はじめてのMicrosoft Sentinel：簡単ステップでセキュリティ強化！

2024.08.11

Microsoft Sentinel は、マイクロソフトが提供するクラウドベースの SIEM（Security Information and Event Management）サービスです。組織内のさまざまなログを集めて、セキュリティ脅威の検出、調査、対応を1か所で行えます。

この記事では、Microsoft Sentinel を使い始めるための初期セットアップとして、リソースグループ、Log Analytics ワークスペースの作成から、Microsoft Sentinel の追加までを Azure ポータルで順に確認します。

この記事でわかること
  1. リソースグループを作成する
  2. Log Analytics ワークスペースを作成し、状態を確認する
  3. ワークスペースに Microsoft Sentinel を追加し、無料試用版の内容を確認する

Microsoft Sentinel を構成するもの

Microsoft Sentinel は単体のリソースとして作るのではなく、ログの保存先である Log Analytics ワークスペースに「追加（有効化）」して使います。そのため、作る順番は「リソースグループ → Log Analytics ワークスペース → Microsoft Sentinel」になります。

リソースグループ　Sentinel_Blog（Japan East） STEP 1 ログを収集・保存 Azure（Activity ログ等） Microsoft 365 オンプレ機器（Syslog 等） データソース ワークスペースに追加 Microsoft Sentinel 検出・調査・対応（SIEM） STEP 3 Log Analytics ワークスペース 名前：Sentinel STEP 2
図1　この記事で作るリソースの関係
リソース役割今回の名前
リソースグループ関連するリソースをまとめて管理する入れ物。削除するときも単位になるSentinel_Blog
Log Analytics ワークスペース収集したログを保存する場所。Microsoft Sentinel はここに保存されたデータを分析するSentinel
Microsoft Sentinelワークスペース上で、脅威の検出、インシデントの調査、自動対応を行う SIEM 機能ワークスペース Sentinel に追加
必要な権限と費用
  • Microsoft Sentinel を有効にするには、ワークスペースがあるサブスクリプションの「共同作成者（Contributor）」権限が必要です。
  • Microsoft Sentinel は有料サービスです。最初の31日間は無料試用版が使えますが、範囲を超えた分や試用期間後は課金されます（後述の「無料試用版と課金の注意点」を参照してください）。

初期セットアップの手順

画面イメージについて

この記事の画面は、実際の画面ではなく、検証時（2024年8月）の Azure ポータルの画面から、設定する項目と確認するポイントを抜き出して描いたイメージです。Azure ポータルは更新が多く、項目の並びや表記は変わることがあります。

リソースグループを作成する

まず、リソースグループを作成します。リソースグループは関連するリソースをまとめて保持するコンテナです。既存のリソースグループを使っても問題ありません。リソースグループについては、下記の記事も参考にしてください。

>> 参考記事：【Azure】リソースグループの概要と追加・削除

Azure ポータルで リソース グループ ›› ＋ 作成 の順に選択し、作成画面を開きます。

Azure ポータル：リソース グループの作成画面イメージ
基本　　タグ　　確認および作成
プロジェクトの詳細
サブスクリプション *Azure subscription 1
1リソース グループ *Sentinel_Blog
リソースの詳細
2リージョン *(Asia Pacific) Japan East
3確認および作成< 前へ次: タグ >
図2　リソースグループの作成画面（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1リソース グループ任意の名前。今回は Sentinel_Blog
2リージョンリソースグループの情報（メタデータ）を保存する場所。今回は (Asia Pacific) Japan East
3確認および作成入力内容の検証に進む

検証に成功したことを確認し、「作成」をクリックします。

Azure ポータル：リソース グループの作成画面イメージ
1✔ 検証に成功しました。
基本　　タグ　　確認および作成
基本
サブスクリプションAzure subscription 1
リソース グループSentinel_Blog
リージョンJapan East
タグ
タグなし
2作成< 前へ次へ >
図3　確認および作成の画面（実際の画面ではなく、確認するポイントを示したイメージです）
No.表示意味
1検証に成功しました。入力内容に問題がない。失敗した場合はエラーの出た項目を直す
2作成リソースグループを作成する

作成が終わると、通知に リソース グループが作成されました と表示され、サブスクリプション「Azure subscription 1」にリソースグループ「Sentinel_Blog」ができたことを確認できます。

