Log Shipper 用 Microsoft Azure Monitor プラグイン

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Log Shipper モジュールを使用して Microsoft Azure Monitor v2.0.0 プラグインを構成する方法について説明します。このプラグインは、アラート (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、UBA、CTEP、デバイス、コンテンツ)、イベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント、クライアントステータス) の取り込みをサポートします。データは、Microsoft Azure Monitor Log Analytics Workspace テーブルに取り込まれます。このプラグインは、CEF形式とJSON形式でのデータ取り込みをサポートしています。

前提条件

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
Microsoft AzureアプリケーションのテナントID、クライアントID、およびクライアントシークレット。
Microsoft Azure Log Analytic Workspace。
Microsoft Azure Monitor のデータ収集エンドポイント。
Microsoft Azure Monitor のデータ収集ルール。
以下のホストへの接続: https://portal.azure.com/ 。

Microsoft Azure Monitor プラグインのサポート

このプラグインは、アラート (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、UBA、CTEP、デバイス、コンテンツ)、イベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント、クライアントステータス) の取り込みをサポートします。データは、Microsoft Azure Monitor Log Analytics Workspace テーブルに取り込まれます。このプラグインは、CEF形式とJSON形式でのデータ取り込みをサポートしています。

データ型	サポート
イベントサポート	はい
アラートサポート	はい
WebTxサポート	いいえ

権限

モニターアクセス権限を持つAzureアカウントが必要です。

APIの詳細

使うAPI一覧

APIエンドポイント	方法	Use case
/{tenant_id}/oauth2/v2.0/token	役職	アクセストークンを生成する
{dce_uri}/dataCollectionRules/{dcr_immutable_id}/streams/Custom-{custom_log_table_name}?api-version=2023-01-01	役職	データを取り込む

Generate Token

API Endpoint: https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token

Method: 役職

Headers

鍵	Value
Content-Type	application/x-www-form-urlencoded
ユーザーエージェント	netskope-ce-6.0.1-cls-microsoft-azure-monitor-v2.0.0

Body:

{
    "client_id": "<client_id>",
    "client_secret": "<application_secret>",
    "scope": "https://monitor.azure.com/.default",
    "grant_type": "client_credentials",
}

Sample API Response

{
    "token_type": "Bearer",
    "expires_in": 3599,
    "ext_expires_in": 3599,
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6InNNMV95QXhWOEdWNHlOLUI2ajJ4em1pazVBbyIsImtpZCI6InNNMV95QXhWOEdWNHlOLUI2ajJ4em1pazVBbyJ9.eyJhdWQiOiJodHRwczovL21vbml0b3IuYXp1cmUuY29tIiwiaXNzIjoiaHR0cHM6Ly9zdHMud2luZG93cy5uZXQvZTA0MDU2MDYtNmMw…."
}

データを取り込む

API Endpoint: {dce_uri}/dataCollectionRules/{dcr_immutable_id}/streams/Custom-{custom_log_table_name}?api-version=2023-01-01

Method: 役職

Headers

鍵	Value
Authorization	Bearer <access_token>
Content-Type	アプリケーション/json
ユーザーエージェント	netskope-ce-6.0.1-cls-microsoft-azure-monitor-v2.0.0

Request Body:

{
    "RawData": "ID=a39cdxxxx5caexx52fd47a6a cnt=1 device=qP7NPtp5bTHzxxxxdho_AA0B8A97-xxxx-xxxx-AF0E-xxxxxx deviceExternalId=xxxxxx-9798-B907-xxxx-6029DF2F6EB2 dvchost=VMware, Inc. hostname=XXXXX-GNO7JR8 managementId=null os=0 osVersion=10.0.19045 slat=0.0 slong=0.0 smac=xx:0C:29:xx:F7:A1 suid=xxxxPtp5bTHzcR69xxxx suser=abc@test.ai timestamp=0",
    "Application": "Netskope CE",
    "DataType": "<data_type>",
    "SubType": "<sub_type>",
    "TimeGenerated": "2025-05-05 17:56:57.823408"
}

Sample API Response:

204 No Content

パフォーマンスマトリックス

このパフォーマンス測定値は、下記のVM仕様でテストされた大規模スタックCEに関するものです。以下の読み取り値は、イベントやアラートの場合、約10Kサイズのファイルを2秒で取り込むことを考慮に入れて追加されています。

