オートメーションルールを使用してMicrosoft Sentinel でインシデントタスクを作成する

[アーティクル]
03/14/2024
適用対象:

Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

この記事では、オートメーションルールを使用してインシデントタスクの一覧を作成し、Microsoft Sentinel でアナリストワークフロープロセスを標準化する方法について説明します。

インシデントタスクは、オートメーションルールだけでなく、プレイブックによっても自動的に作成でき、さらにインシデント内から手動でアドホックに作成することもできます。

さまざまなロールのユースケース

この記事では、SOC マネージャー、上級アナリスト、オートメーションエンジニアに適用される次のシナリオについて説明します。

インシデントタスクアクションを使用してオートメーションルールを表示する
オートメーションルールを使用してインシデントにタスクを追加する

このようなもう 1 つのシナリオについて、次の付属の記事で説明しています。

プレイブックを使用してインシデントにタスクを追加する

次のリンクにある別の記事では、SOC アナリストにより適用されるシナリオについて説明しています。

重要

Microsoft Sentinel は、Microsoft Defender ポータルの統合セキュリティオペレーションプラットフォーム内で一般提供されています。プレビュー版では、Microsoft Defender XDR または E5 ライセンスがなくても、Defender ポータルで Microsoft Sentinel を使用できます。詳しくは、「Microsoft Defender ポータルの Microsoft Sentinel」を参照してください。

前提条件

オートメーションルールを作成したり、インシデントを表示および編集したりするには、Microsoft Sentinel レスポンダー ロールが必要で、そのどちらもタスクの追加、表示、編集に必要です。

インシデントタスクアクションを使用してオートメーションルールを表示する

[オートメーション] ページでは、オートメーションルールのビューをフィルター処理して、[タスクの追加] アクションが定義されているもののみを表示できます。

オートメーションルールグリッドをフィルター処理する方法を示すスクリーンショット。

[アクション] フィルターを選択します。
[すべて選択] チェックボックスをオフにします。
下にスクロールして、[タスクの追加] チェックボックスをオンにします。
[OK] を選択し、結果を表示します。

これらは、インシデントにタスクを追加するオートメーションルールです。 [分析ルール名] 列には、これらのオートメーションルールで条件付けされている分析ルールが示されるため、影響を受けるインシデントの概要がわかります。

Note

オートメーションルールが特定のインシデントに適用されるかどうかを正確に把握するには、ルールを開いて、分析ルール条件の他に追加の条件が定義されているかどうかを確認する必要があります。他の条件が定義されている場合、影響を受けるインシデントの範囲はそれに従って絞り込まれます。

オートメーションルールを使用してインシデントにタスクを追加する

[オートメーション] ページで、[+ 作成] を選択し、[オートメーションルール] を選択します。
右側に [新しいオートメーションルールの作成] パネルが開きます。
オートメーションルールに、その動作を説明する名前を付けます。
トリガーとして [インシデント作成時] を選択します ([インシデント更新時] を使用することもできます)。
[条件] を追加して、新しいタスクを追加するインシデントを決定します。

たとえば、[分析ルール名] でフィルター処理します。
- 特定のワークフローに従って処理する必要がある、分析ルールまたは分析ルールのグループによって検出された脅威の種類に基づいて、タスクをインシデントに追加することをお勧めします。ドロップダウンリストから関連する分析ルールを検索して選択します。
- または、すべての種類の脅威に対してインシデントに関連するタスクを追加することをお勧めします (この場合は、[すべて] の既定の選択をそのままにします)。
どちらの場合も、さらに条件を追加して、オートメーションルールが適用されるインシデントの範囲を絞り込むことができます。詳細については、オートメーションルールへの高度な条件の追加に関するページを参照してください。

考慮する必要がある 1 つの点は、タスクがインシデントに表示される順序は、タスクの作成時間によって決まるということです。すべてのインシデントに必要なタスクを追加するルールが最初に実行され、その後に特定の分析ルールによって生成されたインシデントに必要なタスクを追加するルールが実行されるように、オートメーションルールの順序を設定できます。
[アクション] で、[タスクの追加] を選びます。
各タスクの [タスクのタイトル] フィールドにタイトルを入力し、(必要に応じて) [+ 説明の追加] を選択して説明フィールドを開きます。
インシデントのタスクリストパネルには、既定でタスクタイトルのみが表示されます。タスクの説明は、タスク項目が展開されている場合にのみ表示されます。
説明フィールドには、画像、リンク、リッチテキスト形式などのタスクの自由形式の説明を追加できます (以下の例の、ハイパーリンク、番号付きリスト、コードブロック形式のテキストを参照してください)。
同じインシデントグループにさらにタスクを追加するには、[+ アクションの追加] を選択し、最後の 3 つの手順を繰り返します。

タスクは、オートメーションルールの [タスクの追加] アクションの順序に従って作成され、インシデントに追加されます。
残りの手順の [ルールの有効期限] と [順序] を完了し、最後に [適用] を選択して、オートメーションルールの作成を完了します。詳細については、「Microsoft Sentinel オートメーションルールを作成および使用して対応を管理する」を参照してください。

[順序] 設定について: インシデントにタスクが表示される順序は、次の 2 つの点によって異なります。
1. [順序] 設定の数値によって決まるオートメーションルールの実行順序、および
2. 各オートメーションルール内に定義された [タスクの追加] アクションの順序。