ビュー:

Microsoft SentinelでTrendAI Vision One™から収集したいデータの種類ごとに、コードレスコネクタを接続してください: Workbenchアラート、Observed Attack Techniques (OAT) 検出、またはその両方。これらのコネクタはMicrosoft Sentinel Codeless Connector Framework (CCF) 上に構築されており、ホストするためのAzure Resourcesは必要ありません。

始める前に

開始する前に、以下を用意してください。
  • Microsoft Sentinel ワークスペース
  • Log Analytics ワークスペースの読み取りおよび書き込み権限
  • ワークスペースを含むリソースグループの共同作成者または所有者の役割
  • APIキーは、TrendAI Vision One™ユーザアカウントでSIEMロールを持つか、Workbench (表示) とObserved Attack Techniques (表示) 権限を付与するカスタムロールを持つ必要があります。ユーザアカウントのアクセスレベルにはAPIが含まれている必要があります。
ネットワークでTrendAI Vision One™APIへのアクセスが制限されている場合、Microsoft Sentinelがコードレスコネクタに使用する送信IPアドレスも許可してください。これらのアドレスはScubaAzureサービスタグの下で公開されています。
次のいずれかのコネクタが表示されます。
  • [TrendAI Vision One™ - Workbench Alerts (via Codeless Connector Framework)]、Workbenchアラートデータを収集する
  • [TrendAI Vision One™ - OAT Detections (via Codeless Connector Framework)]、Observed Attack Techniquesデータを収集する

手順

  1. Microsoft Sentinelに[TrendAI Vision One™ (CCF)]ソリューションをインストールします。
    1. Microsoft Sentinel ワークスペースで、[Content management] → [Content hub] に移動します。
    2. [TrendAI Vision One™ (CCF)]を検索して[インストール]をクリックしてください。
  2. コネクタを接続してください。
    1. Microsoft Sentinel ワークスペースで、[設定] → [Data connectors] に移動します。
    2. 収集したいデータのコネクタを検索して選択し、[Open connector page] をクリックします。
    3. 次の設定を指定します。
      設定
      設定に関する補足
      APIドメイン
      TrendAI Vision One™ インスタンスの場所に対応するAPIドメイン。
      • オーストラリア: [api.au.xdr.trendmicro.com]
      • カナダ: [api.ca.xdr.trendmicro.com]
      • ヨーロッパ: [api.eu.xdr.trendmicro.com]
      • インド: [api.in.xdr.trendmicro.com]
      • 日本: [api.xdr.trendmicro.co.jp]
      • 中東およびアフリカ: [api.mea.xdr.trendmicro.com]
      • シンガポール: [api.sg.xdr.trendmicro.com]
      • 南アフリカ: [api.za.xdr.trendmicro.com]
      • 英国:[api.uk.xdr.trendmicro.com]
      • 米国: [api.xdr.trendmicro.com]
      APIトークン
      TrendAI Vision One™ユーザアカウントのAPIキー。
      TMV1-フィルター (オプション)
      すべてのAPI呼び出しで送信されるフィルター式。たとえば、高以上の重大度のアラートのみを収集します。すべてのデータを収集するには空のままにします。
      サードパーティのOAT検出を除外
      OAT Detectionsコネクタでのみ利用可能です。コネクタがサードパーティのソースから発生するObserved Attack Techniquesデータを収集するかどうかを決定します。
      次のオプションを選択できます。
      • [Yes - Exclude third-party detections (Recommended)] (デフォルト)
      • No - Include all detections
    4. [接続] をクリックします。
  3. WorkbenchアラートとObserved Attack Techniquesデータの両方を収集したい場合は、2番目のコネクタに対して手順2を繰り返してください。
Microsoft Sentinelはデータ収集ルールとカスタムテーブルを作成し、TrendAI Vision One™によって生成された新しいデータの取得を開始します。コネクタは接続時点以降のデータを収集します。既存または過去のデータは収集されません。データがLog Analyticsワークスペースに初めて表示されるまで最大30分かかる場合があります。
重要
重要
コードレスコネクタはAzure Functionsコネクタとは異なるテーブルに書き込みます。以前にAzure Functionsコネクタを使用していた場合は、以前のテーブルを参照する分析ルール、ハンティングクエリ、ワークブック、Playbook、およびパーサーを更新してください。
データ収集を確認するには、Log Analyticsワークスペースで取り込まれたデータを表示を参照してください。