[非推奨]Microsoft Sentinel 用の従来のコードレス コネクタを作成する

この古いバージョンの CCP に基づいてデータ コネクタを保守または更新する必要がある場合は、このドキュメントを参照してください。

CCP は、パートナー、上級ユーザー、および開発者に、カスタム コネクタを作成し、接続し、Microsoft Sentinel にデータを取り込む機能を提供します。 CCP を介して作成されたコネクタは、API、ARM テンプレート、または Microsoft Sentinel コンテンツ ハブのソリューションとしてデプロイできます。

CCP を使用して作成されたコネクタは完全に SaaS であり、サービスのインストールの要件はありません。また、 正常性の監視 と Microsoft Sentinel からの完全なサポートも含まれます。

データ コネクタを作成するには、JSON 構成を定義し、Microsoft Sentinel のデータ コネクタ ページの外観と、接続の機能を定義するポーリング設定を設定します。

CCP コネクタを作成し、Microsoft Sentinel からデータ ソースに接続するには、次の手順に従います。

この記事では、CCP JSON の構成で使用される構文と、API、ARM テンプレート、または Microsoft Sentinel ソリューションを使用してコネクタをデプロイする手順について説明します。

[前提条件]

コネクタを構築する前に、データ ソースの動作と、Microsoft Sentinel の接続方法を正確に理解することをお勧めします。

たとえば、接続を成功させるために必要な認証、改ページ、API エンドポイントの種類を把握する必要があります。

コネクタ JSON 構成ファイルを作成する

カスタム CCP コネクタには、デプロイに必要な 2 つの主要な JSON セクションがあります。 これらの領域を入力して、Azure portal でのコネクタの表示方法と、コネクタが Microsoft Sentinel をデータ ソースに接続する方法を定義します。

• connectorUiConfig。 Microsoft Sentinel のデータ コネクタ ページに表示されるビジュアル要素とテキストを定義します。 詳細については、「 コネクタのユーザー インターフェイスを構成する」を参照してください。

• pollingConfig。 Microsoft Sentinel がデータ ソースからデータを収集する方法を定義します。 詳細については、「 コネクタのポーリング設定を構成する」を参照してください。

次に、ARM 経由でコードレス コネクタをデプロイする場合は、データ コネクタ用の ARM テンプレートでこれらのセクションをラップします。

他の CCP データ コネクタを例として確認するか、サンプル テンプレート DataConnector_API_CCP_template.json (プレビュー) をダウンロードします。

コネクタのユーザー インターフェイスを構成する

このセクションでは、データ コネクタ ページのユーザー インターフェイスをカスタマイズするために使用できる構成オプションについて説明します。

次の図は、ユーザー インターフェイスの注目すべき領域に対応する数値で強調表示されたサンプル データ コネクタ ページを示しています。

1. タイトル。 データ コネクタ用に表示されるタイトル。
2. ロゴ。 データ コネクタ用に表示されるアイコン。 これをカスタマイズできるのは、ソリューションの一部としてデプロイする場合のみです。
3. 状態。 データ コネクタが Microsoft Sentinel に接続されているかどうかを示します。
4. データ グラフ。 関連するクエリと、過去 2 週間の取り込まれたデータの量を表示します。
5. [手順] タブ。ユーザーがコネクタを有効にする前に最小限の検証の一覧を含む [前提条件] セクションと、コネクタのユーザー有効化をガイドする 手順が含まれています。 このセクションには、テキスト、ボタン、フォーム、テーブル、およびその他の一般的なウィジェットを含め、プロセスを簡略化できます。
6. [次のステップ] タブ。サンプル クエリなど、イベント ログ内のデータを検索する方法を理解するのに役立つ情報が含まれています。

ユーザー インターフェイスを構成するために必要な connectorUiConfig セクションと構文を次に示します。

これらすべての要素をまとめる作業は複雑です。 コネクタ ページのユーザー エクスペリエンス検証ツールを使用して、まとめたコンポーネントをテストします。

データ型

graphQueries

データチャートペインで過去2週間のデータ取り込みを示すクエリを定義します。

データ コネクタのすべてのデータ型に対して 1 つのクエリを指定するか、データ型ごとに異なるクエリを指定します。

instructionSteps

このセクションでは、Microsoft Sentinel のデータ コネクタ ページに表示される一連の手順を定義するパラメーターを示します。

指示

さまざまなオプションをパラメーターとして使用し、複数の instructionSteps をグループに入れ子にする機能を含む命令のグループを表示します。

APIKey

プレースホルダー パラメーターを含む JSON 構成ファイル テンプレートを作成して、複数のコネクタ間で再利用したり、現在ないデータを含むコネクタを作成したりできます。

プレースホルダー パラメーターを作成するには、次の構文を使用して、CCP JSON 構成ファイルの Instructions セクションで userRequestPlaceHoldersInput という名前の追加の配列を定義します。