デスクリプション	Specifications
スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
イベント、アラートはサードパーティのSIEMに取り込まれる。	300K EPM

ユーザーエージェント

netskope-ce-6.0.1-cls-microsoft-azure-monitor-v2.0.0

ワークフロー

Log Analyticsワークスペースを設定します。
アプリケーションを設定し、テナントID、アプリケーションID、およびクライアントシークレットを取得してください。
データ収集エンドポイントを設定し、DCE URIを取得します。
Log Analytics Workspaceで基本テーブルを設定し、データ収集ルールの不変IDを取得します。
DCRとDCEにアクセス許可を割り当てます。
Microsoft Azure Monitorプラグインを設定します。
Microsoft Azure Monitor のログシッパービジネスルールを構成します。
Microsoft Azure Monitor の Log Shipper ログ配信を構成する。
Microsoft Azure Monitorプラグインを検証します。

動画を見る

再生ボタンをクリックして動画をご覧ください。

Log Analyticsワークスペースを構成する

AzureにログインしてLog Analytics Workspaceに移動してください。
Create Tabをクリックしてください。
「サブスクリプション」 Select 、既存のリソースグループを選択するか、新しいリソースグループを作成します。
Log Analyticsワークスペースの名前を入力し、リージョンを選択してから、 Next > Next > Createをクリックします。

アプリケーションを設定し、テナントID、アプリケーションID、クライアントシークレットを取得します。

グローバル管理者ロールを持つアカウントでAzureにログインしてください。
Azure App Registration > New Registrationへ移動してください。
登録フォームで、アプリケーションの名前を入力し、 Registerをクリックしてください。
申込ページに表示されているテナントIDと申込者（クライアント）IDをコピーしてください。
Add a Certificate or Secretをクリックし、次にNew client secretをクリックしてクライアントシークレットを生成します。デスクリプションと有効期限を追加し、 Addをクリックします。
Secretの値は一度しか表示されないため、コピーしておいてください。

データ収集エンドポイントを設定し、DCE URIを取得します。

Azure ホームに移動し、Azure サービスからMonitorをクリックします。
左側のパネルのData Collection Endpointsをクリックし、次にCreateをクリックします。
データ収集エンドポイントの名前を入力し、サブスクリプションとリソースグループを選択し、リージョンを選択し(そのリージョンがLog Analytics Workspaceのリージョンであることを確認してください)、最後に Review + createをクリックします。
概要タブで、データ収集エンドポイント（DCE）URIとなるログ取り込みをコピーします。

Log Analytics Workspaceで基本テーブルを設定し、データ収集ルールの不変IDを取得します。

カスタムログ分析テーブルでは、システム上に以下の内容のJSONファイルを作成するために、サンプルデータをアップロードする必要があります。

[   
    {         
        "RawData": {},         
        "Application":  "",         
        "DataType": "", 
        "SubType": "", 
        "TimeGenerated": "2022-11-01 12:00:00.576165"     
    } 
]

Azure ホームタブで、Log Analytics Workspace に移動し、以前に作成したワークスペースを選択して、 Tablesを選択します。CreateをクリックしてNew Custom log (DCR based)を選択してください。
テーブルの名前を入力してください。
データ収集ルールについては、 Create a new data collection ruleをクリックし、ドロップダウンリストからサブスクリプションとリソースグループを選択してください。Log Analytics Workspace のリージョンを入力し、 Doneをクリックします。テーブルプランは必ず基本設定にしてください。
新しいデータ収集ルールは、「データ収集ルール」フィールドで選択されます。Nextをクリックしてください。
「スキーマと変換」タブで、「ファイルの参照」をクリックし、以前に作成したサンプルデータJSONファイルを選択します。
NextをクリックしてからCreateをクリックしてください。
A Custom Log Table will be created with the suffix _CL.

