Microsoft Sentinel

Aikido の問題を Microsoft Sentinel に送信して、セキュリティの検出結果を Azure の他の監視・オブザーバビリティ データと並べて管理できるようにします。

チームがすでに Sentinel を SIEM として使用しており、Aikido の検出結果をインフラ、アプリケーション、監査のシグナルと相関させる単一の場所が欲しい場合に便利です。

要件

接続する前に、Azure から次の情報を取得してください:

• エンドポイント URL - Data Collection Endpoint の Logs Ingestion URI。
• ストリーム名 - Data Collection Rule (DCR) で定義されたデータ ストリームの名前。例: Custom-Aikido_CL.
• DCR ID - Rule ID（手動モード）または DCR Resource ID（管理モード）のいずれか。詳細は下の DCR Configuration を参照してください。
• Tenant ID、Client ID、Client Secret - テナントに登録された Microsoft Entra アプリケーションから取得します。

Sentinel の接続

1. 1

   Azure の前提条件を設定する

   1. Microsoft Entra アプリケーションを作成し、Tenant ID、Client ID、Client Secret を控えておきます。
   2. Data Collection Endpoint を作成し、その Logs Ingestion URI をコピーします。これが Endpoint URL です。
   3. 取り込んだデータを受け取るために、Log Analytics ワークスペースにテーブルを作成します。テーブル作成時には、問題データに一致するサンプル JSON ペイロードをアップロードして、Azure がスキーマを推測できるようにしてください。
   4. 次の場所で Data Collection Rule (DCR) を作成します: Monitor > Data Collection Rules > Create、ステップ 2 の Data Collection Endpoint を使用します。次の種類のデータ ソースを追加します: カスタム、同じサンプル JSON ペイロードをアップロードしてストリーム宣言を生成し、そのストリームをステップ 3 のテーブルにルーティングするデータ フローを追加します。これが下で参照する DCR で、直接指定する場合（手動モード）でも、Aikido が複製するテンプレートとして使う場合（管理モード）でも同じです。
   5. DCR の アクセス制御 (IAM) ページで、 Monitoring Metrics Publisher ロールを Entra アプリケーションに割り当て、スコープを DCR に設定します。このデータプレーン ロールは、Logs Ingestion API がアプリケーションからのデータを受け入れるために必要です。ワークスペースの共同作成者権限だけでは不十分で、付与されません。
   6. DCR モードを選択します:
      • 手動 - 1 つの DCR を自分で管理します。その Rule ID は次の場所で確認できます: Monitor > Data Collection Rules、DCR を選択してから JSON View > immutableId.
      • 管理 - Aikido が高いスループット向けに DCR を自動でスケールします。DCR Resource ID も同様に、トップレベルの id フィールドを使って確認します。
   7. DCR の次の場所で Stream Name を確認します: properties.streamDeclarations （形式は次のとおりです Custom-[TableName]_CL).
2. 2

   SIEM を接続する

   次へ移動します： Settings > Integrations Aikido アプリで、新しい SIEM 統合を追加します。 SIEM を接続する ダイアログで次を選択します： Microsoft Azure Sentinel を選択して、次を入力します：

   設定

   • エンドポイント URL - Azure Monitor DCR の取り込みエンドポイント URL。
   • ストリーム名 - DCR で定義されたデータ ストリームの名前。
   • DCR の構成 - DCR モードを選択します:
     • 手動 - 指定した 1 つの DCR に取り込みます。
     • 管理 - Aikido が DCR を複製して、より高いスループットに対応できるよう取り込みをスケールします。
   • DCR Resource ID （管理モード） - DCR の完全な ARM リソース ID。形式は次のとおりです。 /subscriptions/<sub>/resourceGroups/<rg>/providers/Microsoft.Insights/dataCollectionRules/<name>。Aikido はこれを複製して、ポッドローカル DCR を作成します。
   • Rule ID （手動モード） - DCR の不変 ID。

   認証

   • Tenant ID - Azure Active Directory のテナント（ディレクトリ）ID。
   • クライアントID - Azure Active Directory に登録されたアプリケーション（クライアント）ID。
   • クライアントシークレット - 登録済みアプリケーションに関連付けられたクライアント シークレット。

   クリックします 接続をテスト Aikido が Sentinel に到達できることを確認し、その後 変更を保存.

3. 3

   同期する問題を設定

   Sentinel の統合ページで、次の項目の下にある Issue 入力設定で、どの Aikido の問題を SIEM に同期するかを設定します：

   • 問題のステータス － たとえば、未解決の問題のみを同期するか、解決済みや無視された問題も含めるかを選択します。
   • 最小重大度 － 同期する最小の重大度レベル。
   • 問題の種類 － 特定の問題タイプに限定するか、すべてを同期します。
   • Language － 特定の言語に限定するか、すべてを同期します。
   • 同期頻度 - Aikido が一致する問題を Sentinel に送信する頻度（例: 1 時間ごと）。

   クリックします 設定を保存.

イベントが届いていることを確認する

Microsoft Sentinel で、次へ移動します: ログ 、カスタム テーブルをクエリします（例: Aikido_CL）。設定した同期頻度が経過するのを待つか、Aikido でテスト問題を発生させて、テーブルに表示されることを確認します。

トラブルシューティング

• サイズ超過でレコードが拒否される - 1 MB を超える個々のレコードは拒否されます。これは Azure Monitor Logs Ingestion API の制限です。
• 接続は成功するがデータが届かない（取り込み時に 403） - Entra アプリケーションの認証は成功していますが、DCR への発行は許可されていません。次のロールが付与されていることを確認してください: Monitoring Metrics Publisher ロールを DCR に直接割り当てます。ワークスペースの共同作成者権限では付与されません。
• 管理モードで DCR の設定に失敗する - 登録済みアプリケーションが対象サブスクリプション配下の Data Collection Rules を読み取り、作成、削除できること、および DCR Resource ID が有効であることを確認してください。
• データが表示されない - Stream Name が DCR に宣言されたストリームと一致していること、およびテーブル スキーマが Aikido が送信する問題データと一致していることを確認してください。

統合の管理

次から： Settings > Integrations > Microsoft Sentinel Aikido で、次のことができます：

• 統合を管理 - エンドポイント URL、ストリーム名、DCR 設定、または認証情報を更新します。
• 統合を削除 - Sentinel の接続を解除します。これにより今後のすべての同期が停止します。すでに Sentinel に送信されたイベントは削除されません。