unified-secops-platform

統合 SecOps プラットフォーム（Microsoft Defender ポータル）

統合セキュリティ運用プラットフォームでは、SIEM（Microsoft Sentinel）、XDR（Microsoft Defender XDR）、Microsoft Security Copilot、Microsoft Defender Threat Intelligence、 Microsoft Security Exposure Management を、Microsoft Defender ポータル（security.microsoft.com）の単一のエクスペリエンスに集約します。

使用する場面

SOC を 1 つのポータルに標準化し、SIEM と XDR のシグナルを統合したインシデントキューを利用して、アナリストのコンテキスト切り替えを減らす場合に使用します。

次の用途にはこのスキルを使用しないでください：

• ワークスペース、データコネクタ、または分析ルールの設計のみ（sentinel を使用）
• エンドポイント／ID／メール／クラウドアプリの調査のみ（defender-xdr を使用）
• 脅威ハンティングのクエリ作成のみ（KQL のガイダンスには sentinel を使用）

適切な開始時の質問を選ぶ

今日の課題	統合ポータルを使用して行うこと	備考
アナリストが Azure ポータルと security.microsoft.com を切り替えている	Sentinel を Defender ポータルにオンボードする	1 つのキュー、1 つのエンティティグラフ
インシデントキューが 2 つあり、手動で相関付けている	SIEM と XDR にまたがる統合インシデントキュー	自動相関付け、単一のトリアージ
Defender と Sentinel のテーブルを横断してハンティングするには、クエリが 2 つ必要	Defender ポータルでの高度なハンティング	単一の KQL サーフェス
攻撃対象領域と攻撃経路のビューが必要	Exposure Management を追加する	爆発半径に基づいて優先順位付け
SOC がインラインの AI 支援を求めている	Security Copilot を埋め込んで追加する	インシデントごとの概要

経験則： SOC で Sentinel と Defender XDR の両方を使用している場合は、統合ポータルを使用してください。Azure Sentinel ポータルはレガシーの画面であり、新しい投資はまず Defender ポータルに導入されます。

アプローチ

1. 前提条件を確認する - Microsoft Sentinel ワークスペース、少なくとも 1 つの Defender 製品をオンボード済みの Microsoft Defender XDR、オンボード管理者に必要な Entra と Sentinel の RBAC ロール、そして Sentinel ワークスペースと Defender XDR テナントのテナント整合性を確認します。 確認方法：ワークスペースと Defender XDR が同じテナントにあること、管理者が Microsoft Sentinel Contributor と Defender XDR のセキュリティロールを保持していることを確認します。
2. プライマリワークスペースを選ぶ - テナントごとに、統合ポータルのプライマリにできる Sentinel ワークスペースは 1 つだけです。複数のワークスペースを運用している場合は、統合エクスペリエンスを担うワークスペースと、Azure ポータル専用のままにするワークスペースを決定します。それに応じて移行を計画します。 確認方法：ワークスペースの一覧に、プライマリとその選定理由が記載されていることを確認します。
3. Sentinel を Defender ポータルにオンボードする - Defender ポータルから Log Analytics ワークスペースを接続します。オンボードによって既存の Sentinel コンテンツ（分析ルール、ハンティングクエリ、プレイブック）が損なわれることはありませんが、アナリストが作業する場所は変わります。 確認方法：Defender ポータル → Investigation & response に、Sentinel の分析ルールと Defender XDR の検出の両方によるインシデントが表示されることを確認します。
4. 統合インシデントキューを検証する - Sentinel と Defender XDR のインシデントとアラートが、共有エンティティを備えた 1 つのキューに統合され、単一画面でトリアージできるようになります。これまで単独で発生していた Sentinel のインシデントが、適切な場合に XDR のアラートと相関付けられることを確認します。 確認方法：エンドツーエンドのテスト攻撃（例：フィッシングのシミュレーションとサインイン異常）で、2 つではなく 1 つの相関付けられたインシデントが作成されることを確認します。
5. 統合された高度なハンティングを使用する - Defender ポータルのハンティングエクスペリエンスで KQL を使い、Sentinel と XDR のテーブルをまとめてクエリします。2 つの画面をつなぐためだけに存在していた重複するハンティングクエリは廃止します。 確認方法：Defender のテーブル（例：DeviceLogonEvents）と Sentinel のテーブルを結合するハンティングクエリが、1 つのウィンドウで実行されることを確認します。
6. 複数領域にまたがる機能を追加する - インライン AI 支援には Security Copilot、IOC 管理には Threat Intelligence、攻撃対象領域と攻撃経路の分析情報には Exposure Management を追加します。それぞれに価値がありますが、ライセンスまたは SCU のコストも発生するため、SOC の課題に応じて順序を決めます。 確認方法：機能を有効にする前に、それぞれに明確な SOC のユースケースが定義されていることを確認します。単にトグルを切り替えるだけでは不十分です。
7. RBAC をエンドツーエンドで検証する - Defender ポータルの 統合 RBAC が、統合されたエクスペリエンスへのアクセスを制御します。既存の Sentinel と Defender のロール割り当てを統合モデルに対応付け、ロールの昇格や意図しないアクセスが発生していないことを確認します。 確認方法：最小権限のアナリストが、インシデントキューとハンティングの両方で、割り当てられたワークロードのみを閲覧できることを確認します。
8. アナリストのワークフローを移行する - 手順書、シフト用リンク、トレーニングを更新し、Defender ポータルを参照するようにします。アナリストの日常業務では、Azure Sentinel ポータルをレガシーとして扱います。