注記

ここでは、テーブルプランを Analytics から Basic に変更します。Basic ログデータプランを使用すると、デバッグ、トラブルシューティング、監査のために大量の詳細ログを Log Analytics ワークスペースに取り込んで保存するコストを削減できるためです。テーブルプランを変更せずに Analytics のままにしておくと、ログは問題なくテーブルに取り込まれます。Analytics テーブルには、30 日～ 730 日の構成可能な保持期間があります。基本テーブルの保持期間は8日間に固定されています。基本ログテーブルは8日間データを保持します。既存のテーブルのプランを「基本ログ」に変更すると、Azure は 8 日以上経過したデータであっても、テーブルの元の保持期間内であればアーカイブします。
データ収集の不変IDを取得するには、ホームに移動し、 Azureサービス > データ収集ルールからMonitor選択し、カスタムテーブルの作成時に作成したDCRを選択します。
概要タブで、右上隅のJSON Viewをクリックし、不変IDをコピーします。

DCRとDCEに権限を割り当てる

Azure ホームページで、 Monitor > Data Collection Endpointに移動し、以前に作成したエンドポイントを選択します。
Select Access control (IAM) して Add role assignmentをクリックします。
役割の一覧からMonitoring Metrics Publisherを選択し、 Nextをクリックします。
アクセス権限を割り当てるユーザー、グループ、またはサービスプリンシパルSelect 。
Select Membersをクリックして、検索ボックスに作成したアプリケーションを検索し、それを選択します。
Review + assignをクリックしてください。
これらの手順を繰り返して、DCR（データ収集ルール）に権限を割り当てます。

Microsoft Azure Monitorプラグインを構成する

Cloud Exchange で、 Settings > Plugin Storeに移動します。
Microsoft Azure Monitor v2.0.0 CLS)プラグインを検索して選択してください。
構成名を入力し、有効なマッピングを選択してください。（すべてのプラグインのデフォルトマッピングが利用可能です。）新しいマッピングを作成したい場合は、 Settings > Log Shipper > Mappings)へ行ってください。
生ログの変換はデフォルトで有効になっており、マッピングファイルに基づいて生データが変換されます。生データをAzure Monitorに直接送信したい場合は、この機能をオフにしてください。
Nextをクリックして、設定パラメータを入力してください。
- Directory (tenant) ID: Azure AD アプリケーションのディレクトリ (テナント) ID。
- Application (client) ID: Azure AD アプリケーションのアプリケーション (クライアント) ID。
- Client Secret: Azure AD アプリケーションのクライアントシークレット。
- DCE URI: データコレクターエンドポイントのURI。
- DCR Immutable ID: データ収集ルールの不変のIDです。
- Custom Log Table Name: データを取り込むためのカスタムログテーブル名。Log Analyticsワークスペースにテーブルが存在することを確認してください。
- Log Source Identifier: これはカスタムログテーブルの「アプリケーション」フィールドに追加されます。
Saveをクリックしてください。

Microsoft Azure Monitor のログシッパービジネスルールを構成する

Log ShipperでBusiness Rulesに移動し、 Create New Ruleをクリックします。
デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類のアラートやイベントを除外したい場合は、 Create New Ruleをクリックして、ルール名とフィルターを追加して新しいビジネスルールを設定します。
フォルダ名があれば入力してください。
Saveをクリックしてください。

Azure Monitor の Log Shipper ログ配信(SIEM Mappings)を構成する

Log ShipperでLog Delivery に移動し、 Add Log Delivery Configurationをクリックします。
ソース構成、宛先構成、およびビジネスルールSelect 。
Saveをクリックしてください。

SIEM マッピングが追加されると、 Netskopeテナントからのデータの取得と Azure Monitor プラットフォームへの取り込みが開始されます。

Microsoft Azure Monitorプラグインを検証する

プルを検証する

Netskopeテナントから指標を取得することを検証します。
Cloud Exchange のLoggingに移動し、フィルター「message contain pulled」を使用してプルされたログを検索します。

プッシュ通知を検証する

Cloud Exchange でプラグインのワークフローを検証するには：

Loggingに移動して、フィルター「message contains ingested」を使用して、取り込まれたイベントを検索します。取り込まれたログはフィルタリングされます。

Log Analytics Workspaceで検証するには：

Azure ポータルで、 Log Analytics Workspaceに移動し、作成した Log Analytics ワークスペースを選択し、左側のパネルの [全般] カテゴリでLogsを選択します。
クエリエディターにカスタムログテーブル名を入力し、 Runをクリックします。上部の「時間範囲」を選択することで、ログをフィルタリングできます。