Trend Vision One コネクタを Microsoft Sentinel にデプロイする

手順

1. [Trend Vision One]ソリューションをMicrosoft Sentinelにインストールする
   1. Microsoft Sentinelワークスペースで、次の場所に移動します。[Content management] → [Content hub (Preview)] 。
   2. [Trend Vision One]を検索して、[インストール]をクリックします。
   3. ワークスペースを選択して、[開始]をクリックしてください。
2. [Trend Vision One]データコネクタをインストールする:
   1. Microsoft Sentinel ワークスペースで、[Configuration] → [Data connectors] に移動します。
   2. [Trend Vision One (Azure機能を使用)] を検索し、 [コネクタページを開く]をクリックします。
   3. コネクタページで[手順]に移動します。
   4. [Workspace ID] と [ワークスペースキー]をコピーします。
   5. [Deploy to Azure]をクリックします。
      デプロイプロセスはMicrosoft Azureポータルにリダイレクトされます。
   6. [Custom deployment]ページの設定を構成する:

      設定	設定に関する補足
      サブスクリプション	デプロイされたリソースを管理します
      リソースグループ	コネクタの配置先
      関数名	一意の名前を指定してください
      ワークスペースIDとワークスペースキー	コネクターページの[手順]セクションからコピーした情報。 Log Analyticsから情報にアクセスすることもできます。 [Log Analytics]のワークスペースに移動します。 [設定] → [エージェント管理] に移動。 情報は[Windows servers]の[Download agent]の下にあります。
      APIキー	Trend Vision One ユーザアカウントからAPIキー 重要 Microsoft Sentinel コネクタには、SIEM ロールを持つ Trend Vision One ユーザアカウント、またはそれ以上の権限を持つユーザロールの API キーが必要です。ユーザアカウントのアクセスレベルには API が含まれている必要があります。
      地域コード	Trend Vision One インスタンスの場所に対応する地域コード 許可されている値: オーストラリア ユーザー入力 の 日本語 シンガポール アメリカ mea
      ストレージプレフィックス	ストレージプレフィックスがAzureリソースの命名規則に準拠していることを確認してください。

   7. [確認と作成]をクリックします。
3. コネクタが使用するPythonのバージョンを設定します。
   1. Microsoft Azureコンソールで、Trend Vision Oneコネクタのリソースグループを見つけます。
   2. [Resources]の下で、リソースグループ内のFunction Appをクリックします。
   3. [設定] → [一般設定] に移動します。
   4. [Python Version]メニューから[Python 3.9]を選択します。
   5. [保存] をクリックします。
4. カスタム検出モデルやハイパーセンシティブモードを使用する場合、関連するアラートデータを取得するようにコネクタを設定してください。
   デフォルトでは、Trend Vision Oneコネクタはカスタム検出モデルやハイパーセンシティブモードによって作成されたデータを取得しません。関連するアラートデータをコネクタが取り込むようにするには、追加設定を構成する必要があります。
   1. Microsoft Azureコンソールで、Trend Vision Oneコネクタのリソースグループを見つけます。
   2. [Resources]の下で、リソースグループ内のFunction Appをクリックします。
   3. [設定] → [Environment variables] → [アプリの設定]に移動してください。
   4. カスタム検出モデルをMicrosoft Sentinelに送信する場合は、[追加]をクリックし、次の設定を構成してください。
      • [名前]: queryCustomWorkbench
      • [値]: True
   5. カスタム検出モデルをMicrosoft Sentinelに送信する場合は、[追加]をクリックし、次の設定を構成してください。
      • [名前]: queryAggressiveWorkbench
      • [値]: True
   6. [適用] をクリックします。
   7. 確認ダイアログで、[確認]をクリックします。