Logic Appsでインシデント対応を自動化

AzureにクラウドSIEM「Microsoft Azure Sentinel」登場、誤アラート少ない

2019年03月06日 08時00分更新

文● 羽野三千世／TECH.ASCII.jp

　マイクロソフトは米国時間2019年2月28日、Microsoft Azureから、SIEM（Security Information and Event Management：セキュリティ情報イベント管理）とSOAR（Security Orchestration and Automation Response：セキュリティ監視・対応業務の自動化）の機能を提供するクラウドサービス「Microsoft Azure Sentinel」を発表、同日からプレビュー版の提供を開始した。調査する必要のない誤アラートを削減し、セキュリティ担当者の負荷を低減する。

Microsoft Azure Sentinel

　Azure Sentinelは、オンプレミスとマルチクラウド環境を俯瞰して、ユーザー、デバイス、アプリケーション、インフラのデータを収集・可視化し、インシデント発生時にアラートを出す。インシデントの根本原因をドリルダウンして調査するツールも提供する。さらに、Azureのワークフロー作成ツールLogic Appsと連携し、インシデントに対処するための標準的なタスクを自動実行することが可能だ。

インシデントの根本原因をドリルダウンして調査するツール

　Azure Sentinelは、様々なサービスのデータを接続するための「コネクタ」を用意しており、Office 365やAzure Active Directoryを含むMicrosoft 365、マイクロソフトの各種セキュリティサービスのほか、Check Point、Cisco、F5、Fortinet、Palo Alto、Symantec、ServiceNowといったサードパーティー製のサービスのセキュリティデータを集約できるようになっている。

「コネクタ」でセキュリティデータのソースを選択

　誤アラートを減らし、調査する必要のあるアラート数を最小限に抑えるために、Azure Sentinelでは、各アラートを分析して、関連するアラートのグループ「Case」にまとめる。また、ネットワークの動作をマッピングして、リソース全体の異常を検知するための機械学習ルールを提供する。これらの機能によって、Azure Sentinelはセキュリティ担当者が対応するアラート数を減らしており、ベータユーザーのデータでは約90％のワークロードを削減できたとする。

各アラートをグループ化して誤アラートを削減

　Azure Sentinelでは、一般的なタスクを自動化するためのプレイブックを用意している。タスクの自動化にはAzure Logic Appsを使用し、プレイブックギャラリーからAzure Logic Appsへビルドできる。プレイブックには、Microsoft Teams、Slack、JIRA、ServiceNowなどの外部サービスと接続するための200以上のコネクタが含まれる。例えば、Azure Sentinelで特定のイベントが検出された際にServiceNowでチケットを発行・管理するといった運用を自動化できる。