Azure データコレクター🔗

Secureworks® Taegis™ XDR には、Microsoft Azure でセットアップできるコレクターがあります。Azure 向けの Taegis™ XDR Collector は、Virtual Hard Disk（VHD）として提供されます。各コレクターは、その設定によって一意に識別されます。設定データは、Custom Data を介して Azure VM に挿入されます。利便性のため、プロビジョニングプロセスの完了時に、お客様の XDR Collector 用の Azure Resource Manager テンプレートのサンプルが生成されます。このサンプルテンプレートは、次のリソースを作成します。

Storage Account — XDR Collector VHD を保存するために、プライベート Container を備えたパブリック向けの Microsoft Storage Account が作成されます。Storage Account は、他の目的に使用しないでください。
Azure Managed Image — XDR VHD は Storage Account にコピーされ、Managed Image に変換されます。
Bootstrap Deployment Script — 一時的な Azure Deployment Script が、XDR VHD をお客様の Azure Resource Group と Storage Account にコピーします。これはお客様の Azure Virtual Network の外部で実行されるため、ブートストラップ用のネットワークセキュリティグループやファイアウォール例外は不要であり、コピーが成功すると基盤となるリソースは自動的に削除されます。

注意

2026 年 8 月 3 日より前にダウンロードされた ARM テンプレートは、以前のブートストラップ Virtual Machine 設計を使用します。以下の設定に関する注意事項を参照してください。
XDR Collector Virtual Machine — syslog デバイスがトラフィックを送信できる単一の Azure Virtual Machine インスタンスです。
Network Security Group — Network Security Group は、udp/514 および tcp/601 のトラフィックを許可するために XDR Collector インスタンスにアタッチされます。

XDR には、サンプルテンプレートをダウンロードするか、直接起動するためのオプションがあります。サンプルテンプレートはほとんどの Azure Virtual Network 環境で動作するはずです—ただし、すべてのネットワークポリシーおよびセキュリティポリシーに準拠していることを確認するために、慎重に確認する必要があります。高度なユーザーは、テンプレートから Custom Data と VHD Shared Access Signature（SAS）URL（ARM テンプレート内の sourceVHD 変数として記載）を抽出し、独自の IaC または自動化ツールに組み込むことができます。サンプルテンプレートは、SAS URL を使用して XDR VHD をお客様の Azure アカウントにコピーし、Managed Image を作成します。サンプル ARM テンプレートを使用しない場合は、SAS URL を使用して VHD をダウンロードするか、Azure CLI ツールを使用して VHD をお客様自身の Storage Account にコピーする必要があります。

注意

SAS URL は、ARM テンプレートが生成された時点から 3 時間のみ有効です。

注意

提供されるサンプルテンプレートには、Owner ロール、または Contributor と User Access Administrator ロールの両方が必要です。

設定に関する注意事項🔗

サンプルテンプレートは、展開先の Azure Virtual Network からの udp/514 および tcp/601 を受け入れる Network Security Group を作成し、XDR VM にアタッチします。アウトバウンドトラフィックは、XDR API Endpoint への tcp/443、NTP 用の udp/123、および DNS 用の tcp/53 と udp/53 の両方に制限されます。その他すべてのインバウンドおよびアウトバウンドトラフィックはブロックされます。お客様のネットワークポリシー、セキュリティポリシー、またはネットワーク要件が異なる場合は、サンプルテンプレートの変更が必要になることがあります。
2026 年 8 月 3 日 以降にダウンロードされた ARM テンプレートでは、XDR VHD は、お客様の Azure Virtual Network の外部で実行される Azure Deployment Script を使用してお客様の Storage Account にコピーされます。この手順では、ブートストラップ用の Network Security Group、ブートストラップ VM、アウトバウンドファイアウォール例外は不要です。
2026 年 8 月 3 日 より前に ARM テンプレートをダウンロードした場合は、以前の設計が使用されます。つまり、一時的なブートストラップ Virtual Machine—独自の Network Security Group を持ち、アウトバウンド tcp/443 を許可するもの—が VHD をお客様の Storage Account にコピーし、XDR Collector がオンラインになると、Container Instance がブートストラップ VM、ディスク、ネットワークインターフェイス、およびセキュリティグループを削除します。ブートストラップ VM が VHD をお客様のアカウントに正常にコピーするには、https://aka.ms および Azure Storage Accounts へのアクセスが必要です。他のエグレスネットワーク制御がある場合は、コレクターのプロビジョニングが完全に完了するまで、これらの接続を許可する必要があります。クリーンアップ Container Instance の実行後は、例外を削除できます。このプロセス中にブートストラップ VM が削除されない場合は、手動で削除できます。この要件を完全に回避するには、新しい ARM テンプレートをダウンロードしてください。
Azure 向けの XDR Collector は、現在、高可用性（HA）セットアップをサポートしていません。テンプレートをカスタマイズする場合、または別の自動化ツールセットで展開し、インスタンスを Virtual Machine Scale Set として展開する場合は、サイズが常に 1 に設定されていることを確認してください。同じ設定（Custom Data）を持つ複数の Collector を実行することはサポートされていません。
サンプルテンプレートは、コレクターに /dev/sdc としてアタッチされる 200G の Data Disk ボリュームを割り当てます。テンプレートをカスタマイズする場合、または独自の自動化を実装する場合は、デバイスが常に /dev/sdc として、最小サイズ 200G でアタッチされるようにしてください。

