セキュリティ担当エンジニアの髙橋です。ついて解説していきます。昨今、多くの企業が、ハイブリッドクラウド、マルチクラウドへ変化する中、クラウドサービスやオンプレミスの社内システムのログ管理・運用まで手が回らない、またアラートを監視し、それに対応するだけのスキルを持った人材がいない等、様々な問題があります。一方で、SIEMを導入したいという希望は根強くお伺いしております。つのソリューションを提供します。こなす素晴らしいツールですね。以下の特長があります。複数のログからAIによる自動相関分析で、通常気づきにくい脅威を自動で検出する機能もあります。Sentinelの課金体系は、完全な従量課金であり、ログ取得のために発生したトラフィック料と実際に保存されたログの容量に応じた二段階の課金となります。Security等が発砲したアラートの取り込みのために発生したトラフィックについては課金が発生しません。Sentinelを導入してから90日間は費用が発生しません。4つの機能があります。今回は、その中で、ログの収集を実施していきます。ワークスペースに保管されます。Windowsサーバーのセキュリティイベントを取り込んでいきます。作成していきましょう。Sentinel」を検索し、[作成]をクリックします。ワークスペースを追加します。ワークスペースがない場合、このタイミングで新しくワークスペースを作成します。[新しいワークスペースの作成]をクリックします。[サブスクリプション]、[リソースグループ]を選択し、任意の[名前]と[地域]を設定します。[作成]をクリックします。作成したワークスペースを選択し、[追加]をクリックします。セキュリティイベントの接続ログを収集するために、先ほど作成したワークスペースとWindowsサーバーを接続します。それでは設定していきます。[コネクタページを開く]をクリックします。エージェントをダウンロードし、インストールします。仮想マシンの場合、直接エージェントのインストールが可能です。今回は仮想マシンに対して、エージェントをインストールしていきます。仮想マシンのエージェントをダウンロードしてインストールする]をクリックします。Azure上の仮想マシンが表示されるので、対象の仮想マシンをクリックします。[接続]をクリックします。正常にインストールが完了すると、ワークスペースと仮想マシンが接続されます。続いて、収集するセキュリティイベントの種類を選択していきます。セキュリティイベントの構成ページに戻り、[2.ストリーミングするイベントを選択する]から対象とするイベントを選択します。今回は、すべてのイベントを収集してみたいと思います。「すべてのイベント」を選択し、[変更の適用]をクリックします。サーバーの接続が完了すると、セキュリティイベントがワークスペースに送られます。ログが表示されるまで約20分かかる場合があります。[ログ]をクリックします。クエリを入力する画面で「SecurityEvent」を入力し、[実行]をクリックします。サーバーからセキュリティイベントが収集できていることが確認できます。エージェントのインストール、クエリによるログの確認手順を解説しました。Language)と呼ばれるSQLでいうところのCRUDのうちRead動作だけを行なえる言語を使います。KQLは、ログの検索だけでなく、分析ルール、レポートなど幅広く利用できるためマスターしておくと便利です。KQLについては、別の記事で紹介します。次回は、収集したログを解析する分析ルールの設定を行いたいと思います。和輝テクニカルマーケターとして、新技術の検証、ブログ執筆、セミナー講師を行っております!学生時代はアプリ開発に興味がありましたが、インフラ、セキュリティ事業を経て、現在はクラウド屋さんになっております。コロナ禍前は、月1で海外旅行にいくなどアクティブに活動していましたが、最近は家に引きこもってゲームが趣味になっています。※サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。Preferences。