Skip to content

LAB_AK_06_Lab1_Ex2_Connect_Windows.md

Latest commit

 

History

History
199 lines (103 loc) · 14.7 KB

LAB_AK_06_Lab1_Ex2_Connect_Windows.md

File metadata and controls

199 lines (103 loc) · 14.7 KB
lab
title module
演習 2 - データ コネクタを使用して Microsoft Sentinel に Windows デバイスを接続する
Module 6 - Connect logs to Microsoft Sentinel
ms.openlocfilehash 9605e4624286654c8d99e1c1fdfc7c88e9508f54
ms.sourcegitcommit a90325f86a3497319b3dc15ccf49e0396c4bf749
ms.translationtype HT
ms.contentlocale ja-JP
ms.lasthandoff 04/07/2022
ms.locfileid 141493926

モジュール 6 - ラボ 1 - 演習 2 - データ コネクタを使用して Microsoft Sentinel に Windows デバイスを接続する

ラボのシナリオ

ラボの概要。

あなたは、Microsoft Sentinel を実装した会社で働いているセキュリティ運用アナリストです。 組織内の多くのデータ ソースからのログ データを接続する方法について学習する必要があります。 データの次のソースは、オンプレミス環境や他のパブリック クラウドなど、Azure の内部および外部にある Windows 仮想マシンです。

タスク 1:Azure で Windows 仮想マシンを作成する

このタスクでは、Azure で Windows 仮想マシンを作成します。

  1. 管理者として WIN1 仮想マシンにログインします。パスワードは Pa55w.rd。

  2. Edge ブラウザーで、Azure portal (https://portal.azure.com ) に移動します。

  3. サインイン ダイアログ ボックスで、ラボ ホスティング プロバイダーから提供された テナントの電子メール アカウントをコピーして貼り付け、「次へ」を選択します。

  4. パスワードの入力 ダイアログ ボックスで、ラボ ホスティング プロバイダーから提供された テナントパスワード をコピーして貼り付け、「サインイン」を選択します。

  5. [+ リソースの作成] を選択します。 ヒント: 既に Azure Portal にいた場合は、上部のバーから [Microsoft Azure] を選択してホームに移動する必要があることがあります。

  6. [サービスとマーケットプレースの検索] ボックスに「Windows 10」と入力し検索します。

  7. Microsoft Windows 10 の [作成] ドロップダウン リストを開き、 [Windows 10 Enterprise, version 21H2] を選択します。

  8. [リソース グループ] で [新規作成] を選択し、[名前] に「RG-AZWIN01」と入力して [OK] を選択します。

    注: これは、追跡目的の新しいリソース グループとなります。

  9. [仮想マシン名] に、「AZWIN01」と入力します。

  10. [リージョン] の既定値は [(US) East US] のままにします。

  11. 下にスクロールして、仮想マシンの [サイズ] を確認します。 空の場合は、 [すべてのサイズを表示] を選択し、 [Azure ユーザーが最もよく使用] で VM のサイズを 1 つを選択し、 [選択] をクリックします。

  12. 任意の ''ユーザー名'' を入力します。 ヒント: admin や root のような予約語は避けてください。

  13. 任意の ''パスワード'' を入力します。 ヒント: テナント パスワードを再利用する方が簡単な場合があります。 これはリソース タブにあります。

  14. ページの下部まで下にスクロールし、 [ライセンス] の下にあるチェックボックスをオンにして、対象ライセンスがあることを確認します。

  15. [確認と作成] を選択し、検証に合格するまで待ちます。

  16. ［作成］ を選択します リソースが作成されるのを待ちますこれには数分かかることがあります。

タスク 2:Azure Windows 仮想マシンを接続する

このタスクでは、Azure Windows 仮想マシンを Microsoft Sentinel に接続します。

  1. Azure portal の検索バーに「Sentinel」と入力してから、 [Microsoft Sentinel] を選択します。

  2. 先ほど作成した Microsoft Sentinel ワークスペースを選択します。

  3. [データ コネクタ] タブで、 [レガシ エージェントを使用したセキュリティ イベント] を検索し、リストからそれを選択します。

  4. コネクタ情報ブレードで「コネクタページを開く」を選択します。

  5. 構成 セクションの 1. エージェントをダウンロードしてインストールする で、Install agent on Azure Windows Virtual Machines オプションを選択します。

