本記事は2024年11月にZennで公開していたブログをQiitaに移植したものです。
Microsoft Security Advent Calendar 2024 の9日目の記事です。本記事では、Logic AppとKQLクエリを組み合わせて、前月のインシデント集計結果をSlackに自動通知するまでの流れと、その実装上のポイントを紹介します。小ネタで恐縮ですが、よろしくお願いします。
背景
セキュリティ運用チームでは、セキュリティアラートの管理と対応状況を可視化するため、次のような要件があるとします。
- 前月発生したインシデントの総数と、未クローズのインシデント数を集計したい
- 集計結果をSlackで共有し、チーム全体で前月の振り返りを行いたい
- 実行は毎月5日に自動的に行われるようにしたい
ここでは、Logic Appを用いて、月次スケジューリングを行い、Sentinel のデータに対してKQLクエリを実行します。その結果を整形してSlackにポストする一連のフローを構築します。
全体像
- Logic Appのトリガー：月次スケジューリングトリガーを利用し、毎月1日に処理を開始します。
- Azure Monitor Logs コネクタを用いて、Sentinelデータに対してKQLクエリを実行します。
- KQLクエリで、前月に発生したインシデントの総数と未クローズ数を集計します。
- 集計結果をSlack用に整形し、Slackチャンネルへポストします。
クエリ例と解説
前月のインシデント集計クエリ
下記は、SecurityIncidentテーブルを用いて、前月のインシデント総数と未クローズインシデント数を取得するためのKQLクエリ例です。
// 変数定義
let FirstOfLastMonth = startofmonth(ago(1d), -1);
let StartOfThisMonth = startofmonth(ago(1d));
// メインクエリ
SecurityIncident
| where TimeGenerated >= FirstOfLastMonth
| where CreatedTime >= FirstOfLastMonth and CreatedTime < StartOfThisMonth
| summarize arg_max(TimeGenerated, *) by IncidentNumber
| summarize
TotalIncidents = count(),
OpenIncidents = countif(Status != "Closed")
| extend
Message = strcat(
"前月は合計", tostring(TotalIncidents), "件のアラートが発生し、",
"そのうち", tostring(OpenIncidents), "件が未クローズです。"
)
| project Message, TotalIncidents, OpenIncidents
ポイント解説
-
FirstOfLastMonthおよびStartOfThisMonthは、それぞれ「前月の初日」と「当月の初日」を示す変数です。これにより、前月分のみを抽出する時間範囲が明確になります。 -
arg_max(TimeGenerated, *) by IncidentNumberは、同一IncidentNumberで最新のレコードを取得し、最終的なインシデントステータスやメタ情報を集約します。 -
summarize count(), countif(...)で、前月発生分のトータルおよび未クローズ数を取得します。 -
Message列で、人間がわかりやすい形でまとめのメッセージを作成しています。
このように、SecurityIncidentテーブルはインシデント更新のたびに記録が追加される形式のため、単純なcountやwhere句では正確な前月発生インシデント数や未クローズのステータスを把握しにくいことが分かります。
よって、summarizeによる集約ロジックが必要になります。
Logic AppとSlack連携
-
Logic Appでのスケジューラ設定
Logic Appの「Recurrence」トリガーを使用して、毎月1日に発火するように設定します。 -
Azure Monitor LogsコネクタでKQL実行
Logic AppにはAzure Monitor Logsコネクタがあり、ここで前述のKQLクエリを実行します。
結果として、前月インシデント総数や未クローズ数などを取得できます。 -
Slackへのポスト処理
KQLクエリの結果をもとに、HTTPコネクタやSlackコネクタ(またはWebhook)を用いて、Slackの指定チャンネルにメッセージを投稿します。例えば、クエリから取得した
Message列を、そのままSlackチャンネルにポストすることで、以下のようなメッセージを送れます。前月は合計 XX 件のアラートが発生し、そのうち YY 件が未クローズです。
まとめ
-
SecurityIncidentテーブルはインシデントごとに記録が増えるため、集計ロジックが必要になります。 -
summarizeを用いて、前月発生分のみを抽出し、最終的なインシデントカウントや状態を取得できます。 - Logic Appで月次スケジュールを組むことで、定期的にKQLクエリを実行し、結果をSlack通知する自動化が可能です。
これらの手順を踏むことで、毎月のインシデント状況をシームレスに共有し、運用チームでの振り返りや改善活動に役立てることができます。