Log Analytics ワークスペースを作成する

Microsoft Sentinel は、データの保存に Log Analytics ワークスペースを使います。STEP 1 で作ったリソースグループの中に、Log Analytics ワークスペースを作成します。

Azure ポータル上部の検索ボックスに「Log Analytics」と入力し、Log Analytics ワークスペース ›› ＋ 作成 の順に選択します。

Azure ポータル：Log Analytics ワークスペースの作成画面イメージ
基本　　タグ　　確認および作成
プロジェクトの詳細
サブスクリプション *Azure subscription 1
1リソース グループ *Sentinel_Blog
インスタンスの詳細
2名前 *Sentinel
3地域 *Japan East
4確認および作成« 前へ次: タグ >
図4　Log Analytics ワークスペースの作成画面（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1リソース グループSTEP 1 で作成した Sentinel_Blog を選択
2名前任意。今回は Sentinel
3地域ログを保存するリージョン。今回は Japan East
4確認および作成入力内容の検証に進む

リソースグループと同じく、「確認および作成」タブで検証に成功したこと（サブスクリプション、リソース グループ、名前、地域が入力どおりであること）を確認し、「作成」をクリックします。デプロイが終わると、通知に 展開が成功しました と表示されます。

ワークスペースの状態を確認する

正常に作成されたかを確認します。Log Analytics ワークスペースの一覧から、作成したワークスペース（名前：Sentinel）をクリックし、「概要」で状態を見ます。

Azure ポータル：Log Analytics ワークスペース画面イメージ
Log Analytics ワークスペース
名前リソース グループ
1SentinelSentinel_Blog
Sentinel（Log Analytics ワークスペース） ›› 概要
基本
リソース グループsentinel_blog
2状態アクティブ
場所Japan East
サブスクリプションAzure subscription 1
図5　ワークスペースの一覧と概要（実際の画面ではなく、確認するポイントを示したイメージです）
No.表示意味
1Sentinel作成したワークスペース。リソース グループ列が Sentinel_Blog になっていることも確認する
2状態：アクティブワークスペースが使える状態になっている
補足

概要ではリソースグループ名が sentinel_blog と小文字で表示されることがあります。Azure のリソースグループ名は大文字と小文字を区別しないため、Sentinel_Blog と同じものです。

Microsoft Sentinel を追加する

STEP 2 で作成した Log Analytics ワークスペースに、Microsoft Sentinel を追加します。Azure ポータル上部の検索ボックスで「Microsoft Sentinel」を検索し、Microsoft Sentinel ›› ＋ 作成 の順に選択します。

Azure ポータル：ワークスペースへの Microsoft Sentinel の追加画面イメージ
ⓘ Microsoft Sentinel では、31 日間の無料試用版が提供されます。
ワークスペース場所
1Sentineljapaneast
2追加取り消し
図6　Microsoft Sentinel を追加するワークスペースの選択（実際の画面ではなく、操作のポイントを示したイメージです）
No.項目設定内容
1ワークスペースSTEP 2 で作成した Sentinel を選択
2追加選択したワークスペースで Microsoft Sentinel を有効にする
ワークスペースを選ぶときの注意
  • Microsoft Defender for Cloud が自動で作る既定のワークスペースは一覧に表示されず、Microsoft Sentinel を追加できません。
  • Microsoft Sentinel を追加したワークスペースは、別のリソースグループやサブスクリプションへ移動できません。リソースグループは追加前に決めておきます。
  • Microsoft Sentinel は複数のワークスペースで使えますが、データはワークスペースごとに分かれます。

追加が終わると、通知に Microsoft Sentinel が正常に追加されました と表示されます。Microsoft Sentinel のワークスペース一覧に表示されるまで、数分かかる場合があります。続けて、Microsoft Sentinel の画面に無料試用版の案内が表示されます。

