Microsoft Sentinel および Microsoft 365 Defender

Microsoft Sentinel と Microsoft 365 Defender の統合リポジトリへようこそ！このリポジトリには、すぐに使える検出、探索クエリ、ハンティングクエリ、ブック、プレイブックなどが含まれており、Microsoft Sentinel の導入を迅速に進め、環境を保護して脅威を追跡するためのセキュリティコンテンツを提供します。ハンティングクエリには、Microsoft 365 Defender および Microsoft Sentinel の両方での高度なハンティングシナリオ向けの Microsoft 365 Defender ハンティングクエリも含まれています。また、Microsoft Sentinel のオンボーディング時にここで見たいサンプルやリソースがあれば、issues に投稿してください。このリポジトリへのコントリビューションを歓迎します。始めるには、このリポジトリの wiki を参照してください。質問やフィードバックについては、[email protected] までお問い合わせください。

リソース

お客様のフィードバックを大切にしています。質問やフィードバックをお寄せいただくには、以下のチャンネルをご利用ください。

SIEM と SOAR に関する製品別 Q&A – Microsoft Sentinel Tech Community の会話にご参加ください。
XDR に関する製品別 Q&A – Microsoft 365 Defender Tech Community の会話にご参加ください。
製品固有の機能リクエスト – Microsoft Sentinel フィードバックフォーラムで投票または新規投稿してください。
製品やコントリビューションのバグ報告 – Bug テンプレートを使用して GitHub Issue を作成してください。
コミュニティとコントリビューションプロセスに関する一般的なフィードバック – Feature Request テンプレートを使用して GitHub Issue を作成してください。

コントリビューションガイドライン

このプロジェクトでは、コントリビューションと提案を歓迎しています。ほとんどのコントリビューションでは、お客様のコントリビューションを使用する権利があり、実際に使用することを許可することを宣言する Contributor License Agreement（CLA）に同意する必要があります。詳細については、https://cla.microsoft.com をご覧ください。

新規または更新されたコントリビューションを GitHub に追加する

注：このリポジトリに初めてコントリビュートする方は、クローンを作成する前に、一般的な GitHub リポジトリのフォーク手順または Sentinel リポジトリ固有の手順を参照してください。

一般的な手順

以下の方法で、全く新しいコントリビューションの作成または既存のコントリビューションの更新を行います。

GitHub ウェブサイト上で直接レビュー用に送信
- ファイルをアップロードするフォルダに移動します。
- [Upload Files] を選択し、ファイルを参照します。
- 独自のブランチを作成し、レビュー用の Pull Request を送信する必要があります。
GitHub Desktop、Visual Studio、または VSCode を使用する
- リポジトリをフォークします。
- リポジトリをクローンします。
- 独自のブランチを作成します。
- GitHub Desktop で追加・更新を行います。
- プッシュする前に、必ず master ブランチを自分のブランチにマージしてください。
- 変更を GitHub にプッシュします。

Pull Request

変更をプッシュしたら、Pull Request（PR）を送信する必要があります。
提案された変更の詳細が必要です。レビュアーが変更の理由と、コード内の何に関連する変更かを明確に理解できるように、最小限の詳細を含めてください。
送信後、Pull Request でコメントを確認します。
提案された変更を行い、ブランチを更新するか、変更が不要である理由を説明してください。完了したらコメントを解決します。

Pull Request 検出テンプレート構造検証チェック

PR チェックの一環として、YAML 構造の必須部分がすべて含まれていることを確認する構造検証を実行します。検出については、含める必要がある新しいセクションがあります。詳細については、コントリビューションガイドラインを参照してください。このセクションまたは他の必須セクションが含まれていない場合、以下のような検証エラーが発生します。以下の例は、YAML に entityMappings セクションがない場合の具体的なエラーです。

A total of 1 test files matched the specified pattern.
[xUnit.net 00:00:00.95]     Kqlvalidations.Tests.DetectionTemplateStructureValidationTests.Validate_DetectionTemplates_HaveValidTemplateStructure(detectionsYamlFileName: "ExcessiveBlockedTrafficGeneratedbyUser.yaml") [FAIL]
  X Kqlvalidations.Tests.DetectionTemplateStructureValidationTests.Validate_DetectionTemplates_HaveValidTemplateStructure(detectionsYamlFileName: "ExcessiveBlockedTrafficGeneratedbyUser.yaml") [104ms]
  Error Message:
   Expected object to be <null>, but found System.ComponentModel.DataAnnotations.ValidationException with message "An old mapping for entity 'AccountCustomEntity' does not have a matching new mapping entry."

Pull Request KQL 検証チェック

PR チェックの一環として、テンプレートで定義された KQL クエリの構文検証を実行します。このチェックが失敗した場合は、Azure Pipeline に移動し（PR の [Checks] タブのエラーリンクをクリック）、どのテストが失敗したか、その原因を確認します。 Azurepipeline パイプラインでは、どのテストが失敗したか、その原因を確認できます。 Pipeline Tests Tab

エラーメッセージの例：

A total of 1 test files matched the specified pattern.
[xUnit.net 00:00:01.81]     Kqlvalidations.Tests.KqlValidationTests.Validate_DetectionQueries_HaveValidKql(detectionsYamlFileName: "ExcessiveBlockedTrafficGeneratedbyUser.yaml") [FAIL]
  X Kqlvalidations.Tests.KqlValidationTests.Validate_DetectionQueries_HaveValidKql(detectionsYamlFileName: "ExcessiveBlockedTrafficGeneratedbyUser.yaml") [21ms]
  Error Message:
   Template Id:fa0ab69c-7124-4f62-acdd-61017cf6ce89 is not valid Errors:The name 'SymantecEndpointProtection' does not refer to any known table, tabular variable or function., Code: 'KS204', Severity: 'Error', Location: '67..93',The name 'SymantecEndpointProtection' does not refer to any known table, tabular variable or function., Code: 'KS204', Severity: 'Error', Location: '289..315'

カスタムログテーブル（すべてのワークスペースでデフォルトで定義されていないテーブル）を使用している場合は、Azure-Sentinel\\.script\tests\KqlvalidationsTests\CustomTables フォルダの JSON ファイルでテーブルスキーマを定義していることを確認してください。

テーブル tablexyz.json の例

{
  "Name": "tablexyz",
  "Properties": [
    {
      "Name": "SomeDateTimeColumn",
      "Type": "DateTime"
    },
    {
      "Name": "SomeStringColumn",
      "Type": "String"
    },
    {
      "Name": "SomeDynamicColumn",
      "Type": "Dynamic"
    }
  ]
}

ローカルで KQL 検証を実行する

Pull Request を送信する前に、ローカルマシンで KQL 検証を実行するには：

.Net Core 3.1 SDK がインストールされている必要があります。.Net のダウンロード方法（全プラットフォーム対応）
シェルを開き、Azure-Sentinel\\.script\tests\KqlvalidationsTests\ に移動します。
dotnet test を実行します。

出力例（Ubuntu の場合）：

Welcome to .NET Core 3.1!
----------------------
SDK Version: 3.1.403

Telemetry
---------
The .NET Core tools collect usage data in order to help us improve your experience. The data is anonymous. It is collected by Microsoft and shared with the community. You can opt-out of telemetry by setting the DOTNET_CLI_TELEMETRY_OPTOUT environment variable to '1' or 'true' using your favorite shell.

Read more about .NET Core CLI Tools telemetry: https://aka.ms/dotnet-cli-telemetry

Azure-Sentinel

人気