Logstash を介した Sentinel 統合のトラブルシューティング ガイダンス

最終公開日 : Oct 24, 2026
この記事では、Logstash を使用して Microsoft Sentinel と Citrix Analytics を統合する際に発生する可能性のある問題を解決するためのヒントを一覧表示します。詳細については、Kafka または Logstash ベースのデータ コネクタを使用した SIEM 統合 を参照してください。
Related information
セキュリティ情報およびイベント管理 (SIEM) 統合

Logstash サーバーログの確認

ターミナルウィンドウに表示される Logstash サーバーログを確認して、データが Sentinel ワークスペースのカスタムログテーブルに正しく取り込まれているかどうかを検証できます。
  1. ログの詳細を表示するには、設定 > データエクスポート > 構成タブ > SIEM 環境を展開し、Logstash 構成ファイルをダウンロードする必要があります。Azure Sentinel (プレビュー) の下で、Logstash 構成ファイルのダウンロードをクリックします。
  2. 構成ファイルを使用して Logstash サーバーを起動すると、Microsoft Azure がホストする Log Analytics ワークスペースへの接続が成功したことを示す次のログが同じターミナルウィンドウに表示されます。
    データエクスポートのトラブルシューティング

一般的なエラー: バンドルされた JDK の使用

Microsoft Log Analytics プラグインをインストールしようとすると、以下に示す一般的なエラーが報告されます。
Microsoft Log Analytics プラグイン
この後、Logstash サーバーを実行しようとすると、次のエラーが表示される場合があります。
Logstash サーバーエラー
これを解決するには、JAVA_HOME をバンドルされた JDK に設定します。
  1. Windows 環境変数に移動します
  2. “JAVA_HOME” という名前で新しいシステム変数を作成します
  3. バンドルされたLogstash JDKへのパスを追加します (< path_to_logstash >/logstash-X.X.X/jdk)
上記の手順を実行した後、プラグインを再度インストールしようとすると、次の画面が表示されます。
Jdkファイル
LS_JAVA_HOMEを使用する場合（JAVA_HOMEは非推奨のため）、システムPATH変数にバンドルされたJDKの場所も指定する必要があり、このパスはjdk\binフォルダーを指している必要があります（LS_JAVA_HOME変数とは異なります）。
Jdkファイル
LS_JAVA_HOMEを使用する場合（JAVA_HOMEは非推奨のため）、システムPATH変数にバンドルされたJDKの場所も指定する必要があり、このパスはjdk\binフォルダーを指している必要があります（LS_JAVA_HOME変数とは異なります）。
ロケーションパス

Microsoft Sentinel ワークブックを確認する

Citrix Analyticsから送信されたデータが、Log Analyticsワークスペース内の適切なカスタムログテーブルに正常に入力されたかどうかを確認するには（Microsoft SentinelとCitrix Analyticsの統合の詳細については、Microsoft Sentinel integrationを参照してください）：
  1. Azure portal > Microsoft Sentinel > 適切なワークスペースを選択 > データコネクタ > に移動し、Citrix Security Analyticsを選択してクリックします。
  2. 上部のバーで接続ステータスを確認します。
    接続ステータス
  3. ワークブックの下では、直感的なフィルターを使用してデータをさらにドリルダウンし、リスクインジケーター情報を取得できます。情報を取得するには、Azure portal > Microsoft Sentinel > データコネクタ > CITRIX SECURITY ANALYTICS > ワークブックに移動します。
    ブック

KQLを使用してLog Analyticsワークスペースのログを確認する

該当するカスタムログテーブルに対してKQLクエリを実行することで、正しいデータがLog Analyticsワークスペースに到達したかどうかを確認することもできます。
  1. Azure portal > Log Analyticsワークスペース に移動し、正しいワークスペースを検索します。
  2. 左側のパネルで、ログ を選択し、テーブル タブの下にあるカスタムログ分析テーブルを検索します。
  3. カスタムログ分析テーブルを選択し、エディターで使用 をクリックします。(Log AnalyticsワークスペースでのKQLクエリに関するガイダンスについては、Log Analyticsチュートリアル を参照してください)。
  4. 実行 をクリックします。
    エディターで使用