Microsoft Graph Security API Alerts v2 インテグレーションガイド🔗

以下の手順は、Secureworks® Taegis™ XDR への取り込みを容易にするために、Microsoft Graph Security API Alerts v2 ログのインテグレーションを設定するためのものです。詳細については、Microsoft Graph Security API Overview を参照してください。

前提条件🔗

Microsoft Graph Security API Alerts v2 インテグレーションでは、Microsoft Defender XDR unified alert system からアラートを取得する Alerts v2 (Alerts and incidents) エンドポイントを使用します。アラートを XDR に取り込むには、まず Microsoft Defender の統合アラートエクスペリエンスでアラートが表示されている必要があります。

Microsoft Defender Unified Alerts Required

このインテグレーションを設定する前に、以下を確認してください。

お客様のテナントが Microsoft Defender portal にアクセスでき、Incidents & alerts → Alerts の下にアラートが表示されていること。
Defender for Endpoint、Defender for Office 365、Defender for Identity、Defender for Cloud Apps、Defender for Cloud、Entra ID Protection など、アラートを生成する必要がある各 Microsoft セキュリティワークロードが Microsoft Defender XDR にオンボードされ、Defender portal でアラートを生成していること。

Microsoft Defender XDR と連携されていないプロバイダーからのアラートは、alerts_v2 API には表示されず、そのためこのインテグレーションを通じて XDR に取り込まれることもありません。これは Microsoft のアーキテクチャ上の要件であり、XDR の制限ではありません。

インテグレーションの設定後にアラートが想定どおりに表示されない場合は、Microsoft Graph Security API Alerts v2 Troubleshooting を参照してください。

Graph Security API Alerts v2 エンドポイントからのセキュリティアラート🔗

Microsoft は、多くの異なる製品にわたってセキュリティ分析を実装しています。XDR はそれらの Microsoft アラートをリアルタイムで取得し、XDR で検出として表示します。

これらのアラートには、以下のものが含まれます。

Microsoft Entra ID Protection
Microsoft 365 Defender
Microsoft Defender for Cloud Apps
Microsoft Defender for Endpoint
Microsoft Defender for Identity
Microsoft Defender for Office 365
Microsoft Purview Data Loss Prevention
Microsoft Purview Insider Risk Management

アラートは Microsoft REST API を使用してポーリングベースで取り込まれ、新しいデータは毎分要求されます。データの可用性については、Office 365 and Azure Data Availability を参照してください。

注意

XDR は、Graph Security API によって提供されるアラートを中継します。これには、エンリッチメント、コンテキスト、および独自分析を提供するために必要な生のテレメトリーは含まれません。アラートのみのインテグレーションでは single pane of glass ビューは提供されますが、詳細な分析に必要な情報は含まれません。可能な場合は、アラートを補完するテレメトリーが利用可能なインテグレーションを追加することを推奨します。

これらのセキュリティ製品の可用性は、お客様が保有する Microsoft のサブスクリプションとライセンス、および XDR にアクセスを認可した内容によって異なります。Microsoft Defender 製品のライセンス要件の詳細については、Microsoft Defender XDR prerequisites を参照してください。

注意

Office 365 由来の一部のアラートは、O365 Management と MS Graph Security の両方のデータに表示される場合があります。

Taegis IPアドレス範囲🔗

このインテグレーション用に既存のファイアウォールまたはAPIゲートウェイのIP許可リストを設定している場合、または設定を予定している場合は、お客様のTaegisリージョンに対応する以下のXDR IPアドレス範囲を追加してください。

Taegis Region	IP Address Range
Charlie	`216.9.204.0/24`
Delta	`216.9.204.0/24`
Echo	`216.9.205.0/24`
Foxtrot	`216.9.206.0/24`
Golf	`216.9.207.0/24`
Hotel	`208.89.40.0/24`
India	`208.89.42.0/24`
Juliet	`208.89.41.0/24`
Kilo	`208.89.43.0/24`
Quebec	`208.89.44.0/24`

注意

これらは、XDRインテグレーションに必要な唯一のIP範囲です。以前に古いIPアドレスを設定していた場合は、30日後にそれらを削除することを推奨します。

インテグレーションから提供されるデータ🔗

	正規化されたデータ	汎用的な検知	ベンダー固有の検知
MS Graph Security API Alerts v2			Antivirus, CloudAudit, Email, Thirdparty

Microsoft Graph Security API Alerts v2 インテグレーション手順🔗

Azure でアプリケーションを登録する🔗

Azure portal でアプリケーションを登録します。
- Name — 任意の説明文字列
- Supported account types — この組織ディレクトリ内のアカウントのみ
Note

以下の値は XDR でインテグレーションを作成する際に使用するため、記録しておいてください。
- Directory (tenant) ID
- Application (client) ID
アプリケーション権限を設定します。以下の権限を追加してください。
- SecurityAlert.Read.All (application permission)
- SecurityIncident.Read.All (application permission, optional)
- User.Read (permission automatically delegated to MS Graph)
注意

