Microsoft Azure Activity Logインテグレーションガイド

以下の手順は、Azure Activity Logのインテグレーションを設定して Secureworks® Taegis™ XDR への取り込みを容易にするためのものです。

XDR は、Azure Activity Logに対して次の2つのインテグレーションパスをサポートしています。

• （推奨） Azure Event Hubs経由で連携する — このオプションは、最も高速かつ高スループットでデータを提供するため推奨されますが、有効化するために追加のcosts が発生する場合があります。
• Azure Monitor API (REST) 経由で連携する — このオプションはevent hubsと同等のデータを提供しますが、RESTベースのAPIのポーリング特性に加えてMicrosoftのレート制限があるため、データをどれだけ迅速に収集できるかに制限が生じる場合があります。当社のポーリング運用については、Office 365 and Azure Data Availability を参照してください。

Taegis IPアドレス範囲

このインテグレーション用に既存のファイアウォールまたはAPIゲートウェイのIP許可リストを設定している場合、または設定を予定している場合は、お客様のTaegisリージョンに対応する以下のXDR IPアドレス範囲を追加してください。

Taegis Region	IP Address Range
Charlie	216.9.204.0/24
Delta	216.9.204.0/24
Echo	216.9.205.0/24
Foxtrot	216.9.206.0/24
Golf	216.9.207.0/24
Hotel	208.89.40.0/24
India	208.89.42.0/24
Juliet	208.89.41.0/24
Kilo	208.89.43.0/24
Quebec	208.89.44.0/24

注意

これらは、XDRインテグレーションに必要な唯一のIP範囲です。以前に古いIPアドレスを設定していた場合は、30日後にそれらを削除することを推奨します。

Event Hubインテグレーションを開始する

Azure Monitorの診断設定を構成する

Azure Monitorの診断設定を有効にするには、Microsoftの手順に従ってください。

• Activity log diagnostic settings

Azure Activity Logの診断設定

XDR は、データの正規化のために次の診断カテゴリをサポートしています。

最適化された構造化ログのカテゴリ

• Administrative
• Security
• ServiceHealth
• Alert
• Recommendation
• Policy
• Autoscale
• ResourceHealth

注意

その他すべてのログは Generic スキーマに正規化されます。Generic スキーマを超えるその他のデータソースの正規化を有効にするには、カスタムパーサー が必要になる場合があります。メトリックデータを XDR に転送することは推奨されません。これは、すべてのその他のログデータとして扱われ、メトリックとしては扱われないためです。

Event Hubに転送し、XDR とのインテグレーションを有効にする

1. 必要なログカテゴリを選択したら、Stream to an event hub を選択し、目的のevent hub送信先を入力します。
2. event hubのインテグレーション手順 に従って、XDR とのインテグレーションを完了し、データ取り込みを開始します。

インテグレーションから提供されるデータ

	正規化されたデータ	汎用的な検知	ベンダー固有の検知
MS Azure アクティビティログ			CloudAudit

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

Azure Monitor APIを開始する

注意

AzureインテグレーションはUSおよびEUリージョンでサポートされていますが、その他のリージョンではMicrosoftによってサポートされていない場合があります。その他のリージョンでのサービスサポートを確認するには、Microsoftに直接お問い合わせください。

注意

このインテグレーションは、AzureからサブスクリプションレベルのActivity Logを収集します。詳細については、vendor documentation を参照してください。

Azureでアプリケーションを登録する

1. Azure portalでアプリケーションを登録 します。

   • Name — 任意の説明文字列
   • Supported account types — この組織ディレクトリ内のアカウントのみ

   注意

   次の値は XDR でインテグレーションを作成する際に使用するため、記録しておいてください: Directory (tenant) ID および Application (client) ID。

2. 証明書をアップロード して、アプリケーションに資格情報 を提供します。

重要

証明書は有効期限が切れるため、有効期限日より前に継続して機能させるには、Microsoft Entra ID と XDR の両方で更新する必要があります。

重要

XDR は、Privacy-Enhanced Mail (PEM) 形式のみをサポートします。PEM形式の詳細については、RFC 7468 を参照してください。

暗号化されたキーおよびクライアントシークレットはサポートされていません。

注意

自己署名証明書はサポートされています。

PowerShell または OpenSSL を使用して自己署名PEM（拡張子 .pem）証明書を生成するには、次のいずれかのコマンドを使用します。

PowershellOpenSSL

# Prompt user for input

$certname = Read-Host -Prompt "Enter certificate name"
$keyname = Read-Host -Prompt "Enter key name"
$mypwd = Read-Host -Prompt "Enter password" -AsSecureString
$location = Read-Host -Prompt "Enter location"
$cert = New-SelfSignedCertificate -Subject "CN=$certname" -CertStoreLocation "Cert:\CurrentUser\My" -KeyExportPolicy Exportable -KeySpec Signature -KeyLength 2048 -KeyAlgorithm RSA -HashAlgorithm SHA256
Export-PfxCertificate -Cert $cert -FilePath "$location\$certname.pfx" -Password $mypwd
Install-Module -Name PSPKI -Scope CurrentUser
Import-Module -Name PSPKI
Convert-PfxToPem -InputFile "$location\$certname.pfx" -Outputfile "$location\$certname.pem"
# Read the PEM file content