"instructions": [
                {
                  "parameters": {
                    "enable": "true",
                    "userRequestPlaceHoldersInput": [
                      {
                        "displayText": "Organization Name",
                        "requestObjectKey": "apiEndpoint",
                        "placeHolderName": "{{placeHolder}}"
                      }
                    ]
                  },
                  "type": "APIKey"
                }
              ]

userRequestPlaceHoldersInput パラメーターには、次の属性が含まれています。

コピー可能なラベル

例：

サンプル コード:

{
    "parameters": {
        "fillWith": [
            "WorkspaceId",
            "PrimaryKey"
            ],
        "label": "Here are some values you'll need to proceed.",
        "value": "Workspace is {0} and PrimaryKey is {1}"
    },
    "type": "CopyableLabel"
}

InfoMessage

インライン情報メッセージの例を次に示します。

これに対し、次の図はインライン 以外の情報メッセージを示しています。

InstructionStepsGroup

展開可能な命令グループの例を次に示します。

詳細な例については、 Windows DNS コネクタの構成 JSON を参照してください。

インストールエージェント

一部の InstallAgent の種類はボタンとして表示され、他の種類はリンクとして表示されます。 両方の例を次に示します。

メタデータ

このセクションでは、データ コネクタ UI の [説明] 領域の下にメタデータを提供します。

権限

リソースプロバイダー

サンプルクエリ

その他のリンク オプションを構成する

markdown を使用してインライン リンクを定義するには、次の例を使用します。 手順の説明には、次のリンクが記載されています。

{
   "title": "",
   "description": "Make sure to configure the machine's security according to your organization's security policy\n\n\n[Learn more >](https://aka.ms/SecureCEF)"
}

リンクを ARM テンプレートとして定義するには、ガイドとして次の例を使用します。

{
   "title": "Azure Resource Manager (ARM) template",
   "description": "1. Click the **Deploy to Azure** button below.\n\n\t[![Deploy To Azure](https://aka.ms/deploytoazurebutton)]({URL to custom ARM template})"
}

データ コネクタ ページのユーザー エクスペリエンスを検証する

コネクタのユーザー エクスペリエンスをレンダリングして検証するには、次の手順に従います。

1. テスト ユーティリティには、この URL からアクセスできます。 https://aka.ms/sentineldataconnectorvalidateurl
2. Microsoft Sentinel -> データ コネクタに移動する
3. [インポート] ボタンをクリックし、データ コネクタの connectorUiConfig セクションのみを含む json ファイルを選択します。

この検証ツールの詳細については、GitHub ビルド ガイドのコネクタのビルド 手順を参照してください。

コネクタのポーリング設定を構成する

このセクションでは、コードレス データ コネクタのデータ ソースからデータをポーリングする方法の構成について説明します。

次のコードは、CCP 構成ファイルの pollingConfig セクションの構文を示しています。

"pollingConfig": {
    "auth": {
    },
    "request": {
    },
    "response": {
    },
    "paging": {
    }
 }

pollingConfig セクションには、次のプロパティが含まれています。

詳細については、「 pollingConfig コードのサンプル」を参照してください。

認証の構成

pollingConfig 構成の auth セクションには、authType 要素で定義されている型に応じて、次のパラメーターが含まれています。

基本的な authType パラメーター

APIKey authType パラメーター

OAuth2 authType パラメーター

コードレス コネクタ プラットフォームでは、OAuth 2.0 承認コード付与がサポートされています。

認証コード付与の種類は、認証コードをアクセストークンと交換するために、機密クライアントおよびパブリッククライアントによって使用されます。

ユーザーがリダイレクト URL 経由でクライアントに戻った後、アプリケーションは URL から認証コードを取得し、それを使用してアクセス トークンを要求します。

OAuth2 構成の例を次に示します。

"pollingConfig": {
    "auth": {
        "authType": "OAuth2",
        "authorizationEndpoint": "https://accounts.google.com/o/oauth2/v2/auth?access_type=offline&prompt=consent",
        "redirectionEndpoint": "https://portal.azure.com/TokenAuthorize",
        "tokenEndpoint": "https://oauth2.googleapis.com/token",
        "authorizationEndpointQueryParameters": {},
        "tokenEndpointHeaders": {
            "Accept": "application/json"
        },
        "TokenEndpointQueryParameters": {},
        "isClientSecretInHeader": false,
        "scope": "https://www.googleapis.com/auth/admin.reports.audit.readonly",
        "grantType": "authorization_code",
        "contentType": "application/x-www-form-urlencoded",
        "FlowName": "AuthCode"
    },

セッション authType パラメーター

要求の構成

pollingConfig 構成の request セクションには、次のパラメーターが含まれています。

応答の構成

pollingConfig 構成の response セクションには、次のパラメーターが含まれています。

次のコードは、最上位レベルのメッセージの eventsJsonPaths 値の例を示しています。

"eventsJsonPaths": [
              "$"
            ]

