EntraログをSIEM(Sentinel)で監視してみる Part3：Sentinelでインシデント検知から自動対応まで

Last updated at 2025-09-11Posted at 2025-09-11

Part3：Sentinelでインシデント検知から自動対応まで

はじめに

これまでの記事で、収集したログがSentinel上で自動分析され、インシデントとして検知されるようになりました。しかし、この状態ではSentinelにログインしなければインシデントに気づくことができません。

自動対応の第一歩として、まずは「検知→通知」の仕組みを実装してみます。

検知から自動対応への流れ

自動対応の設定は以下の2つの方法で実現できます：

分析ルールウィザードの「自動応答」設定から
オートメーション機能から

前回で「自動応答」の設定をしていない分析ルールを作成済みです。
今回は、「オートメーション」機能から分析ルールにより
作成されたインシデントに反応するものを実装していきます。

オートメーション作成例

インシデントの種類によって適切な自動対応は異なりますが、以下に代表的なパターンをご紹介します。
以下も参考になりますので是非。
Recommended playbook use cases, templates, and examples

不審サインイン

システム連携

Azure Firewall/Azure WAFに検出元IPをブロック登録
Entra IDの該当ユーザーを一時無効化（Disable user）
サインインセッションを失効（Revoke sessions）
パスワード強制リセット

事故管理

Teams/メール通知の送信
ServiceNow等でのチケット自動作成
インシデントにTI（脅威インテリジェンス）判定を自動書き込み

OAuth/アプリの不正利用

システム連携

該当サービスプリンシパルの無効化/削除

パスワードスプレー/ブルートフォース攻撃

システム連携

攻撃元IPをWAF/Firewallに即時ブロック登録

端末でのマルウェア検知

システム連携

該当端末の隔離実行
上長への自動通知

悪意ある受信トレイルール作成（メール転送/削除ルール）

システム連携

該当ルールの無効化/削除を自動実行

今回は前回の分析ルール「Bulk Changes to Privileged Account Permissions」に
メール通知の送信を足す形で作っていこうと思います。

実際にオートメーションを作成してみる

オートメーションのためには
Automation rule と playbook が必要です。
playbookでメール通知の送信というアクションを作っておき、
Automation ruleで「Bulk Changes to Privileged Account Permissions」の
インシデントが作られたときにこのplaybookを実行させるルールを作る形になります。

playbook作成準備 - Sentinel SOAR Essentials導入

playbookはlogicappsにより作成できます。
logicappsを一から自作してもいいですが…今回やるのはメール送るだけですので
ここは出来合いのものを使います。
コンテンツハブにある Sentinel SOAR Essentials に以下のような簡単なplaybookは含まれてます。
・メール送信
・TeamsやSlack送信

なお導入はコンテンツハブからSentinel SOAR Essentialsをインストールするだけです。

playbook作成 - Send-basic-email logic apps

では作っていきます。

「オートメーション」の Playbook templates から Send basic email を Create playbook します。
リソースグループは自分はSentinelを作ったリソースグループと一緒にしました。diagnosticsはチェック入れてません。
送り先を指定します。
コネクター：このアクション(logic apps)がsentinelとメールにつなぐためのコネクタです。この時点では特に設定はいらないのですが、後でsentinelのマネージドIDだったりメールにつなぐためのコネクタについてで別途操作が要ります。後ほど。
以上で出来ました。作りましょう。