  6. 「Azure Windows 仮想マシンのエージェントをダウンロードしてインストール」を選択します。 これにより、Azure サブスクリプションで使用可能な仮想マシンが表示されます。

  7. 前のタスクで先ほど作成した AZWIN01 仮想マシンを選んでから、 [接続] を選択します。 [状態] に [このワークスペース] が表示されるまで待ちます。

  8. を選択して、ウィンドウを閉じます。 構成 セクションの 2. ストリーミングするイベントを選択する で、すべてのイベント を選んでから、変更の適用 を選択します。

タスク 3:非 Azure Windows マシンを接続する

このタスクでは、非 Azure Windows 仮想マシンを Microsoft Sentinel に接続します。

重要: 次の手順は、WIN2 で行います。 仮想マシン名の参照を探します。

  1. 管理者として、次のパスワードを使用して WIN2 仮想マシンにログインします: Pa55w.rd。

  2. Microsoft Edge ブラウザーを開きます。

  3. ブラウザーを開き、前のラボで使っていた資格情報を使用して、Azure Portal (https://portal.azure.com ) にログインします。

  4. Azure Portal の検索バーに「Sentinel」と入力してから、 [Microsoft Sentinel] を選択します。

  5. Microsoft Sentinel ワークスペースを選択します。

  6. [データ コネクタ] を選択してから、 [レガシ エージェントを使用したセキュリティ イベント] を検索し、リストからそれを選択します。

  7. コネクタ情報ブレードで「コネクタページを開く」を選択します。

  8. 構成 セクションの 1. エージェントをダウンロードしてインストールする で、今度は non-Azure Windows マシンにエージェントをインストールする オプションを選択します。

  9. 「Azure 以外の Windows マシンのエージェントをダウンロードしてインストール」を選択します。

    注: Log Analytics ワークスペースに、''2 台の Windows コンピューターが接続されている'' ことが示されるはずです。 これは、以前に接続された WINServer および AZWIN01 仮想マシンに対応しています。

  10. Windows エージェントのダウンロード (64 ビット) のリンクを選択します。

  11. ダウンロードした MMASetup-AMD64.exe ファイルの下にある [ファイルを開く] を選択し、 [はい] を選んで、表示される [ユーザー アカウント制御] ウィンドウで実行可能ファイルを実行できるようにします。

  12. ようこそ ダイアログで [次へ] を選択し、[Microsoft ソフトウェア ライセンス条項] ページで [同意する] を選び、インストール先フォルダで [次へ] を選択して既定のパスを受け入れます。

  13. エージェントのセットアップ オプションプロンプトで、「エージェントを Azure Log Analytics (OMS) に接続する」オプションを選択し、「次へ」を選択します。

  14. Microsoft Sentinel が開いているブラウザーで、[エージェントの管理] ページから [ワークスペース ID] をコピーし、ダイアログのワークスペース ID に貼り付けます。

  15. Microsoft Sentinel が開いているブラウザーで、[エージェントの管理] ページから [主キー] をコピーし、ダイアログのワークスペース キーに貼り付けます。

  16. [次へ] を選択して構成を保存します。

  17. MicrosoftUpdateページで「次へ」を選択します。

  18. その後、 [インストール] を選択します。 Microsoft Monitoring Agent のセットアップが終了するまで待ちます。

  19. 完了したら、[完了] を選択します。

タスク 4:Sysmon ログをインストールして収集する

このタスクでは、WIN2 に Sysmonログをインストールして収集します。

注: 次の手順では、既定構成でSysmonをインストールします。 実稼働マシンで使用する Sysmon のコミュニティベースの構成を調査する必要があります。

  1. ブラウザーで新しいタブを開き、 https://docs.microsoft.com/sysinternals/downloads/sysmon に移動します

  2. [Download Sysmon] を選択して、そのページから Sysmon をダウンロードします。

  3. Sysmon.zip をポイントして、フォルダー アイコンを選択します。 ダウンロードしたファイルを右クリックして [すべて展開...] を選択します。 [ファイルを下のフォルダーに展開する] で「C:\Sysmon」と入力し、 [展開] を選択します。