SecurityIncident.Read.All は任意です。XDR は現在、Microsoft Defender のインシデントデータを取り込まないため、この権限は安全に省略できます。インシデントの取り込みは将来のリリースで追加される可能性があります。この権限を今付与しておくことで、その時点で管理者同意フローを再実行することなくインシデントデータを利用できるようになります。

API 権限
Grant admin consent for <Azure tenant name> をクリックします。
証明書をアップロードして、アプリケーションに資格情報を提供します。

重要

証明書には有効期限があり、継続して機能させるには、有効期限前に Microsoft Entra ID と XDR の両方で更新する必要があります。

重要

XDR は、Privacy-Enhanced Mail (PEM) 形式のみをサポートします。PEM 形式の詳細については、RFC 7468 を参照してください。

暗号化されたキーおよびクライアントシークレットはサポートされません。

このインテグレーションには RSA キーが必要です。RFC 7518 §3.3 に従い、RS256 JWT 署名には少なくとも 2048 ビットのキーが必要であり、新規展開には 3072 ビットを推奨します。Microsoft Entra ID が受け入れる場合でも、ECDSA およびその他のキーアルゴリズムはサポートされません。

注意

自己署名証明書はサポートされています。

PowerShell または OpenSSL を使用して自己署名 PEM（拡張子 .pem）証明書を生成するには、次のいずれかのコマンドを使用します。

PowershellOpenSSL

# Prompt user for input
$certname = Read-Host -Prompt "Enter certificate name"
$keyname  = Read-Host -Prompt "Enter key name"
$location = Read-Host -Prompt "Enter location"

# Generate a self-signed certificate in the current user's certificate store
$cert = New-SelfSignedCertificate `
    -Subject           "CN=$certname" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyExportPolicy   Exportable `
    -KeySpec           Signature `
    -KeyLength         3072 `
    -KeyAlgorithm      RSA `
    -HashAlgorithm     SHA256

# Helper: format raw bytes as a standard PEM block (Base64, wrapped at 64 chars)
function ConvertTo-PemBlock {
    param([string]$Header, [byte[]]$Bytes)
    $b64 = [Convert]::ToBase64String($Bytes) -replace '.{64}', "$&`n"
    "-----BEGIN $Header-----`n$($b64.TrimEnd())`n-----END $Header-----`n"
}

# Export certificate as PEM
$certPem = ConvertTo-PemBlock -Header 'CERTIFICATE' -Bytes $cert.RawData
Set-Content -Path "$location\$certname.pem" -Value $certPem -NoNewline

# Export private key as unencrypted PKCS#8 PEM
$rsa    = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
$keyPem = ConvertTo-PemBlock -Header 'PRIVATE KEY' -Bytes $rsa.ExportPkcs8PrivateKey()
Set-Content -Path "$location\$keyname.pem" -Value $keyPem -NoNewline

Write-Host "Files located at: $location"
pause

注意

前述のコードをテキストファイルにコピーして貼り付け、ファイルを .ps1 拡張子（例: CertGen.ps1）で保存し、PowerShell を使用してスクリプトを実行してください。

openssl req -newkey rsa:3072 -nodes -sha256 -keyout key.pem -x509 -days 365 -out certificate.pem

XDR でインテグレーションを追加する🔗

Taegis Menu から Integrations → Cloud APIs に移動します。
ページ上部の Add an Integration をクリックします。

インテグレーションの追加
Optimized タブから Office 365/Azure をクリックします。

インテグレーションの作成
Graph Security API Alerts v2 の下で Set Up を選択します。
インテグレーションの name を入力します。これは任意の文字列にできます。
Azure でアプリケーションを登録する セクションの手順 1 で取得した Tenant ID と Application Client ID を入力します。
証明書と、それに関連付けられた秘密鍵をアップロードします。
Done を選択して、XDR とのインテグレーションを完了します。
これが MS Graph V2 Alerts and incidents を使用する最初のインテグレーションである場合は、認可の問題を回避するために Microsoft Defender で alerts service をプロビジョニングする必要がある場合があります。

Microsoft Defender web portal で、Investigation & response > Incidents & alerts > Alerts に移動します。以下のメッセージが表示される場合があります。プロビジョニングには 1 時間かかることがあります。その後、新しいアラートを表示できるようになり、alerts service が機能します。

詳細については、Microsoft Q&A を参照してください。

プロビジョニング進行中

クエリ言語を使用した詳細検索🔗

Graph Security v1 イベントと v2 イベントを区別する🔗

すべての Graph Security v2 イベントを検索するには:

where ingest.product.name = 'GRAPH_ALERTS' and ingest.product.version = 'v2'

すべての Graph Security v1 イベントを検索するには:

where ingest.product.name = 'GRAPH_ALERTS' and ingest.product.version = 'Legacy'

トラブルシューティング🔗

Microsoft Defender portal に表示されているアラートが XDR に表示されない場合、または従来の Graph Security API v1 を通じて取り込まれたアラートが v2 の結果に表示されない場合は、Microsoft Graph Security API Alerts v2 Troubleshooting を参照してください。