参照：
https://docs.microsoft.com/en-us/defender-for-identity/manage-sensitive-honeytoken-accounts
トピック1、Litware inc.
既存の環境
アイデンティティ環境
ネットワークには、litware.com という名前の Azure Active Directory (Azure AD) テナントと同期する litware.com という名前の Active Directory フォレストが含まれています。
Microsoft 365 環境
Litware には、litware.com Azure AD テナントにリンクされた Microsoft 365 E5 サブスクリプションがあります。Microsoft Defender for Endpoint は、Windows 10 を実行するすべてのコンピューターに展開されています。Microsoft Cloud App Security に組み込まれているすべての異常検出ポリシーが有効になっています。
Azure 環境
Litware には、litware.com Azure AD テナントにリンクされた Azure サブスクリプションがあります。サブスクリプションには、次の表に示すように、米国東部 Azure リージョンのリソースが含まれています。

ネットワーク環境
各 Litware オフィスはインターネットに直接接続し、Azure サブスクリプション内の仮想ネットワークへのサイト間 VPN 接続を備えています。
オンプレミス環境
オンプレミス ネットワークには、次の表に示すコンピューターが含まれています。

現在の問題
Cloud App Security では、ユーザーが両方のオフィスに同時に接続すると、誤検知アラートが頻繁に生成されます。
計画された変更
Litware は以下の変更を実施する予定です。
Azure サブスクリプションで Azure Sentinel を作成して構成します。
Azure AD テスト ユーザー アカウントを使用して、Azure Sentinel の機能を検証します。
ビジネス要件
Litware では、次のビジネス要件を特定しています。
Azure 情報保護の要件
セキュリティ ラベルが付いていて、Windows 10 コンピューターに保存されているすべてのファイルは、Azure Information Protection - データ検出ダッシュボードから利用できる必要があります。
Microsoft Defender for Endpoint の要件
Cloud App Security の承認されていないアプリはすべて、Microsoft Defender for Endpoint を使用して Windows 10 コンピューター上でブロックする必要があります。
Microsoft クラウド アプリのセキュリティ要件
Cloud App Security は、テナント レベルのデータに基づいて、ユーザー接続が異常であるかどうかを識別する必要があります。
Azure Defender の要件
すべてのサーバーは、同じ Log Analytics ワークスペースにログを送信する必要があります。
Azure Sentinel の要件
Litware は、次の Azure Sentinel 要件を満たす必要があります。
Azure Sentinel と Cloud App Security を統合します。
admin1 という名前のユーザーが Azure Sentinel プレイブックを構成できることを確認します。
カスタム クエリに基づいて Azure Sentinel 分析ルールを作成します。ルールはプレイブックの実行を自動的に開始する必要があります。
特定の IP アドレスからのデータ アクセスを表すイベントにメモを追加して、ハンティング中に調査グラフをナビゲートするときに IP アドレスを参照できるようにします。
Azure AD テスト ユーザー アカウントによる Microsoft Office 365 への受信アクセスが検出されたときにアラートを生成するテスト ルールを作成します。ルールによって生成されるアラートは、テスト ユーザー アカウントごとに 1 つのインシデントとして、個別のインシデントにグループ化する必要があります。