PAM360とMicrosoft Sentinelの連携

ビルド 8500 より前の手順については、このヘルプを参照してください。

ManageEngineシリーズに属する、統合された特権アクセス管理製品であるPAM360は、Microsoftによるクラウドネイティブなセキュリティ情報およびイベント管理(SIEM)ソリューションであるMicrosoft Sentinelと連携します。この連携は、既に利用可能なサードパーティSIEMソリューションとの連携（Splunk、ManageEngine EventLog Analyzer、Sumo Logicなど）にプラスされるものです。

このリンクの最後では、次のことを学ぶことができます：

1. 連携の主なメリット
2. Microsoft Sentinel 用の PAM360 ワークスペースの構成
3. Microsoft Sentinelとの連携のためのPAM360の構成
4. Microsoft SentinelでのPAM360ログの表示
5. トラブルシューティングのメモ

1.連携の主なメリット

PAM360の広範な監査機能には、リアルタイムでのリソース、パスワード、ユーザーへの監査ログの収集と処理が含まれます。この製品では、[監査]タブから特定のイベントに対する通知をカスタマイズできます。PAM360とMicrosoft Sentinelの連携により、PAM360はSIEMツールにsyslogとして詳細なログを送信し、Microsoft SentinelのインターフェースからPAM360の監査証跡を表示することが有効です。上記のSIEMツールとは別に、その他のログ管理ツールを設定して監査ログを収集することができます。複数のログ管理ツールを同時に構成することも可能です。

2.Microsoft Sentinel用のPAM360ワークスペースの構成

Microsoft Sentinelとの連携のためにPAM360ワークスペースを構成するには、Azureポータルで以下の手順を完了します：

• ログ分析ワークスペースの作成
• データ収集エンドポイント（DCE）の作成
• データ収集ルール（DCR）の作成
• ログ収集のための Azure アプリケーションの登録

2.1 ログ分析ワークスペースの作成

ログ分析ワークスペースは、Microsoft Sentinelログの基本的な管理単位です。Azureポータル内にログ分析ワークスペースを作成するには、以下の手順に従います：

1. Azureポータルにログインし、Azure servicesの下のLog Analytics workspacesをクリックします。
   
2. 上部ペインの［Create］をクリックして、PAM360-Sentinel連携用の新しいログ分析ワークスペースを作成します。
   
3. 表示されるページで、ドロップダウンからリソースグループの名前を選択するか、Resource groupドロップダウンで［Create new］をクリックします。表示されるポップアップで、新しいリソースグループのNameを入力し、[OK]をクリックします。
   
4. Instance detailsで、[Name]フィールドにワークスペース名を入力し、[Region]を選択します。

   詳細

   • ワークスペース名は 4 ～ 63 文字の間でなければなりません。
   • ワークスペース名には、英字、数字、および「-」のみを使用できます。「-」は最初または最後の記号であってはなりません。
5. Review + Createボタンをクリックして、ワークスペースの詳細を検証します。
6. 検証に合格したら、Createをクリックし、展開が完了するのを待ちます。
   

新しく作成されたワークスペースは、［Log Analytics workspaces］ページで表示できます。ワークスペースのCustom Log Table nameまたはStream nameは、PAM360でSentinelの統合を構成する際に必要になるため、メモを取って残してください。この名前は、Log Analytics workspace >> Settings >> Tablesに移動することで確認できます。

2.2 データ収集エンドポイント (DCE) の作成

データ収集エンドポイント(DCE)は、Microsoft SentinelがPAM360などの外部ソースからログを受信するために使用する、安全な取り込みエンドポイントを定義します。DCEを作成することで、PAM360監査ログが安全に認証され、ルーティングされ、Logs Ingestion API経由で適切なログ分析ワークスペースに取り込まれるようになります。AzureポータルでDCEを作成するには、以下の手順に従います：

1. Azure ホームページの［Azure services］で［Data collection endpoints］をクリックします。
2. 表示されたページで、上部メニューから [Create] をクリックし、次の詳細を入力します：
   
   1. Endpoint Name- 作成するエンドポイントの名前。
   2. Resource Group- ドロップダウンから既存のリソースグループ（前のステップで作成）名を選択します。
   3. Region- 管理するリソースグループまたはワークスペースの地域を選択します。
      
3. Review + Create >> Create をクリックします。

PAM360とSentinelとの連携用のDCEがAzureポータルに作成されました。この際、DCE の [Logs Ingestion URL] をメモします。このリンクは、PAM360 と Sentinel とを連携させる際の認証に使用されます。

