Microsoft Entra Activity Reportsインテグレーションガイド🔗

以下の手順は、Secureworks® Taegis™ XDR への取り込みを容易にするために Microsoft Entra ログのインテグレーションを設定するためのものです。

重要

このインテグレーションには、Microsoft Entra の premium ライセンスが必要です。

XDR は、Entra ログに対して 2 つのインテグレーションパスをサポートしています。

（推奨） Azure Event Hubs 経由で連携する — このオプションは、最も高速かつ高スループットでデータを提供するため推奨されますが、有効化には追加のcosts が発生する場合があります。
Microsoft Graph API (REST) 経由で連携する — このオプションは Event Hubs と同等のデータを提供しますが、REST ベースの API のポーリング特性に加えて Microsoft のレート制限があるため、データを収集できる速度に制限が生じる場合があります。ポーリングの運用については、Office 365 and Azure Data Availability を参照してください。

Event Hubs インテグレーションを開始する🔗

Entra 診断設定を構成する🔗

Microsoft の手順に従って Entra 診断設定を有効にします。

Microsoft Entra diagnostic settings

XDR は、データの正規化のために次の診断カテゴリをサポートしています。

最適化された構造化ログカテゴリ🔗

注意

その他すべてのログは Generic スキーマに正規化されます。Generic スキーマを超えるその他のデータソースの正規化を有効にするには、カスタムパーサーが必要になる場合があります。メトリックデータを XDR に転送することは推奨されません。これは、他のすべてのログデータと同様に扱われ、メトリックとしては扱われないためです。

Event Hub に転送し、XDR とのインテグレーションを有効にする🔗

必要なログカテゴリを選択したら、Stream to an event hub を選択し、目的の Event Hub 宛先を入力します。
Event Hub のインテグレーション手順に従って XDR とのインテグレーションを完了し、データの取り込みを開始します。

インテグレーションから提供されるデータ🔗

	正規化されたデータ	汎用的な検知	ベンダー固有の検知
MS Azure Active Directory アクティビティレポート		Auth	CloudAudit
MS Azure Active Directory Identity Protection			CloudAudit, Thirdparty

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

Microsoft Graph インテグレーションを開始する🔗

重要

必要な権限は、Microsoft Graph ドキュメントの次のページに記載されています。

Notes

Azure インテグレーションは US および EU リージョンでサポートされていますが、その他のリージョンでは Microsoft によってサポートされていない場合があります。他のリージョンでのサービスサポートについては、Microsoft に直接お問い合わせください。
Microsoft Graph API 経由の Entra インテグレーションは、グローバル Azure クラウドで利用できます。Azure Government、Azure China 21Vianet、Azure Germany などのその他のナショナルクラウドは現在サポートされていません。

データの可用性と収集時間🔗

アラートは、Microsoft REST API を使用してポーリングベースで取り込まれます。データの可用性については、Office 365 and Azure Data Availability を参照してください。

注意

フェデレーションされた Azure AD 環境を使用している場合、AD 監査データには一部のフィールド値について不完全な（null の）情報が含まれることがあり、その結果、XDR の一部の検知が正しく生成されない場合があります。Azure との AD 接続の正常性の状態を監視するには、AD Connect Health の使用を推奨します。

Azure でアプリケーションを登録する🔗

Azure portal でアプリケーションを登録します。

Name — 任意の説明文字列
Supported account types — この組織ディレクトリ内のアカウントのみ

次の値は XDR でインテグレーションを作成する際に使用するため、控えておいてください。

Directory (tenant) ID
Application (client) ID

アプリケーション権限を構成します。次の権限が必要です。

AuditLog.Read.All (application permission)
Directory.Read.All (application permission)
User.Read (MS Graph に自動的に委任される権限)

Grant admin consent for <Azure tenant name> をクリックします。
証明書をアップロードして、アプリケーションに credentials を提供します。

重要

証明書には有効期限があり、有効期限前に継続して機能させるためには、Microsoft Entra ID と XDR の両方で更新する必要があります。

重要

XDR は Privacy-Enhanced Mail (PEM) 形式のみをサポートします。PEM 形式の詳細については、RFC 7468 を参照してください。

