Microsoft Sentinel との統合

前提条件

• 少なくとも 1 つのデータソースでデータ処理をオンにします。これにより、Citrix Analytics for Security が Microsoft Sentinel 統合プロセスを開始するのに役立ちます。
• 次のエンドポイントがネットワークの許可リストに含まれていることを確認してください。

  エンドポイント	米国リージョン	欧州連合リージョン	アジア太平洋南部リージョン
  Kafka ブローカー	casnb-0.citrix.com:9094	casnb-eu-0.citrix.com:9094	casnb-aps-0.citrix.com:9094
  	casnb-1.citrix.com:9094	casnb-eu-1.citrix.com:9094	casnb-aps-1.citrix.com:9094
  	casnb-2.citrix.com:9094	casnb-eu-2.citrix.com:9094	casnb-aps-2.citrix.com:9094
  	casnb-3.citrix.com:9094

• LogstashのMicrosoft Sentinel出力プラグインを使用する場合、Logstashのバージョン7.17.7以降（Citrix Analytics for Securityとの互換性がテストされたバージョン：v7.17.7およびv8.5.3）を使用していることを確認してください。

Microsoft Sentinelとの統合

1. 設定 > データエクスポートに移動します。
2. アカウント設定セクションで、ユーザー名とパスワードを指定してアカウントを作成します。このアカウントは、統合に必要な構成ファイルを準備するために使用されます。
   
3. パスワードが以下の条件を満たしていることを確認してください。
   SIEMパスワード要件(/en-us/citrix-analytics/media/siem-account-password.png)
4. Logstash構成ファイルを生成するには、構成をクリックします。
   構成(/en-us/citrix-analytics/media/siem-configure.png)
5. 構成ファイルをダウンロードするには、Azure Sentinel (プレビュー) タブを選択します。
   • Logstash構成ファイル: Logstashデータ収集エンジンを使用して、Citrix Analytics for SecurityからMicrosoft Sentinelにイベントを送信するための構成データ（入力、フィルター、出力セクション）が含まれています。
     Logstash構成ファイルの構造については、Logstashドキュメントを参照してください。
   • JKSファイル: SSL接続に必要な証明書が含まれています。
   注
   これらのファイルには機密情報が含まれています。安全な場所に保管してください。
   Microsoft Sentinelの選択(/en-us/citrix-analytics/media/azure-sentinel-select.png)
6. Azure Sentinel統合を準備します。
   1. Azureポータルで、Microsoft Sentinelを有効にします。ワークスペースを作成するか、既存のワークスペースを使用してMicrosoft Sentinelを実行できます。
   2. メインメニューから、データコネクタを選択してデータコネクタギャラリーを開きます。
   3. Citrix Analytics (Security) を検索します。
   4. 「Citrix Analytics (Security)」を選択し、「コネクタページを開く」を選択します。
      Sentinelデータコネクタページ(/en-us/citrix-analytics/media/azure-sentinel-connector-page.png)
   5. 「Citrix Analytics (Security)」ページから、「ワークスペースID」と「プライマリキー」をコピーします。この情報は、後続の手順でLogstash設定ファイルに入力する必要があります。
      データコネクタ設定ページ(/en-us/citrix-analytics/media/azure-sentinel-config-page.png)
   6. ホストマシンでLogstashを構成します。
      1. LinuxまたはWindowsホストマシンに、LogstashとLogstash用Microsoft Sentinel出力プラグインをインストールします。
      2. Logstashをインストールしたホストマシンで、以下のファイルを指定されたディレクトリに配置します。

         ホストマシンの種類	ファイル名	ディレクトリパス
         Linux (リナックス)	CAS_AzureSentinel_LogStash_Config.config	DebianおよびRPMパッケージの場合: /etc/logstash/conf.d/
         		.zipおよび.tar.gzアーカイブの場合: {extract.path}/config
         	kafka.client.truststore.jks	DebianおよびRPMパッケージの場合: /etc/logstash/ssl/
         		.zipおよび.tar.gzアーカイブの場合: {extract.path}/ssl
         Windows (ウィンドウズ)	CAS_AzureSentinel_LogStash_Config.config	C:\logstash-7.xx.x\config
         	kafka.client.truststore.jks

         Logstashインストールパッケージのデフォルトのディレクトリ構造については、Logstashドキュメントを参照してください。
      3. Logstash設定ファイルを開き、次の操作を行います。
         1. ファイルの入力セクションに、次を入力します。
            • パスワード: 設定ファイルを準備するためにCitrix Analytics for Securityで作成したアカウントのパスワード。
            • SSLトラストストアの場所: SSLクライアント証明書の場所。これは、ホストマシン上のkafka.client.truststore.jksファイルの場所です。
            
         2. ファイルの出力セクションに、ワークスペースIDとプライマリキー（Microsoft Sentinelからコピーしたもの）を入力します。
            
      4. 処理されたデータをCitrix Analytics for SecurityからMicrosoft Sentinelに送信するには、Logstashホストマシンを再起動します。
   7. Microsoft Sentinel Workspaceに移動し、Citrix Analytics workbookでデータを表示します。

データ転送をオンまたはオフにする

1. 設定 > データエクスポートに移動します。
2. トグルボタンをオフにして、データ転送を無効にします。デフォルトでは、データ転送は常に有効になっています。
   
   確認のための警告ウィンドウが表示されます。データ転送をオフにするボタンをクリックして、転送アクティビティを停止します。
   

• シトリックス アナリティクス と マイクロソフト センチネル の統合
• Citrix Analytics for SecurityとMicrosoft Sentinelで脅威ハンティングを強化する