注意

XDRコレクターは、適切に構成されたクラウドおよびオンプレミスのコレクターに対して、最大200K EPS（毎秒イベント数）をサポートできます。

注意

サードパーティ製ツールやアプリケーションは、いかなるXDRコレクターにもインストールできません。

データコレクターの接続要件🔗

注意

XDRの特定の設定は、お客様のテナントがあるリージョン(US1, US2, US3, EU1, EU2)によって異なる点があります。

独自のSSL証明書を使用するすべてのデバイス（クラウドベースおよびオンプレミスのデータコレクターを含む）は、競合を回避するために、以下の宛先IPアドレスまたはドメインを許可リストに追加する必要があります。AWSデータコレクターを使用している場合は、AWSの表を参照してください。

ほとんどのデータコレクターの場合🔗

ソース	宛先	ポート/プロトコル	備考
データコレクターのIPまたはホスト名	US1 collector.ctpx.secureworks.com 18.217.45.178/32 3.16.4.173/32 18.224.219.97/32 13.59.146.90/32 3.16.16.254/32 18.223.74.238/32 US2 collector.delta.taegis.secureworks.com 52.14.113.127/32 3.141.73.137/32 3.136.78.106/32 US3 collector.foxtrot.taegis.secureworks.com 44.229.101.49 35.166.77.47 34.214.135.78 EU1 collector.echo.taegis.secureworks.com 18.158.143.139/32 35.159.14.37/32 52.59.37.234/32 EU2 collector.golf.taegis.secureworks.com 54.217.251.111/32 54.194.78.20/32 52.50.215.147/32	TCP/443	デバイスからXDRへのアクセスを許可リスト化
データコレクターのIPまたはホスト名	プロビジョニング時に提供されたNTPサーバーのIP/ホスト名	UDP/123	デバイスからNTPサーバーへのアクセスを許可リスト化このルールは、プロビジョニング時にカスタムNTPサーバーが提供された場合のみ必要です。
データコレクターのIPまたはホスト名	0.pool.ntp.org 1.pool.ntp.org 2.pool.ntp.org 3.pool.ntp.org	UDP/123	デバイスからデフォルトNTPサーバーへのアクセスを許可リスト化このルールは、プロビジョニング時にカスタムNTPサーバーが提供されていない場合のみ必要です。
データコレクターのIPまたはホスト名	プロビジョニング時に提供されたDNSサーバーのIP	UDP/53 TCP/53	デバイスからDNSサーバーへのアクセスを許可リスト化

