事例研究4 - Litware Inc.
概要
アダタム・コーポレーションは、米国に本社を置く金融サービス会社で、ニューヨーク、シカゴ、サンフランシスコに地域オフィスを構えている。
既存の環境
アイデンティティ環境
オンプレミスネットワークには、corp.adatum.com という名前の Active Directory ドメインサービス (AD DS) フォレストがあり、これは adatum.com という名前の Azure AD テナントと同期しています。すべてのユーザーおよびグループ管理タスクは corp.adatum.com で実行されます。corp.adatum.com ドメインには、adatum.com と同期する Group1 という名前のグループが含まれています。
ライセンス状況
Adatumの全ユーザーには、Microsoft 365 ESライセンスとAzure Active Directory Premium P2ライセンスが割り当てられています。
クラウド環境
クラウド環境には、Microsoft 365 サブスクリプション、adatum.com テナントにリンクされた Azure サブスクリプション、および次の表に示すリソースが含まれています。

オンプレミス環境
オンプレミスネットワークには、次の表に示すリソースが含まれています。

要件
計画されている変更
Adatum社は以下の変更を実施する予定です。
- 以下の KQL クエリを含む rulequery1 という名前のクエリを実装します。

- ルールクエリ1に基づいてインシデントを生成するMicrosoft Sentinelのスケジュール済みルールを実装します。
Microsoft Defender for Cloud の要件
Adatumは、Microsoft Defender for Cloudの要件として以下のものを挙げています。
グループ1のメンバーは、Defender for Cloudプランを有効にし、規制遵守のための取り組みを適用できる必要があります。
- すべてのAzure仮想マシンでMicrosoft Defender for Serversプラン2を有効にする必要があります。
- Server2はエージェントレススキャンから除外する必要があります。
Microsoft Sentinelの要件
Adatumは、Microsoft Sentinelに関する以下の要件を特定しています。
- Infoblox1 から NXDOMAIN 応答が返される DNS リクエストの数を返す Advanced Security Information Model (ASIM) クエリを実装します。
- 1人のユーザーがAzure Cloud Shellを複数回起動したことに応答してrulequery1によって生成された複数のアラートが、単一のインシデントとして統合されるようにします。
- Microsoft Sentinel 用の AMA コネクタを介して Windows セキュリティ イベントを実装し、Server1 のセキュリティ イベント ログを監視するように構成します。
- 会社のセキュリティ運用チームがAzure Cloud Shellを起動した場合、rulequery1によって生成されたインシデントが自動的にクローズされるようにします。
- Webapp1 からデータを動的に取得するクエリを含む、Workbook1 という名前のカスタム Microsoft Sentinel ワークブックを実装します。
- 指定された緊急対応アカウントへのサインインを検出する、Microsoft Sentinelのニアリアルタイム(NRT)分析ルールを実装します。
- Azure ポータルの Microsoft Sentinel のハンティング ページにアクセスした際に、HuntingQuery1 が自動的に実行されるようにします。
- corp.adatum.comのユーザーアカウントに対するパスワードリセットの件数が通常よりも多い場合、それを検出します。
- ASIMパーサーを使用するクエリに関連するオーバーヘッドを最小限に抑える。
- Group1のメンバーがプレイブックを作成および編集できることを確認してください。
可能な限り、ASIMに組み込まれているパーサーを使用してください。
ビジネス要件
Adatumは、以下のビジネス要件を特定しました。
可能な限り、最小権限の原則に従うこと。
可能な限り管理業務を最小限に抑える。
Group1のメンバーがMicrosoft Sentinelの要件を満たしていることを確認する必要があります。
グループ1にはどの役割を割り当てるべきですか？