2.3 データ収集ルール (DCR) の作成

データ収集ルール(DCR)は、受信したPAM360監査ログがどのように処理され、マップされ、Microsoft Sentinelに保存されるかを定義します。DCRはデータソースとターゲットのLog Analyticsテーブルをリンクし、ログが正しい形式で正しい場所に取り込まれるようにします。AzureポータルでDCRを作成するには、以下の手順に従います：

1. Azureホームページの［Azure services］で［Log Analytics workspaces］をクリックします。
2. 表示されるページで、リストからワークスペースを選択します。
3. 左側のペインから［Settings］を展開し、［Tables］クリックします。
4. Createドロップダウンをクリックし、[New custom log (Direct Ingest)]を選択してカスタム ログを作成します。このステップは、Microsoft SentinelがLogs Ingestion APIを使用してPAM360から直接送信されたログを受け入れることを有効にするため、非常に重要です。また、カスタムテーブル構造を定義してそれをデータ収集ルールに関連付けることで、PAM360監査ログをログ分析ワークスペース内で正しく解析、保存、照会できるようにします。
   
5. 表示されるページで、Table nameを入力し、［Data collection rule］ドロップダウンの下にある［Create a new data collection rule］をクリックします。
6. 表示されるウィンドウで、DCR nameを入力し、［Done］をクリックします。
7. ドロップダウンからData collection endpointを選択し、［Next] をクリックします。
   
8. 表示されるページで、サンプルログファイルをアップロードし、［Next >> Create］をクリックします。サンプルログを表示し、JSON形式でマシンに保存するには、ここをクリックしてください。
   

   詳細

   サンプルログファイルは、PAM360監査ログのJSON構造を表しています。このファイルをアップロードすると、Microsoft Sentinelが受信データのスキーマとテーブル形式を理解するのに役立ちます。これにより、PAM360から送信された監査ログがAzureで同じ構造に従っていることが確認され、ログが正しく解析され、カスタムテーブルに格納され、ログ分析ワークスペースで効果的にクエリできるようになります。

DCRはAzureポータルで作成されています。DCEのImmutable IDをメモに取ります。この ID は、PAM360 で Sentinel を統合する際の認証に使用されます。

2.3.1 Azureアプリケーションへのロールの割り当て

DCR を作成した後、以下のステップに従って Azure アプリケーションにロールを割り当てます：

1. Azure ポータル内で、[Data collection rules]ページに移動し、DCR を選択します。
2. 左ペインから[Access control（IAM）]をクリックし、［Add] >> [Add role assignment] をクリックします。
   
3. 表示されるAdd role assignmentページで、
   1. リストから [Contributor]または[Monitoring Metrics Publisher]ロールを選択し、[Next] をクリックします。

      詳細

      ContributorロールまたはMonitoring Metrics Publisherロールは、Azure アプリケーションに、DCR にログインを取り込むために必要な権限を付与するために必須です。これらのロールにより、アプリケーションは、過剰な特権管理者を与えることなく、ログデータの書き込み、メトリックの発行、および取り込みエンドポイントとのインタラクションを行うことができます。これらのロールを割り当てることで、PAM360からMicrosoft Sentinelへの安全で承認されたログの取り込みが保証されます。
   2. Assign access toオプションがUser, group, or service principalに設定されていることを確認します。
   3. Membersフィールドの横にある［Select members］をクリックします。
   4. ページの右側に表示されるウィンドウで、Sentinelとの連携用に登録したAzureアプリケーションを検索して選択します。
      
   5. Next >> Review + assign をクリックします。選択したロールがAzureアプリケーションに割り当てられます。

これで、Azure アプリケーションに必要な権限を割り当て、DCR とマップされました。

2.4 ログ収集のための Azure アプリケーションの登録

2.4.1 Azure アプリケーションの作成

1. Azure ホームページの[Azure services] で、[Microsoft Entra ID] をクリックします。
2. 表示されたページで、［Add] >> [App registration] をクリックします。
   
3. Register an applicationページで、
   1. 新しいアプリケーションのNameを入力します。
   2. Supported account types（オプション）とRedirect URI（オプション）を選択してください。
   3. Registerをクリックしてアプリケーションを作成します。
      

2.4.2 クライアントシークレットの作成と役割の割り当て

アプリケーションを作成したら、Application (client) IDとDirectory (tenant) IDをメモします。これらはPAM360からsyslogメッセージを送る際に必要になるからです。次に、以下の手順に従い、登録したアプリケーションのクライアントシークレットの作成とロールの割り当てを行います：

