Microsoft Sentinel では、エンティティ マッピングは、検出されたイベントとアラートが調査グラフ、インシデント、およびハンティング エクスペリエンスに正しく反映されることを保証する重要な構成です。ケース スタディの Sentinel 要件は次のとおりです。
「特定のIPアドレスからのデータアクセスを表すイベントにメモを追加することで、調査グラフをナビゲートしながらインシデントハンティングを行う際に、そのIPアドレスを参照できるようになります。」この要件を満たすには、分析ルールを「ルールロジックの設定」セクションで、IPアドレス、ユーザー、ホスト名、URLなどのエンティティをマッピングするように構成する必要があります。このマッピングにより、インシデントとその関連アラートをこれらのエンティティと視覚的に関連付けることができ、アナリストはSentinelの調査グラフ内でピボットして調査を行うことができます。
Microsoft Sentinelのドキュメントによると：
「分析ルールにおけるエンティティマッピングは、アラートやインシデントをアカウント、IPアドレス、ホストなどの特定のエンティティと関連付けるのに役立ち、より詳細な調査と迅速なトリアージを可能にします。」したがって、エンティティマッピングをセットルールロジックの下で直接構成することで、インシデントにコンテキスト情報（特定のIPアドレスなど）が付加され、機能要件と調査要件の両方を満たすことができます。
# 質問 2 の最終回答: C. セットルールロジックからエンティティをマッピングします。
トピック1、Litware社
事例研究
これはケーススタディです。ケーススタディには個別の時間制限はありません。各ケースを完了するために、試験時間を自由に使うことができます。ただし、この試験には追加のケーススタディやセクションが含まれる場合があります。与えられた時間内に試験に含まれるすべての問題を完了できるよう、時間配分をしっかり行う必要があります。
ケーススタディに含まれる質問に答えるには、ケーススタディに記載されている情報を参照する必要があります。ケーススタディには、ケーススタディで説明されているシナリオに関する詳細情報を提供する図表やその他の資料が含まれている場合があります。各質問は、このケーススタディ内の他の質問とは独立しています。
このケーススタディの最後に、確認画面が表示されます。この画面では、解答を確認し、次のセクションに進む前に修正することができます。新しいセクションを開始すると、このセクションに戻ることはできません。
ケーススタディを開始するには
このケーススタディの最初の質問を表示するには、「次へ」ボタンをクリックしてください。質問に答える前に、左側のペインにあるボタンを使ってケーススタディの内容を確認してください。これらのボタンをクリックすると、ビジネス要件、既存環境、問題記述などの情報が表示されます。ケーススタディに「すべての情報」タブがある場合、そこに表示される情報は以降のタブに表示される情報と同一です。質問に答える準備ができたら、「質問」ボタンをクリックして質問に戻ってください。
概要
Litware Inc.は再生可能エネルギー企業です。
Litwareはボストンとシアトルにオフィスを構えています。また、米国各地にリモートユーザーがいます。リモートユーザーは、クラウドサービスを含むLitwareのリソースにアクセスするために、いずれかのオフィスとVPN接続を確立します。
既存の環境
アイデンティティ環境
このネットワークには、litware.com という名前の Active Directory フォレストが含まれており、それが litware.com という名前の Azure Active Directory (Azure AD) テナントと同期します。
Microsoft 365環境
Litwareは、litware.comのAzure ADテナントにリンクされたMicrosoft 365 E5サブスクリプションを保有しています。Windows 10を実行しているすべてのコンピューターにMicrosoft Defender for Endpointが展開されています。Microsoft Cloud App Securityに組み込まれている異常検出ポリシーはすべて有効になっています。
Azure環境
Litwareは、litware.com Azure ADテナントにリンクされたAzureサブスクリプションを保有しています。このサブスクリプションには、以下の表に示すように、米国東部Azureリージョン内のリソースが含まれています。

ネットワーク環境
Litwareの各オフィスはインターネットに直接接続されており、Azureサブスクリプション内の仮想ネットワークへのサイト間VPN接続も確立されています。
オンプレミス環境
オンプレミスネットワークには、次の表に示すコンピュータが含まれています。

現在の問題点
クラウドアプリセキュリティは、ユーザーが両方のオフィスに同時に接続すると、誤検知アラートを頻繁に生成します。
計画されている変更
Litwareは以下の変更を実施する予定です。
* Azure サブスクリプションに Azure Sentinel を作成および構成します。
* Azure ADのテストユーザーアカウントを使用して、Azure Sentinelの機能を検証します。
ビジネス要件
Litwareは、以下のビジネス要件を特定しました。
可能な限り、最小権限の原則を適用しなければならない。
* 他のすべての要件を満たしている限り、コストは最小限に抑えなければならない。
* Log Analyticsによって収集されるログは、ユーザーアクティビティの完全な監査証跡を提供する必要があります。
* すべてのドメインコントローラーは、Microsoft Defender for Identityを使用して保護する必要があります。
Azure の情報保護要件
セキュリティラベルが付与され、Windows 10 コンピューターに保存されているすべてのファイルは、Azure Information Protection - データ検出ダッシュボードからアクセスできる必要があります。
Microsoft Defender for Endpoint の要件
Windows 10 コンピューターでは、Microsoft Defender for Endpoint を使用して、Cloud App Security によって承認されていないすべてのアプリをブロックする必要があります。
Microsoft Cloud Appのセキュリティ要件
クラウドアプリセキュリティは、テナントレベルのデータに基づいて、ユーザー接続が異常かどうかを識別する必要があります。
Azure Defender の要件
すべてのサーバーは、同じログ分析ワークスペースにログを送信する必要があります。
Azure Sentinel の要件
Litwareは、以下のAzure Sentinelの要件を満たす必要があります。
* Azure SentinelとCloud App Securityを統合する。
* admin1 という名前のユーザーが Azure Sentinel プレイブックを構成できることを確認してください。
* カスタムクエリに基づいて Azure Sentinel 分析ルールを作成します。このルールは、プレイブックの実行を自動的に開始する必要があります。
* 特定のIPアドレスからのデータアクセスを表すイベントにメモを追加し、調査グラフをナビゲートする際にIPアドレスを参照できるようにします。
* Azure ADテストユーザーアカウントによるMicrosoft Office 365への受信アクセスが検出された場合にアラートを生成するテストルールを作成します。ルールによって生成されるアラートは、テストユーザーアカウントごとに1つのインシデントとしてグループ化する必要があります。