Azure ポータル：Microsoft Sentinel ｜ ニュースとガイド画面イメージ
ホーム ›› Microsoft Sentinel ›› ワークスペースへの Microsoft Sentinel の追加 ›› Microsoft Sentinel
選択したワークスペース：’sentinel’
左メニュー全般（Overview／ログ／ニュースとガイド／検索）、脅威管理、コンテンツ管理、構成
1メッセージMicrosoft Sentinel の無料試用版がアクティブ化されました
試用期間2024/8/11 から 2024/9/11 23:59:59 (UTC) まで
2無料の範囲Microsoft Sentinel と Log Analytics の両方で 1 日あたり最大 10 GB
超過分1 日あたり 10 GB の利用可能容量を超えたデータは課金
OK
図7　Microsoft Sentinel 追加後の画面（実際の画面ではなく、表示内容のポイントを示したイメージです）
No.表示意味
1無料試用版がアクティブ化されました／試用期間このワークスペースで無料試用版が始まった。期間は追加した日から31日間で、終了日時は UTC で表示される
2無料の範囲Log Analytics のデータ取り込みと Microsoft Sentinel の分析の両方が、1日10 GB まで無料になる

これで Microsoft Sentinel の初期セットアップは完了です。試用期間の終了日や残り日数は、あとから「ニュースとガイド」の「無料試用版」タブでも確認できます。

無料試用版と課金の注意点

無料試用版は「31日間、1日10 GB まで」ですが、無料になる料金とならない料金があります。検証で使う場合は、次の点を押さえておくと想定外の課金を避けられます。

項目内容
期間ワークスペースで Microsoft Sentinel を有効にしてから31日間
無料になる量Analytics ログプランで取り込んだデータのうち、1日10 GB まで
無料になる料金Log Analytics のデータ取り込みと、Microsoft Sentinel の分析料金の両方
無料にならない料金自動化（Logic Apps）や独自の機械学習（BYOML）など追加機能の料金、Microsoft Sentinel データレイク関連の料金
制限無料試用版は Azure テナントあたり20ワークスペースまで
試用期間後・10 GB 超過分通常の料金で課金される
検証が終わったら

検証用に作った環境を使わなくなったら、リソースグループ Sentinel_Blog ごと削除すると、中のワークスペースもまとめて削除できます。データの取り込みが続いていると、試用期間後に課金が発生するので注意してください。

Microsoft Defender ポータルへの移行について

この記事は Azure ポータルで手順を確認していますが、Microsoft Sentinel は Microsoft Defender ポータル（security.microsoft.com）でも一般提供されています。Defender XDR や E5 ライセンスがなくても、Defender ポータルで Microsoft Sentinel を使えます。

変更点内容
Azure ポータルのサポート終了2027年3月31日以降、Microsoft Sentinel は Azure ポータルでサポートされなくなり、Defender ポータルでのみ利用できるようになる
新規ユーザーの自動オンボード2025年7月以降、テナントで初めて Microsoft Sentinel を有効にするユーザーが、サブスクリプションの所有者またはユーザー アクセス管理者の権限を持つ場合、ワークスペースは Defender ポータルに自動でオンボードされる。この場合、Azure ポータルの Microsoft Sentinel 画面には Defender ポータルへ移動するリンクが表示される
Defender ポータルでの確認ナビゲーションに「Microsoft Sentinel」が表示される。オンボード済みのワークスペースは 設定 ›› Microsoft Sentinel ›› ワークスペース で確認できる

リソースグループと Log Analytics ワークスペースを作り、ワークスペースに Microsoft Sentinel を追加する流れは変わりません。ただし、追加した後の画面は、この記事の図7とは違う場合があります。

次にやること

Microsoft Sentinel を追加しただけでは、まだログは取り込まれていません。次は、コンテンツハブからソリューションをインストールし、データコネクタを設定してログを取り込みます。たとえば「Azure Activity」ソリューションを入れて Azure Activity データコネクタを設定すると、Azure のアクティビティログを取り込めます。Azure Activity ログは、Microsoft Sentinel で無料のデータソースです。

まとめ

Microsoft Sentinel の初期セットアップは、リソースグループ、Log Analytics ワークスペース、Microsoft Sentinel の順に作るだけで完了します。今回作成したリソースは次のとおりです。

STEP作成したもの設定値
STEP 1リソースグループ名前 Sentinel_Blog、リージョン Japan East
STEP 2Log Analytics ワークスペース名前 Sentinel、地域 Japan East、状態がアクティブ
STEP 3Microsoft Sentinelワークスペース Sentinel に追加。無料試用版（31日間、1日10 GB まで）が開始

その他の Microsoft Sentinel 関連記事は Microsoft Sentinel のカテゴリ から参照できます。

コメント