Microsoft Content Hubを使用して、CatoイベントをMicrosoft Sentinelと統合する

概観

この統合はMicrosoft Sentinel Content Hubからインストール済みです。これは、Entraアプリケーションを独自に登録し、Catoに最小限のアクセス権を与えることを望む組織に適しています。許可されるのはデータ収集ルールへのイベント書き込みの許可のみです。

Catoは、Codeless Connector Framework（CCF）に基づいて作成されたMicrosoftサポートのパートナーコネクタとしてコンテンツハブにリストされています。これは、コネクタがSentinelデータコネクタギャラリーに表示され、ネイティブコネクタの健全性モニタリングが他のSentinelコネクタとともに行われることを意味します。イベントスキーマを最新の状態に保ちます。

ネイティブターンキー統合により、Catoはあなたのテナントでのアプリ登録を作成および維持し、証明書を更新し、イベントスキーマを最新の状態に保つことができます。完全な比較をするには、Microsoft SentinelとのCatoイベント統合のガイダンスを確認してください。

プロセスと所有者

必須条件

• Microsoft Sentinel が有効な既存の Log Analytics ワークスペースと、そのワークスペースでの読み書き権限があります。

• アプリケーション登録とクライアントシークレットの作成を行うための Microsoft Entra ID の権限。これは通常、アプリケーション 開発者ロールまたはそれ以上の権限を必要とします。

• データ収集ルールに対するモニタリング メトリック パブリッシャー ロールの割り当てを行う Azure での権限。これは通常、オーナー またはユーザー アクセス管理者 のロールを必要とします。

• CMA 内のリソースセクションでの統合に対するエディター権限。詳細については、RBACを使用した管理者ロールの管理を参照してください。

• イベント統合の開始で、すべてのCatoイベント統合の前提条件を確認してください。

• Azureでデータ収集エンドポイントのネットワークアクセス設定を変更するための権限。

この統合には MS テナントコネクタは必要ありません。そのコネクタは、Cato があなたのテナントでアプリ登録を作成できるように存在します。この統合メソッドでは、自分でアプリケーションを作成します。

デプロイメントで作成されるもの

コネクタページの展開アクションは、以下のリソースをサブスクリプションに作成します。展開後、接続値をコピーし、データ収集エンドポイントの公開ネットワークアクセスを有効化する。このネットワークアクセスを手動で設定する必要があります。

統合の設定

コネクタのインストールと導入

コネクタをインストールおよび導入するには:

1. Microsoft Sentinel で、あなたのワークスペースを選択し、コンテンツ管理 > コンテンツハブ に進んでください。

2. Cato Networks を検索してソリューションをインストールします。

   インストールウィザードで、サブスクリプション、リソースグループ、およびSentinelデプロイメントを保持するワークスペースを選択し、レビュー + 作成をクリックします。 Microsoft MarketplaceでMicrosoft Sentinel の Cato Networks としてソリューションを表示することもできます。

3. 次に、構成 > データ コネクタに移動し、Cato Networks Events（プッシュ）を選択します。

4. コネクタ ページを開くをクリックします。

   コネクタ ページを開くまたは展開が表示されない場合は、ブラウザのズームを下げてください。コネクタ ページはウィンドウの表示可能領域の下にレンダリングされる場合があり、ページスクロールバーは表示されません。

5. テナントID をコピーします。この値は、導入前に利用可能です。

6. 展開をクリックして、リストされたリソースを確認し、確認します。

   最初に警告が表示され、データ収集エンドポイントが存在しない場合に作成されることを説明します。これは予期されています。

接続値のコピー

導入が完了すると、コネクタ ページに6つの値が表示されます。それぞれにコピー ボタンがあります。

警告:

導入が完了したらすぐにEntra アプリ登録 シークレット をコピーします。コネクタ ページは約 1 分以内に自動的にリロードされ、シークレットは再度表示されません。Microsoft はクライアント シークレットが作成された後に表示しないため、ページには表示するオプションがありません。他の資格情報と同様に取り扱い、保存してください。

それを逃した場合、ソリューションを再インストールする必要はありません。クライアント シークレットを紛失した場合を参照してください。 FAQで回収方法についての2つの方法を参照してください。

DCEでの公開ネットワークアクセスの有効化

データ収集エンドポイント（DCE）は、CatoがMicrosoft Sentinelにイベントを送信できるように公開インバウンドアクセスを許可する必要があります。展開後にこれを手動で設定してください。コネクタを展開しても、このステップは完了しません。