注意

ローカルNTPを使用する場合は、これらのネットワーク上でデータコレクターとの双方向のアクセスを許可リスト化する必要があります。

AWSデータコレクターの場合🔗

ソース	宛先	ポート/プロトコル	備考
AWSデータコレクターのIPまたはホスト名	US1 collector.ctpx.secureworks.com 18.217.45.178/32 3.16.4.173/32 18.224.219.97/32 13.59.146.90/32 3.16.16.254/32 18.223.74.238/32 US2 collector.delta.taegis.secureworks.com 52.14.113.127/32 3.141.73.137/32 3.136.78.106/32 US3 collector.foxtrot.taegis.secureworks.com 44.229.101.49 35.166.77.47 34.214.135.78 EU1 collector.echo.taegis.secureworks.com 18.158.143.139/32 35.159.14.37/32 52.59.37.234/32 EU2 collector.golf.taegis.secureworks.com 54.217.251.111/32 54.194.78.20/32 52.50.215.147/32	TCP/443	ホスト名経由でTaegis XDRへのデバイスアクセスを許可リスト化
AWSデータコレクターのIPまたはホスト名	プロビジョニング時に提供されたNTPサーバーのIP/ホスト名	UDP/123	デバイスからNTPサーバーへのアクセスを許可リスト化このルールは、プロビジョニング時にカスタムNTPサーバーが提供された場合のみ必要です。
AWSデータコレクターのIPまたはホスト名	169.254.169.123	UDP/123	デバイスからデフォルトNTPサーバーへのアクセスを許可リスト化このルールは、プロビジョニング時にカスタムNTPサーバーが提供されていない場合のみ必要です。
AWSデータコレクターのIPまたはホスト名	プロビジョニング時に提供されたDNSサーバーのIP	UDP/53 TCP/53	デバイスからDNSサーバーへのアクセスを許可リスト化

プロキシサポート🔗

クラウドベースおよびオンプレミスのデータコレクターは、インターネットに直接接続できない場合、ホスト上のローカルプロキシ設定を自動的に検出しようとします。

クラウドベースおよびオンプレミスのデータコレクターは、ハードコードされたプロキシにも対応しています。ハードコードされたプロキシを含むデータコレクターを作成する必要がある場合は、以下の必要情報を添えてサポートリクエストを提出してください。

プロキシIP
プロキシポート

プロキシが設定されているが利用できない、または到達できない場合、データコレクターは直接接続にフォールバックします。

注意

クラウドベースおよびオンプレミスのデータコレクターは、現時点ではハードコードされた認証付きプロキシをサポートしていません。中間者攻撃（MITM）機能を持つプロキシは、上記のネットワーク接続を許可リスト化する必要があります。

既存のコレクターを Standard HDD から Standard SSD に移行する🔗

すでに Standard HDD OS ディスクを使用してコレクターを展開している場合は、専用の移行ガイドを使用して Standard SSD への移行を計画し、完了してください。

この移行プロセスは既存の展開向けであり、新しいコレクターのインストールとは別です。

詳細については、Azure Collector OS Disk を Standard HDD から Standard SSD に移行するを参照してください。

XDR Azure Collector をインストールして設定する🔗

XDR で XDR Azure Collector を設定するプロセスは、Integrations > Data Collectors から開始します。テンプレートが作成され、その後、設定を完了するためにお客様の Azure アカウント Console に転送されます。

Taegis XDRメニューからインテグレーションを選択し、データコレクターを選択します。
右上のアクション > コレクターの追加を選択します。

新しいコレクターの追加
コレクタータイプとしてクラウドホスト型を選択し、次へを選択します。
必須の名前とホスト名のフィールド、および任意の説明、ホストプロキシ、NTPサーバーのフィールドを入力し、コレクターの作成を選択します。

注意

必要に応じて独自のNTPサーバーを指定したり、HTTPプロキシアドレスを追加したりすることができます。HTTPプロキシアドレスは次の形式に従う必要があります: [http\[s]://\[user:pass@]hostname\[:port]|http://<hostname>[:port]]。

注意

デフォルトおよびカスタムのNTP設定は、起動時のブートストラッププロセス中のみ使用されます。接続が確立されると、データコレクターはXDRバックエンド接続を介して時刻を同期します。接続が確立されると、NTPサーバーの値はAdmiralコンソールのntp.collectorとして反映されます。

クラウドコレクターの作成

ヒント

Cisco Firepower Threat Defense (FTD)デバイスからすべてのセキュリティイベントログを取得するためにeStreamerアプリをコレクターに追加するには、eStreamerアプリを参照してください。詳細については、Cisco FTD Firewallガイドを参照してください。
コレクターのインストールセクションには、以下のオプションが表示されます。
- Amazon Web Services (AWS) — このオプションはXDRコレクターをAWSにデプロイする場合に使用します。
- Google Cloud Platform (GCP) — このオプションはXDRコレクターをGCPにデプロイする場合に使用します。
- Microsoft Azure — このオプションはXDRコレクターをAzureにデプロイする場合に使用します。
Microsoft Azure を選択し、次に Deploy in Azure を選択します。

Azure コレクター

注意

Download ARM Template を選択して、json 形式の Azure Resource Manager テンプレートをダウンロードすることもできます。