$pemContent = Get-Content "$location\$certname.pem" -Raw
# Extract private key and certificate

$privateKey = $pemContent -replace "(?ms).*?(-----BEGIN PRIVATE KEY-----.+?-----END PRIVATE KEY-----).*", '$1'
$certificate = $pemContent -replace "(?ms).*?(-----BEGIN CERTIFICATE-----.+?-----END CERTIFICATE-----).*", '$1'
# Save private key and certificate to separate files

$privateKey | Set-Content "$location\$keyname.pem"
$certificate | Set-Content "$location\$certname.pem"
Write-Host "Files located at: $location"
pause

注意

前述のコードをテキストファイルにコピーして貼り付け、.ps1 拡張子（例: CertGen.ps1）でファイルを保存し、PowerShellを使用してスクリプトを実行します。

注意

使用しているPowerShellのバージョンによっては、-Subject でエラーが発生する場合、-Subject を -SubjectName に置き換える必要があることがあります。

openssl req -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 365 -out certificate.pem

監視対象のサブスクリプションにAzureアプリケーションを追加する

1. Microsoft Azure PortalのSubscriptions Resource に移動します。
2. 左側のペインで Access Control (IAM) をクリックします。
3. Add をクリックし、Add role assignment を選択します。
4. Monitoring Reader ロールを選択し、Next をクリックします。
5. Assign access to で、User, group, or service principal. の選択をそのままにします。
6. Members セクションで、追加するメンバーを選択します。
7. 右側のペインで、作成したアプリケーションのサービスプリンシパルを検索します。
8. Review and Assign をクリックして、ユーザーをサブスクリプションに割り当てます。

XDR にインテグレーションを追加する

1. Taegis Menu から、Integrations → Cloud APIs に移動します。

2. ページ上部の Add an Integration をクリックします。

   

   インテグレーションの追加

3. Optimized タブから、Office 365/Azure をクリックします。

   

   インテグレーションの作成

4. Azure Activity Logs の下で Set Up を選択します。

5. インテグレーションの name を入力します。これは任意の文字列にできます。
6. 次の項目を入力します。これらはすべてGUID形式である必要があります。
   • Tenant ID
   • Azureでアプリケーションを登録する セクションのステップ1 にある Application Client ID
   • 監視対象のサブスクリプションにAzureアプリケーションを追加する セクションのステップ1 にある Azure Subscription ID
7. 証明書と、それに関連付けられた秘密鍵をアップロードします。
8. Done を選択して、XDR とのインテグレーションを完了します。

ヒント

追加のサブスクリプションを追加するには、各サブスクリプションについて監視対象のサブスクリプションにAzureアプリケーションを追加する および XDR にインテグレーションを追加する の手順を繰り返します。

インテグレーションから提供されるデータ

	正規化されたデータ	汎用的な検知	ベンダー固有の検知
MS Azure アクティビティログ			CloudAudit

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

SecureworksをMicrosoftパートナーとしてリンクする

Secureworksをセキュリティのソリューションプロバイダーとしてリンクすることは任意のプロセスですが、これによりMicrosoftはSecureworksがどのお客様のセキュリティ目標達成やMicrosoftエコシステムの価値実現を支援しているかをより深く理解できるようになります。これにより、SecureworksはパートナーとしてMicrosoftへのアクセスが向上し、お客様により良い製品やサービスを提供できるようになります。お客様のAzure環境へのアクセスを追加し、Secureworksがセキュリティ強化を通じてお客様のビジネスを支援できるようにしていただいた場合、あわせてパートナーリンクとして弊社を追加していただけますと幸いです。

Secureworksをパートナーとしてリンクするには、以下の手順に従ってください。

1. AzureポータルでパートナーIDへのリンクにアクセスします。
2. 対象となるロールまたは権限を持つユーザーを使用してください。詳細はクレジットを受け取るために必要なロールと権限をご参照ください。
3. MicrosoftパートナーID欄に、次の値を入力します：4834104
4. パートナーIDをリンク ボタンをクリックしてプロセスを完了します。