Microsoft Sentinel との統合

最終公開日 : Oct 24, 2026
Citrix® Monitor の Kafka データエクスポートは、Logstash を介して Secure Private Access (SPA) および Device Posture Service (DPS) イベントを Microsoft Sentinel にストリーミングできます。Microsoft Sentinel コンテンツハブの Citrix SPA Sentinel App は、データコネクタと、Logstash がイベントを転送するために必要な接続情報を提供します。
Microsoft Sentinel と統合するには、コンテンツハブから Citrix SPA Sentinel App ソリューションをインストールし、以下のセクションで説明するように Logstash を構成します。
Related information
モニター

前提条件

  • Microsoft Sentinel ワークスペースと、コンテンツハブからソリューションをインストールする権限。
  • Microsoft Sentinel 出力プラグインでサポートされている Logstash バージョンを実行している Logstash ホスト。サポートされているバージョンについては、「Logstash プラグインの前提条件」を参照してください。
  • お使いのリージョンの Kafka データエクスポートブローカーエンドポイントがネットワークの許可リストに含まれていることを確認してください。
    エンドポイント 米国リージョン 欧州連合リージョン アジア太平洋南部リージョン
    Kafka ブローカー casnb-0.citrix.com:9094 casnb-eu-0.citrix.com:9094 casnb-aps-0.citrix.com:9094
    casnb-1.citrix.com:9094 casnb-eu-1.citrix.com:9094 casnb-aps-1.citrix.com:9094
    casnb-2.citrix.com:9094 casnb-eu-2.citrix.com:9094 casnb-aps-2.citrix.com:9094
    casnb-3.citrix.com:9094
    Kafkaブローカーへのネットワーク接続を検証するには、環境で次のコマンドを実行し、成功することを確認します。エンドポイントを、お使いのリージョンのブローカーに置き換えてください。
    telnet casnb-0.citrix.com 9094
    openssl s_client -tls1_3 -connect casnb-0.citrix.com:9094 -showcerts < /dev/null

Citrix SPA Sentinelアプリをインストールする

  1. Azure portalで、Microsoft Sentinelを開き、ワークスペースを選択します。
  2. コンテンツ管理の下で、コンテンツハブをクリックします。
  3. Citrix SPA Sentinel Appを検索し、インストールをクリックします。
    Citrix SPA Sentinel Appをインストールする
  4. 構成 > データコネクタに移動し、ソリューションに付属のデータコネクタを開きます。コネクタページを開くをクリックします。
    データコネクタページを開く
  5. データ収集ルール (DCR) と認証に使用される Microsoft Entra アプリケーションを含むコネクタリソースを展開します。展開が完了したら、データコネクタページに表示される接続情報を開いたままにしておきます。次のステップで、これをLogstash構成に貼り付けます。
    コネクタリソースを展開する(/en-us/citrix-daas/media/sentinel-integration-deploy-connector-res.png)
    注:
    セキュリティ上の理由から、Entra アプリ登録シークレットは一度しか表示されません。データコネクタページを離れるか更新すると、表示されなくなります。リソースの展開中に、シークレットが表示されたらすぐにコピーして保存してください。コピーする前にEntra アプリ登録シークレットが消えてしまった場合は、アクセスを取り消すをクリックして Entra アプリケーションを削除し、データコネクタを削除してから、コネクタリソースを再度展開して新しいシークレットを生成してください。