Azure コンソールに、コレクター用のパラメーターを含む事前読み込み済みの Azure Resource Manager テンプレート（JSON）が表示された Template Deployment ページが新しいブラウザーウィンドウで表示されます。

Azure 設定
この展開に関連付ける Azure Subscription を選択します。
既存または新規の Resource Group を選択します。新しい Resource Group を推奨します。
展開先の Azure リージョンを選択します。これは、コレクターを展開する Azure Virtual Network と同じリージョンである必要があります。
コレクターの Vm Name を追加します。
コレクターの Vm Size を選択します。現在、Standard_D4s_v3 は、当社が確認している大半の展開に対応でき、後から追加されるログソースにも対応できるため、推奨しています。レポート元が少ない環境では、より小さい SKU を選択することもできますが、Standard_D4s_v3 SKU を選択することを推奨します。
お客様の Azure Virtual Network を含む Resource Group の名前を入力します。

重要

上記の Azure Virtual Network リソースは、コレクターを展開する前に存在している必要があります（または、リソースが存在しない場合は作成する必要があります）。また、データコレクターの接続要件に記載されている要件に準拠している必要があります。この要件が満たされていない場合、展開は失敗します。
コレクターを展開する Azure Virtual Network の名前を入力します。
コレクターを展開する Azure Virtual Network Subnet の名前を入力します。
必要に応じて、コレクターに割り当てる Static Private IP のアドレスを入力するか、このフィールドを空白のままにして自動割り当てにします。
Utc Now フィールドはデフォルト値のままにします。これは、展開用の一意の名前を生成するためにのみ使用されます。
Random Seed フィールドはデフォルト値のままにします。これは、展開中に使用される一時パスワード用のランダムデータを生成するために必要です。デフォルトは、テンプレート実行時に作成されるランダム GUID です。
Azure Marketplace Terms を確認し、利用規約に同意するチェックボックスをオンにします。
Purchase をクリックして展開を開始します。

重要

XDR が Office 365 からデータを受信するには、Office 365 の監査ログを有効にする必要があります。Office 365 の監査ログはデフォルトで無効になっています。詳細については、Turn Office 365 audit log search on or off を参照してください。

トラブルシューティングコンソールにアクセスする🔗

Admiral Console を使用すると、展開済みの XDR Collector に関する情報にローカルでアクセスできます。Admiral 内で提供されるツールは、デバイスのセットアップや、ネットワーク接続などの一般的な問題のトラブルシューティングに役立ちます。

詳細については、Admiral Console を参照してください。

XDR Collector の設定を編集する🔗

重要

稼働中のシステムの XDR Collector 設定を変更すると、デバイスが動作不能になるリスクがあります。XDR Collector は、設定変更が失敗した場合、可能な限り以前の設定にロールバックしようとします。XDR Collector の設定変更は、お客様のリスクおよび変更管理ガイドラインに従って、お客様の環境における他のあらゆる種類の変更と同じレベルの注意を払って扱う必要があります。常にデバイスを再展開できるよう準備しておく必要があります。

実行中で正常な XDR Collector の特定の設定パラメーターは、稼働中のコレクター上で変更できます。これらのパラメーターを編集するには、コレクター詳細ページで Actions を選択し、Edit Collector Configuration を選択します。編集可能なフィールドには、ホスト名、プロキシ設定、NTP サーバーが含まれます。ネットワークインターフェイス設定の変更が必要な場合は、新しい XDR Collector をプロビジョニングする必要があります。

XDR Collector の設定変更を送信すると、変更が保留中であることを示すバナーが表示され、変更が完了するまで編集アクションは利用できなくなります。保留中の変更は XDR Collector にプッシュされ、そこで適用され、接続テストが実施されます。

保留中の変更により XDR Collector が正常に接続できなくなった場合、変更は以前の設定にロールバックされ、バナーに失敗メッセージが表示されます。

変更が成功した場合、変更の完了後にバナーに成功メッセージが表示されます。

まれに、設定変更とロールバックの両方が失敗することがあります。例としては、変更中の基盤ネットワークの変更や、変更処理中のバックエンドへのネットワーク接続障害などがありますが、これらに限定されません。このような場合、失敗バナーが表示され、XDR Collector を再展開する必要があります。

変更が完了したら、新しい Azure ARM Template をダウンロードし、現在の展開に更新を適用する必要があります。これにより、新しいインスタンスが作成された場合でも、新しい設定が保持されます。