Microsoft Sentinel (Webhook 経由)

イベントによってトリガーされたデータを HTTP Webhook を使って共有する場合、Webhook を使用する任意の宛先に Tenable One Cloud Exposure の検出結果を送信できます。

クラウドサイバーエクスポージャーデータを Microsoft Sentinel に送信するには、次の手順に従います。

  1. Log Analytics ワークスペースを作成します。
  2. ロジック アプリを作成する
  3. Tenable で Sentinel Webhook 統合を作成する
  4. 次のいずれかの方法で Webhook にデータを送信します。
  5. Microsoft Sentinel でデータを表示する

次の手順

  • 検出結果のデータ送信を開始するには、 自動化 を設定するか、統合を追加した後に 検出結果に基づくアクションのトリガー する必要もあります。すべての統合ステップを正常に完了しても、それ自体ではデータ送信はトリガーされません。

ログ分析ワークスペースを作成する

Microsoft Sentinel でログアナリティクス ワークスペースを作成して、 クラウドサイバーエクスポージャー データの保存先として使用します。

  1. Azure ポータルにログインし、 Microsoft Sentinel サービスに移動します。
  2. [作成] をクリックします。
  3. [新しいワークスペースの作成] をクリックします。
  4. [プロジェクトの詳細] で、関連する サブスクリプション と リソースグループを選択します。
  5. [インスタンスの詳細] で、[名前] を入力し、[リージョン] を選択します。
  6. [レビュー + 作成] をクリックし、[作成] をクリックします。

  7. 新しいデプロイの [概要] ページで、[リソースに移動] をクリックします。

  8. ワークスペースページで、[Settings > Agents] に移動します。
  9. [Log Analytics エージェントの指示] セクションを展開し、後で必要になる次の値をコピーします。
    1. ワークスペース ID
    2. プライマリキー

ロジック アプリを作成する

仲介者として機能するように Azure Logic App を構成し、 Tenable からデータを受け取り、それを Log Analytics ワークスペースに転送します。

  1. Azure portal で、 ロジック アプリ サービスに移動します。
  2. [追加] をクリックします。
  3. [ホスティング オプション] で、[消費] を選択します。
  4. [プロジェクトの詳細] で、関連する サブスクリプション と リソースグループを選択します。
  5. [インスタンスの詳細] で、[名前] を入力し、[リージョン] を選択します。
  6. ログ分析を有効にするかどうかを選択します。
  7. 有効にした場合は、前に作成した ログ アナリティクス ワークスペース を選択します。
  8. [レビュー + 作成] をクリックし、[作成] をクリックします。
  9. 作成したら、[デプロイの詳細] にある [リソース] リンクをクリックします。
  10. ロジック アプリ リソース ページで、 開発ツール >ロ ジック アプリ デザイナーに移動します。
  11. [トリガーの追加] をクリックします。
  12. [HTTP リクエストを受信したとき] アクションを検索して選択します。

  13. 「リクエスト本文 JSON スキーマ」セクションで、「 サンプル・ペイロードを使用してスキーマを生成」 をクリックし、次のサンプル JSON をコピーして貼り付けて、「 完了」 をクリックします。

    コピー

    JSON

    {
    "accountId": "",
    "accountName": "Org2Account2",
    "creationTime": "2022-01-12T01:10:24.868Z",
    "description": "User FindingsFixer には、2 つのサービスに対するアクセス許可を付与する 2 つのポリシーがアタッチされていますが、いずれも 68 週間使用されませんでした",
    "findingType": "AwsExcessivePermissionUserFinding",
    "id": "",
    "link": "https://us.app.ermetic.com/risks/*",
    "labels": [
    "Admin",
    "Access Keys",
    "No MFA"
    ],
    "resources": [
    "arn:aws:iam:::user/FindingsFixer"
    ],
    "severity": "High",
    "source": "Ermetic",
    "status": "Open",
    "statusUpdateTime": "2022-05-21T22:16:44.785Z",
    "title": "過剰な権限を持つ IAM ユーザー",
    "type": "Finding"
    }






















