1 - グローバル管理者の資格情報を litware.com Azure AD テナントに提供します。
2 - ID 用に Microsoft Defender のインスタンスを作成します。
3 - ドメイン管理者の資格情報を litware.com Active Directory ドメインに提供します。
4 - センサーを DC1 に取り付けます。
参照：
https://docs.microsoft.com/en-us/defender-for-identity/install-step1
https://docs.microsoft.com/en-us/defender-for-identity/install-step4
Topic 1, Litware inc.
既存の環境
アイデンティティ環境
ネットワークには、litware.com という名前の Azure Active Directory (Azure AD) テナントに同期する litware.com という名前の Active Directory フォレストが含まれています。
Microsoft 365 環境
Litware には、litware.com Azure AD テナントにリンクされた Microsoft 365 E5 サブスクリプションがあります。Microsoft Defender for Endpoint は、Windows 10 を実行するすべてのコンピューターに展開されます。すべての Microsoft Cloud App Security 組み込みの異常検出ポリシーが有効になります。
Azure 環境
Litware には、litware.com Azure AD テナントにリンクされた Azure サブスクリプションがあります。サブスクリプションには、次の表に示すように、米国東部 Azure リージョンのリソースが含まれています。

ネットワーク環境
各 Litware オフィスはインターネットに直接接続し、Azure サブスクリプション内の仮想ネットワークへのサイト間 VPN 接続を備えています。
オンプレミス環境
オンプレミス ネットワークには、次の表に示すコンピューターが含まれています。

現在の問題
Cloud App Security は、ユーザーが両方のオフィスに同時に接続すると、誤検知アラートを頻繁に生成します。
変更予定
Litware は、次の変更を実装する予定です。
Azure サブスクリプションで Azure Sentinel を作成して構成します。
Azure AD テスト ユーザー アカウントを使用して、Azure Sentinel の機能を検証します。
ビジネス要件
Litware は、次のビジネス要件を識別します。




Azure 情報保護の要件
セキュリティ ラベルがあり、Windows 10 コンピューターに保存されているすべてのファイルは、Azure Information Protection - データ検出ダッシュボードから利用できる必要があります。
Microsoft Defender for Endpoint の要件
すべての Cloud App Security の承認されていないアプリは、Microsoft Defender for Endpoint を使用して、Windows 10 コンピューターでブロックする必要があります。
Microsoft Cloud アプリのセキュリティ要件
Cloud App Security は、テナント レベルのデータに基づいて、ユーザー接続が異常かどうかを識別する必要があります。
Azure Defender の要件
すべてのサーバーが同じ Log Analytics ワークスペースにログを送信する必要があります。
Azure Sentinel の要件
Litware は、次の Azure Sentinel 要件を満たす必要があります。
Azure Sentinel と Cloud App Security を統合します。
admin1 という名前のユーザーが Azure Sentinel プレイブックを構成できることを確認します。
カスタム クエリに基づいて Azure Sentinel 分析ルールを作成します。ルールは、プレイブックの実行を自動的に開始する必要があります。
特定の IP アドレスからのデータ アクセスを表すイベントにメモを追加して、ハンティング中に調査グラフをナビゲートするときに IP アドレスを参照できるようにします。
Azure AD テスト ユーザー アカウントによる Microsoft Office 365 へのインバウンド アクセスが検出されたときにアラートを生成するテスト ルールを作成します。ルールによって生成されたアラートは、テスト ユーザー アカウントごとに 1 つのインシデントで、個々のインシデントにグループ化する必要があります。