Logstashを構成する

  1. Citrix Monitorで、統合とデータエクスポート > 開発者ツール > Kafkaを開いてKafka構成ページを表示し、アカウントを作成して構成ファイルをダウンロードします。
    1. アカウント設定セクションを完了して、Kafkaアカウントの資格情報を作成します。詳細な手順については、アカウント設定を参照してください。
    2. 可観測性プラットフォーム設定セクションを展開し、Azure Sentinelタブを選択します。
    3. アカウント用に生成されたLogstash構成ファイルとJKSトラストストアをダウンロードします。
  2. Logstashホストに、LogstashとMicrosoft Sentinel出力プラグインをインストールします。
  3. Logstashをインストールしたホストマシンで、ダウンロードしたファイルを指定されたディレクトリに配置します。
    ホストマシンの種類 ファイル名 ディレクトリパス
    リナックス DIRECTOR_AzureSentinel_LogStash_Config.conf DebianおよびRPMパッケージの場合: /etc/logstash/conf.d/
    .zipおよび.tar.gzアーカイブの場合: {extract.path}/config
    kafka.client.truststore.jks DebianおよびRPMパッケージの場合: /etc/logstash/ssl/
    .zipおよび.tar.gzアーカイブの場合: {extract.path}/ssl
    ウィンドウズ DIRECTOR_AzureSentinel_LogStash_Config.conf C:\logstash-x.xx.x\config
    kafka.client.truststore.jks
  4. Logstash構成ファイルを開き、次の操作を行います。
    1. ファイルの入力セクションに、次を入力します。
      • パスワード: Citrix Monitorでアカウント設定中に作成したアカウントのパスワード（Integrations and data exports > Developer tools > Kafka）。
      • SSLトラストストアの場所: SSLクライアント証明書の場所。これは、ホストマシン上のkafka.client.truststore.jksファイルの場所です。
      入力セクション
    2. 「出力 (Microsoft Sentinel)」セクションで、Citrix SPA Sentinel アプリのインストール のステップ 5 から接続情報 (データ収集エンドポイント (DCE)、データ収集ルール (DCR) の不変 ID、および Entra アプリケーション資格情報 (テナント ID、クライアント ID、Entra アプリ登録シークレット)) を貼り付けます。
      出力セクション
  5. 設定を適用するには、Logstash を再起動します。

SPA および DPS イベントタイプを選択する

Kafka Data Exports ページの「エクスポートするデータイベント」から、Kafka Data Exports が Sentinel にストリーミングするイベントタイプを選択します。
  • Secure Private Access — アプリ起動、アプリ終了、クリップボード、ファイル印刷、URL、ファイルダウンロード、および関連するイベントタイプ。
  • Device Posture Service — デバイスポスチャ評価イベント。
アップストリームの Kafka エクスポートの背景については、Secure Private Access 用の Kafka からデータをエクスポートする を参照してください。

データインジェストの確認

Logstash が転送を開始すると、数分以内に Microsoft Sentinel ワークスペースにイベントが表示されます。データコネクタページの「受信データ」インジケーターを確認して、インジェストが開始されたことを確認します。
イベントがテーブルに格納されていることを確認するには、「Microsoft Sentinel」>「ログ」を開き、次のクエリを実行します。
CitrixAnalytics_SPA_Events_V1_CL
| where TimeGenerated > ago(24h)
| summarize count() by event_type, event_category
| order by count_ desc
このクエリは、過去 24 時間のイベント数をイベントタイプとカテゴリ別にグループ化して返します。結果が返された場合、データは正常にインジェストされています。

ワークブックの表示

Citrix SPA Sentinel アプリにはワークブックテンプレートが付属しています。これを使用するには、「Microsoft Sentinel」>「脅威管理」>「ワークブック」>「テンプレート」を開き、「Citrix Analytics CCF」ワークブックを選択して「保存」をクリックします。次に、「保存されたワークブックを表示」を選択して開きます。
ワークブックを保存
ワークブックには、SPAとDPSのアクティビティを視覚化するSecure Private Accessタブが用意されています。
Secure Private Accessダッシュボード(/en-us/citrix-daas/media/sentinel-integration-workbook-spadashboard.png)
ワークブックテンプレートは出発点です。すべてのイベントはCitrixAnalytics_SPA_Events_V1_CLテーブルに保存されるため、ニーズに合わせて独自の視覚化を作成することもできます。カスタムKustoクエリを記述し、組織にとって最も関連性の高いメトリックとインサイトを強調するワークブックやダッシュボードを構築できます。