ページングの構成

pollingConfig 構成の paging セクションには、次のパラメーターが含まれています。

pollingConfig コードのサンプル

次のコードは、CCP 構成ファイルの pollingConfig セクションの例を示しています。

"pollingConfig": {
    "auth": {
        "authType": "APIKey",
        "APIKeyIdentifier": "token",
        "APIKeyName": "Authorization"
     },
     "request": {
        "apiEndpoint": "https://api.github.com/../{{placeHolder1}}/audit-log",
        "rateLimitQPS": 50,
        "queryWindowInMin": 15,
        "httpMethod": "Get",
        "queryTimeFormat": "yyyy-MM-ddTHH:mm:ssZ",
        "retryCount": 2,
        "timeoutInSeconds": 60,
        "headers": {
           "Accept": "application/json",
           "User-Agent": "Scuba"
        },
        "queryParameters": {
           "phrase": "created:{_QueryWindowStartTime}..{_QueryWindowEndTime}"
        }
     },
     "paging": {
        "pagingType": "LinkHeader",
        "pageSizeParaName": "per_page"
     },
     "response": {
        "eventsJsonPaths": [
          "$"
        ]
     }
}

Microsoft Sentinel にコネクタをデプロイし、データの取り込みを開始する

ユーザー インターフェイスとポーリング構成の両方を含む JSON 構成ファイルを作成したら、Microsoft Sentinel ワークスペースにコネクタをデプロイします。

1. データ コネクタをデプロイするには、次のいずれかのオプションを使用します。

   ヒント

   Azure Resource Manager (ARM) テンプレートを使用してデプロイする利点は、複数の値がテンプレートに組み込まれており、API 呼び出しで手動で定義する必要がない点です。

   • ARM テンプレートを使用したデプロイ
   • API を使用したデプロイ

   JSON 構成コレクションを ARM テンプレートでラップして、コネクタをデプロイします。 データ コネクタが正しいワークスペースに確実にデプロイされるようにするには、ARM テンプレートでワークスペースを定義するか、ARM テンプレートをデプロイするときにワークスペースを選択してください。

   1. コネクタ用の ARM テンプレート JSON ファイル を準備します。 たとえば、次の ARM テンプレート JSON ファイルを参照してください。

      • Slack ソリューションのデータ コネクタ
      • GitHub ソリューションのデータ コネクタ

   2. Azure portal で、[ カスタム テンプレートのデプロイ] を検索します。

   3. [カスタム デプロイ] ページで、エディターで [独自のテンプレートの作成] を選択します>ファイルの読み込み。 ローカル ARM テンプレートを参照して選択し、変更を保存します。

   4. サブスクリプションとリソース グループを選択し、カスタム コネクタをデプロイする Log Analytics ワークスペースを入力します。

   5. [ 確認と作成 ] を選択して、カスタム コネクタを Microsoft Sentinel にデプロイします。

   6. Microsoft Sentinel で、[ データ コネクタ ] ページに移動し、新しいコネクタを検索します。 データの取り込み開始を構成します。

   詳細については、Azure Resource Manager ドキュメントの 「ローカル テンプレートをデプロイ する」を参照してください。

2. データ ソースを接続し、Microsoft Sentinel へのデータの取り込みを開始するようにデータ コネクタを構成します。 すぐに使用できるデータ コネクタの場合と同様に、ポータルまたは API を使用して、データ ソースに接続できます。

   Azure portal を使用して接続すると、ユーザー データが自動的に送信されます。 API 経由で接続する場合は、API 呼び出しで関連する認証パラメーターを送信する必要があります。

   • Azure portal 経由で接続する
   • API 経由で接続する

   Microsoft Sentinel データ コネクタ ページで、指定した手順に従ってデータ コネクタに接続します。

   Microsoft Sentinel のデータ コネクタ ページは、CCP JSON 構成ファイルのconnectorUiConfig要素の InstructionSteps 構成によって制御されます。 ユーザー インターフェイス接続に問題がある場合は、認証の種類に適した構成になっていることを確認してください。

3. Microsoft Sentinel で、[ ログ ] ページに移動し、データ ソースからのログがワークスペースに流れ込まれているのを確認します。

Microsoft Sentinel にデータが流れ込まない場合は、データ ソースのドキュメントとトラブルシューティング リソースを確認し、構成の詳細を確認し、接続を確認します。 詳しくは、データ コネクタの正常性の監視に関するページをご覧ください。

コネクタを取り外す

コネクタのデータが不要になった場合は、コネクタを切断してデータ フローを停止します。

以下のいずれかの方法を使用します。

• Azure portal: Microsoft Sentinel データ コネクタ ページで、[ 切断] を選択します。

• API: DISCONNECT API を使用して、空の本文を含む PUT 呼び出しを次の URL に送信します。

  https://management.azure.com /subscriptions/{{SUB}}/resourceGroups/{{RG}}/providers/Microsoft.OperationalInsights/workspaces/{{WS-NAME}}/providers/Microsoft.SecurityInsights/dataConnectors/{{Connector_Id}}/disconnect?api-version=2021-03-01-preview
  

次のステップ

まだ行っていない場合は、新しいコードレス データ コネクタを Microsoft Sentinel コミュニティと共有してください。 データ コネクタ用のソリューションを作成し、Microsoft Sentinel Marketplace で共有します。

詳細については、以下を参照してください。

• Microsoft Sentinel ソリューションについて
• データ コネクタの ARM テンプレートのリファレンス