接続値、特にクライアントシークレットをコピーし、安全に保存してからコネクタページを離れます。

DCEの公開ネットワークアクセスを有効化する：

1. Azureポータルで、このコネクタのために作成されたデータ収集ルール（DCR）を開き、そのリンクされたデータ収集エンドポイントをフォローします。正しいエンドポイントを特定するためにDCRリンクを使用します。

2. DCEで、ネットワーク機器 > 公開ネットワークアクセスを開きます。

3. アクセス レベルが制限付き公開インバウンド、有効な公開アウトバウンドに設定されている場合、組織の承認を得てから、すべてのネットワークから有効を選択し、保存をクリックします。公開アウトバウンドアクセスのみでは、Cato Cloudがこのエンドポイントにイベントを送信することはできません。

DCEは、ワークスペース内の他のコネクタと共有される可能性があります。公開アクセスの有効化により、インターネットからのネットワーク接続が許可されます。イベントの取り込みには有効なEntraトークンとDCR上のモニタリングメトリック発行者ロールがまだ必要です。この変更により、エンドポイントURI、DCR不変ID、またはクライアントシークレットを再生成する必要はありません。

注意：

DCEが境界によって保護されている場合、またはAzureポリシーが変更を禁止または元に戻す場合、Azure管理者に必要なアクセスの承認を依頼してください。境界アソシエーションを削除したり、組織ポリシーをバイパスしたりしないでください。コネクタの展開アクションとスキーマ更新テンプレートは、このネットワークアクセス要件を設定しません。

CMA における統合の作成

Sentinel統合を作成するには：

1. CMA のナビゲーション メニューから、リソース > 統合 を選択します。

2. 設定済みの統合タブで新規をクリックします。新しい統合パネルが開きます。

3. Microsoft Sentinel を選択します。

4. Auth フィールドで Microsoft Sentinel の Content Hub (CCF プッシュ) 認証 を選択します。
   

5. この統合の名前 を入力し、オプションで説明 を入力します。

6. コネクタ ページからコピーされた値を入力します。

   • ディレクトリ (テナント) ID

   • アプリケーション (クライアント) ID

   • クライアント シークレット

   • データ収集エンドポイント URI

   • データ収集ルール不変ID

   • イベントストリーム名

7. (オプション) 下記に記載されているように、どのCatoイベントがMicrosoft Sentinelに送信されるかを制御するフィルターを追加します。

8. 保存をクリックします。

イベント スキーマを最新状態に保つ

Content Hub のソリューションには、そのバージョンが公開された際のイベント スキーマが含まれています。 Catoは、ソリューションが再公開されるよりも頻繁にイベントフィールドを追加するため、インストール後に現在のスキーマを別途適用します。

セットアップの一環として一度、Cato が追加したフィールドを希望するたびに再度行います。ソリューションの新しいバージョンをインストールしても、テーブルとデータ収集ルールはサブスクリプションに属し、あなたの導入アクションによって作成されたので、テンプレートのみがそれらを変更します。

現在のスキーマを適用するには:

1. スキーマ更新テンプレートを開きます。コネクタ ページの スキーマを最新の状態に保つ セクションで スキーマ更新を展開する をクリックします。または、Cato Sentinel CCF リポジトリ に移動し、Azure にデプロイをクリックします。

2. サブスクリプションと Sentinel ワークスペースを保持するリソース グループを選択します。

3. ワークスペース名を入力します。これは唯一入力する必要がある値です。

4. レビュー + 作成をクリック。

更新は、取り込みエンドポイント、データ収集ルール不変ID、Entraアプリケーション、クライアントシークレット、テーブル保存、および既に取り込まれているすべてのデータを保持します。 CMAに何も再入力する必要はなく、取り込みは全体を通して続けられます。

Log Analytics ワークスペースには 1 つの Cato コネクタが保持されるため、複数のワークスペースでコネクタを実行する場合は、ワークスペースごとに一度更新を適用します。

新しいフィールドが到着するまで最大 30 分を許可します。取り込みエンドポイントは以前のスキーマを短時間キャッシュし、その間に新しいフィールドが空のままであってもイベントは正常に受け入れられます。クエリで結果を確認し、更新が失敗したと判断するのではなく:

CatoNetworksEvents_CL

| where TimeGenerated > ago(1h)

| take 10

新しいフィールドが1時間以上経ってもまだ空の場合は、アカウント ID と Log Analytics ワークスペースの名前を持って Cato サポートに連絡してください。

スキーマは常に成長します。列が追加され、削除や再タイプされることはありませんので、更新が既存のワークブック、アナリティクスルール、または保存されたクエリを壊すことはありません。

統合が正常に動作しているか確認する

セットアップ後、確認します：

• DCEの公開ネットワークアクセスはすべてのネットワークから有効に設定されています。

• テーブル CatoNetworksEvents_CL がログ アナリティクス ワークスペースのテーブルの下に表示されます

• Sentinel のコネクタ ページには、コネクタが 接続済み と表示されます

• イベントはトラフィックの数分以内に表示されます。 CatoNetworksEvents_CL | take 10 でログ アナリティクスをクエリ

注意：

Sentinel の 接続済み ステータスは、資格情報がまだ有効かどうかではなく、前の 7 日間にテーブルに到着したデータに基づいています。シークレットの有効期限が切れたコネクタは、最大 7 日間接続済みと表示され続けることができます。テーブルに対するクエリを使用して、イベントがまだ到着していることを確認します。

イベントが到着しない場合は、DCEのネットワークアクセス設定を確認してください。アクセスレベルが制限付き公開インバウンド、有効な公開アウトバウンドの場合、DCEの公開ネットワークアクセスを有効にするを実行し、その後イベントが到着していることを確認するためにCatoNetworksEvents_CLを再度クエリします。

フィルターの設定

フィルターを使用して、Microsoft SentinelにエクスポートされるCatoイベントを制御します。これにより、インジェストコストが削減され、ノイズが最小限に抑えられ、特定のサイト、ユーザー、または地域に最も関連するイベントに調査を集中させることができます。フィルターを使用して、異なるSIEM環境に異なるイベントのサブセットをルーティングすることもできます。

フィルターグループを使用して、イベントフィールドまたはフィールドの組み合わせに基づいてフィルターを定義します。各グループ内の条件はANDロジックが使用されます。 ORロジックはグループ間で適用されます。スクリーンショットのフィルターでは、以下をエクスポートするように統合を構成します：

• ニースまたはマドリード発で、サブタイプがインターネットファイアウォールで、結果がモニターやプロンプト以外のアクションだったイベント

• ユーザ名にTestが含まれる

イベントフィールドリファレンス

CatoNetworksEvents_CL の列は Cato イベントフィールドを反映しています。 Cato Event Schema で各イベントタイプが持つフィールドを参照し、Understanding Event Fields でフィールド定義を確認してください。

ログアナリティクスが予約しているため、名前が異なる 2 つの項目があります:

確認された制限事項

• パッケージ化されたスキーマは出発点です。ソリューションにはリリース時のイベントスキーマが含まれています。後で Cato が追加するフィールドは、スキーマ更新を適用することでのみテーブルに適用されます。イベント スキーマを最新に保つをご覧ください。

• ワークスペースごとに 1 つのコネクタ。データ収集ルールとカスタム テーブルはワークスペースから命名されるため、同じ Log Analytics ワークスペースでコネクタを再展開すると、新しいセットが作成されるのではなく既存のリソースが再利用されます。複数の Cato アカウントからのイベントは 1 つのコネクタを共有でき、「account_id」と「account_name」で区別されます。フィードを別々のテーブルで保持し、それぞれの保存期間やアクセス制御を設定するには、各フィードに異なるワークスペースを設定してください。

• 固定されたテーブル名。イベントは常に CatoNetworksEvents_CL に書き込まれます。テーブル名は公開ソリューションにより固定されており、変更できません。これは、Sentinel のコネクタの健全性ステータスがそのテーブルでのクエリに基づいて決定されるためです。

• 大規模イベントの制限。一部の XOps イベントには、raw_data フィールド内に広範なストーリー情報が含まれていることがあり、イベントが Microsoft Sentinel の取り込みサイズ制限（約 1 MB） を超える可能性があります。これが発生した場合、Cato はraw_dataフィールドを除外して Sentinel にイベントを転送し続けます。

• アンインストールしてもクリーンアップされません。コネクタを削除すると、収集のデータルール、カスタムテーブルとそのデータ、Entra アプリケーションはそのまま残ります。必要ない場合は Azure で削除してください。