  14. [+] をクリックし、[アクションの追加] をクリックして、デザイナーに新しいステップを挿入します。

  15. 「 結合 (データ操作)」アクションを検索して選択します。

  16. [送信元] フィールド内をクリックし、稲妻アイコンをクリックして、 ラベルを選択します。

  17. [Join with] フィールドにコンマ (,) を入力し、アクションの名前を [Join Labels] に変更します。

  18. [+] をクリックし、[アクションの追加] をクリックして、デザイナーの [ラベルの結合] の後に新しいステップを挿入します。
  19. 「 結合 (データ操作)」アクションを検索して選択します。
  20. [送信元] フィールド内をクリックし、稲妻アイコンをクリックして、 リソースを選択します。
  21. 「参加」フィールドにコンマ(,)を入力し、アクションの名前を 「リソースの結合」 に変更します
  22. 「 + 」をクリックし、「 アクションを追加」 をクリックして、「リソースの結合」の後にデザイナに新しいステップを挿入します。
  23. [データの送信 (Azure Log Analytics データ コレクター)] アクションを検索して選択します。

  24. 接続に関する次の詳細を入力し、[新規作成] をクリックします。

    • 接続名。
    • ワークスペース ID。この手順で先ほどコピーした値を入力します。
    • ワークスペースキー。この手順の前半でコピーした値を入力します。
    注意: 関連する Log Analytics ワークスペースの [Settings > エージェント] > [Log Analytics エージェントの手順] で利用できます。

  25. [JSON リクエスト本文] フィールドに、次の JSON コードスニペットを入力します。

    コピー

    JSON

    {
    "accountID": "",
    "title":"",
    "severity":"",
    "description":"",
    "accountname":"",
    "link":"",
    "labels":"",
    "resources":"",
    "status":"",
    "statusUpdateTime":""
    }











  26. JSON リクエスト本文内に、次に示すように、稲妻を使用してデータを引用符で囲み、前のステップの関連データを入力します。

  27. 意味のある カスタムログ名 を入力し、[保存] をクリックしてワークフローを保存します。

  28. クリックして [HTTP リクエスト受信時] アクションを開き、 HTTP URL をコピーします。

Tenable で Sentinel Webhook 統合を作成する

接続を確立するには、 クラウドサイバーエクスポージャー内で Webhook 統合を作成し、セキュリティ データをロジックアプリに配信します。

Webhook 統合を作成する方法

  1. クラウドサイバーエクスポージャーコンソールで、[Settings > Integrations] に移動し、[Webhook] をクリックします。
  2. [Add Webhook] をクリックします。
  3. Tenable に Webhook の名前を入力します。たとえば、Sentinel Webhook です。
  4. [Webhook URL] フィールドに、 ロジック アプリの作成の最後の手順でコピーした HTTP URL を貼り付けます。
  5. (オプション)コレクターで SSL が有効になっている場合は 、[すべてのサーバー SSL 証明書を受け入れる] にチェックを入れます。
  6. (オプション)追加の関連情報を含む Webhook がそのようなヘッダーを受信することを想定する場合は、[名前] と [値] (HTTP ヘッダー) に入力します。
  7. [保存] をクリックします。

Microsoft Sentinel でデータを表示する

統合が成功したことを確認し、Microsoft Sentinel 内で直接 クラウドサイバーエクスポージャー データの分析を開始します。

Azure でデータを表示する方法

  1. ロジックアプリでデータを確認します。
    1. Azure portal で、 ロジック アプリ サービスに移動し、 作成したロジック アプリを開きます。
    2. [概要] ページで、[実行履歴] タブに移動します。
    3. 実行 識別子をクリックします。
    4. 表示される実行ワークフローで以下を行います。

      • [HTTPリクエストの受信時] をクリックし、[パラメーター] タブで [出力] セクションまで下にスクロールすると、解析された出力が表示されます。

      • [データの送信] をクリックし、[パラメーター] タブで [入力] セクションまで下にスクロールすると、 JSON リクエスト本文に出力全体が表示されます。

  2. Microsoft Sentinel でデータを表示する:

    1. Azure portal で、 Microsoft Sentinel サービスに移動します。
    2. 前に作成したワークスペースに移動し、[ログ] をクリックします。
    3. 新しいクエリ (KQL モード) で、ロジック アプリを作成したときに使用したカスタム ログ名を入力し、[実行] をクリックします。