティティブラウザーレポートの例

データ量概要🔗

データ量概要レポートの例

既知の問題🔗

エラーを受け取る、または「We couldn’t authenticate with the credentials provided」というメッセージが表示された黄色のバナーが表示される🔗

  1. Power BI クエリエディターウィンドウの上部で、Home タブの Data Source Settings ボタンをクリックします。

    Home タブから Data Source Settings を選択

  2. ウィンドウ上部で Data sources in current file ラジオボタンを選択します。

  3. 一覧内の各 URL について、ウィンドウ下部の Edit permissions をクリックし、次の操作を実行します。

    • Credentials Type の下にある Edit をクリックします。

      認証情報タイプの編集

    • Anonymous を選択して Save をクリックします。

    • OK を選択します。

  4. ウィンドウ上部で Global permissions ラジオボタンを選択します。

  5. 一覧内の各 URL について、"Data sources in current file" の設定と一致していない場合は、権限編集プロセスを繰り返します。
  6. Data Source Settings ウィンドウを閉じます。

  7. Home タブの Refresh Preview ボタンをクリックします。

    プレビューの更新

  8. 選択したクエリが正常に更新されます。クエリを編集したりデータをプレビューしたりする場合は、一覧内の各クエリに対して Refresh Preview を手動でクリックする必要がある場合があることに注意してください。

データが読み込まれない🔗

考えられる原因はいくつかあります。

  • XDR API 認証情報が有効ではありません。XDR の API authentication instructions に従って、Tenant Auditor ロールを持つ API クライアントを作成してください。

    無効な認証情報エラー

  • ファイルに対して選択されたデータプライバシー設定が Organizational または Public ではありません。Privacy Levels では Organizational が選択されていることを確認してください。詳細については、エラーを受け取る、または「We couldn’t authenticate with the credentials provided」というメッセージが表示された黄色のバナーが表示される を参照してください。

  • お客様の組織で XDR API URL へのアウトバウンドアクセスが許可されていません。これは、XDR のウェブインターフェースも動作しないことを意味するため可能性は低いですが、Power BI を使用しようとしている場所によっては、ホストレベルまたはネットワークレベルのポリシーによってこのアクセスが妨げられている可能性があります。これが原因となる可能性があるかどうかを判断するために、組織のネットワークチームとトラブルシューティングを行ってください。

変更履歴🔗

1.1.2🔗

修正と改善

  • デフォルトのリクエストタイムアウトにより大規模なデータセットが失敗することを防ぐため、すべての GraphQL データクエリに 10 分のタイムアウトを追加
  • 検出に null のセンサータイプ値が含まれている場合に、検出センサータイプのルックアップが読み込まれなくなる可能性がある問題を修正
  • 古い検出またはカスタム検出にリンクされたケースが、ケースから検出へのマッピングから誤って除外される可能性がある問題を修正
  • 余分なスペースを削除し、名前が利用できない場合はメールアドレスを使用することで、ユーザーのフルネーム生成を改善

1.1.1🔗

修正と改善

  • 新しい認証プロバイダーに対応するため、ユーザー ID の関係を更新
  • テナント環境パラメーターを統合
  • レポートの軽微な調整

1.1.0🔗

機能

  • 新しいレポート: Security Overview
  • 新しいレポート: Analyst Performance Details
  • 検出、ケース、およびデータ量クエリの期間範囲を調整可能
  • マルチテナント API クライアントがさまざまな子テナントのレポートを実行できるようにするためのテナント ID 選択

修正と改善

  • 検出とケースのページネーションを修正
  • クエリパフォーマンスと API 負荷を改善するため、親（BASE_）クエリを使用するようにクエリを再構成

  • カスタム検出を含めるように検出ベースクエリを拡張

    • カスタム検出のノイズが過剰であると結果件数の上限に早期に達し、有益な非カスタム検出が読み込まれなくなる可能性があるため、カスタム検出ルールを確認することを強く推奨します。そうでない場合は、検出ベースクエリでそれらを除外してください。

  • 関係の競合を回避するため、フィールドマッピングを改善

  • テナントに展開済みエンドポイントがない場合のデータ読み込み失敗を修正
  • レポートの軽微な調整

1.0.0🔗

機能

  • 初回リリース