暗号化されたキーおよびクライアントシークレットはサポートされていません。

注意

自己署名証明書はサポートされています。

PowerShell または OpenSSL を使用して自己署名 PEM（.pem 拡張子）証明書を生成するには、次のいずれかのコマンドを使用します。

# Prompt user for input

$certname = Read-Host -Prompt "Enter certificate name"
$keyname = Read-Host -Prompt "Enter key name"
$mypwd = Read-Host -Prompt "Enter password" -AsSecureString
$location = Read-Host -Prompt "Enter location"
$cert = New-SelfSignedCertificate -Subject "CN=$certname" -CertStoreLocation "Cert:\CurrentUser\My" -KeyExportPolicy Exportable -KeySpec Signature -KeyLength 2048 -KeyAlgorithm RSA -HashAlgorithm SHA256
Export-PfxCertificate -Cert $cert -FilePath "$location\$certname.pfx" -Password $mypwd
Install-Module -Name PSPKI -Scope CurrentUser
Import-Module -Name PSPKI
Convert-PfxToPem -InputFile "$location\$certname.pfx" -Outputfile "$location\$certname.pem"
# Read the PEM file content

$pemContent = Get-Content "$location\$certname.pem" -Raw
# Extract private key and certificate

$privateKey = $pemContent -replace "(?ms).*?(-----BEGIN PRIVATE KEY-----.+?-----END PRIVATE KEY-----).*", '$1'
$certificate = $pemContent -replace "(?ms).*?(-----BEGIN CERTIFICATE-----.+?-----END CERTIFICATE-----).*", '$1'
# Save private key and certificate to separate files

$privateKey | Set-Content "$location\$keyname.pem"
$certificate | Set-Content "$location\$certname.pem"
Write-Host "Files located at: $location"
pause

注意

上記のコードをテキストファイルにコピーして貼り付け、.ps1 拡張子（例: CertGen.ps1）でファイルを保存し、Powershell を使用してスクリプトを実行します。

注意

使用している PowerShell のバージョンによっては、-Subject でエラーが発生する場合、-Subject を -SubjectName に置き換える必要があることがあります。

または:

openssl req -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 365 -out certificate.pem

XDR にインテグレーションを追加する🔗

Taegis Menu から、インテグレーション → クラウドAPI を選択します。
ページ上部の Add an Integration を選択します。

インテグレーションの追加
Optimized タブから Office 365/Azure を選択します。
Microsoft Entra Activity Reports の下にある Set Up を選択します。

インテグレーションの作成
インテグレーションの名前を入力します。これは任意の文字列にできます。
Azure でアプリケーションを登録するの手順 1 で取得した Tenant ID と Application Client ID を入力します。
証明書と、それに関連付けられた秘密鍵をアップロードします。
収集に含める任意のログカテゴリを選択します。デフォルトでは、Interactive UserIn Logs と Entra Directory Audit Logs は常に収集されます。
- NonInteractive User SignIn Logs （NonInteractive User SignIn Logs は非常に大量になる傾向があり、平均で Interactive SignIns の 10:1 です。Microsoft Graph API のレート制限により、ほとんどの場合、NonInteractive SignIns ログの収集には Event Hubs の利用を推奨します。このオプションを長期間有効のままにすると、このインテグレーションによって Microsoft Graph API 経由で取り込まれる他のログの収集能力に遅延が生じる可能性があります。）
- Service Principal SignIn Logs
- Managed Identity SignIn Logs
インテグレーションの完了
Done を選択してインテグレーションを完了します。

インテグレーションから提供されるデータ🔗

	正規化されたデータ	汎用的な検知	ベンダー固有の検知
MS Azure Active Directory アクティビティレポート		Auth	CloudAudit

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

SecureworksをMicrosoftパートナーとしてリンクする🔗

Secureworksをセキュリティのソリューションプロバイダーとしてリンクすることは任意のプロセスですが、これによりMicrosoftはSecureworksがどのお客様のセキュリティ目標達成やMicrosoftエコシステムの価値実現を支援しているかをより深く理解できるようになります。これにより、SecureworksはパートナーとしてMicrosoftへのアクセスが向上し、お客様により良い製品やサービスを提供できるようになります。お客様のAzure環境へのアクセスを追加し、Secureworksがセキュリティ強化を通じてお客様のビジネスを支援できるようにしていただいた場合、あわせてパートナーリンクとして弊社を追加していただけますと幸いです。

Secureworksをパートナーとしてリンクするには、以下の手順に従ってください。

AzureポータルでパートナーIDへのリンクにアクセスします。
対象となるロールまたは権限を持つユーザーを使用してください。詳細はクレジットを受け取るために必要なロールと権限をご参照ください。
MicrosoftパートナーID欄に、次の値を入力します：4834104
パートナーIDをリンク ボタンをクリックしてプロセスを完了します。