  4. WIN2 でコマンドプロンプト(cmd.exe)を管理者として実行します。

  5. 「cd \sysmon」と入力します

  6. notepad sysmon.xml と入力して、新しいファイルを作成します。 [はい] を選択して、ファイルの作成を確定します。

  7. ブラウザーで新しいタブを開き、 https://github.com/SwiftOnSecurity/sysmon-config/blob/master/sysmonconfig-export.xml に移動します

  8. [Raw] ボタンを選択します。 表示されているすべてを選択し、GitHub からそのファイルの内容をコピーし、先ほど作成した sysmon.xml メモ帳ファイルに貼り付けます。

  9. メモ帳で、 [ファイル] を選んでから、 [保存] を選択してファイルを保存します。

  10. コマンド プロンプトに戻り、次のように入力して Enter キーを押します: sysmon.exe -accepteula -i sysmon.xml

    重要: 「構成ファイルが検証されました」および「Sysmon started」というメッセージが出力に表示されることを確認します。 そうでない場合は、データが正しくコピーされていることと、sysmon.xml ファイルが保存されていることを確認します。

  11. ブラウザーで、Azure portal (https://portal.azure.com ) を開いた状態でタブに戻ります

  12. Azure portal の検索バーに「Sentinel」と入力してから、 [Microsoft Sentinel] を選択し、前に作成した Microsoft Sentinel ワークスペースを選びます。

  13. Microsoft Sentinel で、[構成] 領域から [設定] を選択し、 [ワークスペース設定 >] タブを選択します。

  14. 「設定」領域で「レガシ エージェントの管理」を選択します。 既定では、 [Windows イベント ログ] タブが選択されるはずです。

  15. [+ Windows イベント ログの追加] ボタンを選択します。

  16. ログ名フィールドに「Microsoft-Windows-Sysmon/Operational」と入力します。

  17. [適用] を選びます。 これを使用して、イベント ビューアーから、Sysmon によって生成されたすべてのイベントを収集します。

タスク 5:Microsoft Defender for Endpoint デバイスをオンボードする

このタスクでは、WIN1 デバイスを Microsoft Defender for Endpoint にオンボードします。

非常に重要: このコースの「モジュール 2 - 演習 1」のラボを完了し、これまで仮想マシンを保存してきた場合は、このタスクを省略できます。 それ以外の場合は、WIN1 マシンを Defender for Endpoint にもう一度オンボードする必要があります。

重要: 次の手順は、以前に作業していたものとは異なるマシンで行います。 仮想マシン名の参照を探します。

  1. 管理者として WIN1 仮想マシンにログインします。パスワードは Pa55w.rd。

  2. Edge ブラウザーで、Microsoft 365 Defender ポータル (https://security.microsoft.com) ) に移動し、現在ポータルにいない場合は、テナントの電子メール 資格情報を使用してログインします。

  3. 左側のメニュー バーから [設定] を選択し、設定 ページから [エンドポイント] を選択します。

  4. デバイス管理セクションで 「オンボーディング」 を選択します。

  5. [オンボーディング パッケージのダウンロード] を選択します。

  6. ダウンロードした.zipファイルを解凍します。

  7. 管理者 としてWindowsコマンドプロンプトを実行し、表示されるユーザーアカウント制御プロンプトに同意します。

  8. 管理者として抽出したばかりの WindowsDefenderATPLocalOnboardingScript.cmd ファイルを実行します。 注: 既定では、ファイルは c:\users\admin\downloads ディレクトリにあるはずです。 スクリプトの質問に対して「Y」と回答します。

  9. ポータルの「オンボーディング」ページで、検出テスト スクリプトをコピーしてオープン コマンド　ウィンドウで実行します。 新しい [管理者: コマンド プロンプト] ウィンドウを開く必要がある場合があります。その場合は、Windows 検索バーで「CMD」と入力し、 [管理者として実行] を選択します。

  10. エンドポイント 領域の Microsoft 365 Defender ポータルで、デバイス インベントリ を選択します。 お使いになっているデバイスがリストに表示されます。

演習 3 に進む