1. 左側のパネルから[Manage]を展開し、リストから[Certificates & secrets]を選択します。
2. Client secretsの下で、+ New client secretをクリックします。
3. 表示されるウィンドウで、クライアントシークレットのDescriptionを入力し、Addをクリックします。
   
4. 秘密を作成したら、将来PAM360 で Azure アプリリソースを作成・管理する際に必要になるので、リストからそのValueをコピーします。
   
5. 次に、Log Analytics workspacesページに移動し、ワークスペースを選択します。
6. 左ペインから[Access control (IAM)]をクリックし、[Add] >> [Add role assignment]をクリックします。 このセクションのステップを実行して、Azureアプリケーションにロールを割り当て、それをログ分析ワークスペースにマップします。
   

これで、Microsoft Sentinel ポータルで PAM360 のワークスペースが正常に構成されました。

3.Microsoft Sentinel との連携のための PAM360 の構成

3.1 PAM360 のリソースとしての Azure アプリケーションの追加

このセクションでは、Azureアプリケーション(Azureポータルでログ取り込み用に登録)をSentinelとの連携用のPAM360のリソースとして追加する方法を説明します。

1. リソースタブに移動し、[リソース追加] >> [手動で追加] をクリックします。
2. リソース追加ウィンドウが表示されます、
   
   1. Azure アプリケーションのリソース名を入力します。
   2. リソース種別ドロップダウンからAzure Appを選択します。
   3. Azure アプリケーションの作成時に Azure ポータルからコピーしたディレクトリ(テナント)IDとクライアントID を入力します。
   4. 保存して実行をクリックしてアカウントを追加し、クライアントシークレットを保存します。
3. アカウントを追加ウィンドウが表示されるので、そこで
   1. 任意のクライアントシークレット名を入力します。
   2. シークレット値フィールドと［シークレット値の確認］フィールドに、（Azure ポータルからコピーした）シークレット値を入力します。
      
   3. 追加 >> 保存をクリックして、Azure アプリケーション認証情報の追加を行います。この情報は、後でSentinel統合後にSyslogメッセージを送信する際の認証に使用されます。

3.2 PAM360 で Microsoft Sentinel との連携を有効にする

以下の手順に従って、PAM360 で Microsoft Sentinel の設定を完了します：

1. 管理 >> 連携 >> SIEMに移動します。
2. Microsoft Sentinel で [有効にする] をクリックします。
3. 表示されるダイアログボックス内で、
   
   1. ［Azure アプリケーション］のリソースとアカウントをドロップダウンから選択します。
   2. 配信名フィールド内に、Azure ポータルからコピーしたカスタムログテーブル名またはストリーム名を入力します。
   3. DCE ログ取り込み URLフィールドに、Azure ポータルからコピーしたログ取り込み URL を入力します。
   4. DCR 不変 IDフィールドに、Azure ポータルからコピーした不変 ID を入力し、［有効にする］をクリックします。
4. 表示される確認ダイアログボックスで、［有効にする］をクリックして統合を確定します。

これで統合プロセスは完了です。これ以降、PAM360 でキャプチャされたすべての監査証跡が Microsoft Sentinel ポータルに転送されます。

4.Microsoft Sentinel での PAM360 ログの表示

Microsoft Sentinel で PAM360 ログを表示するには、Azure ポータルにログインし、以下の手順に従います：

1. Azure servicesで [Log Analytics workspace] を選択します。
2. リストからワークスペースを選択し、［Logs］をクリックします。
3. Custom Logsメニューを展開し、PAM360 用のカスタムログが作成されているか検証します（例：PAM360_CL）。
4. カスタムログをダブルクリックすると、右側のターミナルにコマンドが表示されます。カスタムログコマンドにセミコロンを追加します：PAM360_CL；
   
5. 必要な時間範囲を選択し、上からRunオプションをクリックします。
6. 今、選択した時刻範囲にPAM360からキャプチャされたすべてのログが下に表示されます。
7. 必要に応じて、Exportオプションを使用して、ログをCSV形式でエクスポートします。

5.トラブルシューティングのメモ

連携の構成後、Microsoft Sentinel ポータルで PAM360 ログを表示できない場合は、以下の手順をお試しください：

1. PAM360 サーバーが存在するマシンにインターネット接続があることを確認します。
2. PAM360インターフェイス内で、[Configure Audit]の下で[Generate Syslog]オプションが有効になっているか確認します。
3. Log Analytics workspacesの[Settings] >> [Tables]で自動生成されるカスタムログを削除していないことを確認します。カスタムログを削除した場合は、新しいワークスペースで統合を再設定してください。