ガードレール

• 一部の Sentinel 機能は、Defender ポータルへのオンボード後に動作が変わります。 アナリストを Azure ポータルから移行する前に、分析ルールの UX、ブックのレンダリング、インシデントのエンリッチメントに関する「変更点」のガイダンスを確認してください。
• RBAC を慎重に検証してください。 Defender ポータルの統合 RBAC は、統合されたエクスペリエンスへのアクセスを制御し、Sentinel ネイティブまたは Defender ネイティブの RBAC だけを使用する場合とは異なるアクセス許可や制限を適用することがあります。
• 統合ポータルでプライマリにできるワークスペースは、テナントごとに 1 つです。複数ワークスペースを使用する SOC は、プライマリを明示的に決定し、残りのワークスペースの計画を立てる必要があります。
• オンボードは移行ではありません。 分析ルール、プレイブック、ブックは Sentinel に残り、変わるのはポータルという画面です。コンテンツの移植性は別途検討してください。
• コストの発生元は変わっても、なくなるわけではありません。 Sentinel の取り込みには引き続き Log Analytics の料金がかかり、Copilot には SCU の料金がかかります。Exposure Management には別途ライセンスが必要な場合があります。有効にする前に試算してください。
• 移行中は Azure Sentinel ポータルにアクセスできる状態を維持してください。 一部の管理タスク（ワークスペース設定、高度なデータコネクタの構成）は、引き続きそこにあります。

よくあるアンチパターン

• 「初日にすべてをオンボードする。」 RBAC とワークスペースの計画がないと、インシデントのマージが煩雑になり、アナリストが混乱します。
• Defender ポータルを Sentinel コンテンツの代替として扱う。 ルールとプレイブックは引き続き Sentinel にあり、ポータルは司令塔です。
• RBAC の検証手順を省略する。 統合 RBAC によって、Sentinel 専用または Defender 専用のロールでは許可されなかったクロスプロダクトアクセスが、気付かないうちに許可されることがあります。
• 主要なワークスペースを決めていないマルチワークスペースのテナント。 アナリストは、どのキューが信頼できる情報源なのか分からなくなります。
• 統合キューが定着する前に Exposure Management や Copilot を有効にする。 不安定な基盤に機能を積み重ねると、ノイズが増幅するだけです。

プロンプトの例

• Onboard a Sentinel workspace to the Defender portal for a single SOC pane.
• How do I merge Sentinel and Defender XDR into one unified incident queue?
• Move off the Azure Sentinel portal to the unified platform.
• Reduce analyst context-switching by adding Exposure Management to the unified portal.
• What changes for my analysts after onboarding Sentinel to the Defender portal?

Microsoft Learn

• 統合 SecOps の概要：https://learn.microsoft.com/unified-secops-platform/overview-unified-security
• Sentinel を Defender ポータルに接続する：https://learn.microsoft.com/azure/sentinel/microsoft-sentinel-defender-portal
• Microsoft Defender ポータル：https://learn.microsoft.com/defender-xdr/microsoft-365-defender-portal
• Defender ポータルの統合 RBAC：https://learn.microsoft.com/defender-xdr/manage-rbac
• Microsoft Security Exposure Management：https://learn.microsoft.com/security-exposure-management/microsoft-security-exposure-management
• 統合ポータルでの高度なハンティング：https://learn.microsoft.com/defender-xdr/advanced-hunting-overview