Microsoft Graph セキュリティ アラート

備考

プレビュー

Lakewatch は プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。

Lakewatch は、Microsoft Defender XDR や Microsoft Sentinel などからのアラートといった Microsoft Graph セキュリティ API からセキュリティアラートを取り込むための API コネクタを提供します。この記事では、前提条件、構成手順、コネクタスキーマ、および Lakewatch パーサーの観測可能なデータについて説明します。

前提条件

コネクタには次のものが必要です。

1. ワークスペースでオンになっているServerless LakeFlow Pipelines。
2. Unity Catalog であり、Unity Catalog 接続を作成または使用する権限を持っている。接続権限を参照してください。
3. Microsoft Defender XDRやMicrosoft SentinelなどのMicrosoftセキュリティ製品を使用するMicrosoft Entra IDテナント。Microsoftのアラートリソースタイプのドキュメントを参照してください。
4. Microsoft Entra IDにアプリケーションを登録する権限、およびMicrosoft Graphアプリケーションの権限に管理者同意を与えるための特権ロール管理者ロール。テナント全体に管理者同意を付与するを参照してください。

既知の制限事項

• slowly changing dimensions（SCD）タイプ2はサポートされていません。
• このコネクタは、Microsoft Entra IDアプリケーションとクライアントのシークレットによるOAuthマシンマシン間認証をサポートします。OAuthユーザーマシン間認証と基本認証はサポートされていません。
• このコネクタは、Government コミュニティ クラウド (GCC)、米国政府GCC High、米国国防総省 (DoD) クラウドを含む Microsoft グローバルサービスをサポートしています。中国の 21Vianet によって運営されている Microsoft Graph はサポートしていません。
• 過去の振り返りは 180 日を超えることはできません。「取り込む期間を選択する」を参照してください。

インジェストのための Microsoft Graph の構成

コネクタは、Microsoft Graphに対するSecurityAlert.Read.Allアプリケーション権限を持つMicrosoft Entra IDアプリケーションとして認証を行います。完全なステップについては、Microsoft Graphへの認証を構成するを参照してください。

1. Microsoft Entra 管理センターで、 Entra ID > アプリの登録 に移動し、シングルテナントアプリケーションを登録します。GCC High または DoD テナントの場合は、https://portal.azure.us にある Azure Government ポータルを使用してください。
2. 証明書とシークレット で、クライアント シークレットを作成し、その 値 をコピーします。ページを離れると、Microsoft Entra は値を再度表示しません。
3. APIアクセス許可 の下で、 アクセス許可の追加 > Microsoft Graph > アプリケーションのアクセス許可 を選択し、 SecurityAlert.Read.All を追加します。コネクタは委任されたアクセス許可を使用しません。
4. <your tenant> に対して管理者の同意を与える を選択します。 Type 列が Application を示しており、 Status 列が Granted for <your tenant> を示していることを確認します。
5. アプリケーションの 概要 ページで、 アプリケーション（クライアント）ID と ディレクトリ（テナント）ID をコピーします。

注記

クライアント シークレットは最大 24 か月で期限切れになります。シークレットの期限が切れる前に、同じアプリケーションでクライアント シークレットを作成し、既存の Unity Catalog 接続の クライアント シークレット を更新します。新しい接続を作成しないでください。

ヒント

Lakewatch UIから接続を作成する際に、テナントが実行されている Microsoftクラウド （GCCを含むグローバルサービスの場合はcommercial、gcc_high、またはdod）を選択し、前のステップでコピーした クライアントID 、 クライアントシークレット 、および テナントID を入力します。

次のステップ

上記の設定が完了したら、Lakewatch UI で Microsoft Graph コネクタを使用してデータソースを作成します。手順については、「API コネクタ」をご覧ください。

---

コネクタおよび Lakewatch スキーマ

コネクタは、default ソーススキーマから次のソーステーブルを取り込みます。

ソーステーブル	Microsoft Graph データ	組み込み Lakewatch パーサー
security_alerts	Microsoft Graph セキュリティ API alerts_v2 Endpointからのセキュリティ アラート	microsoft_graph_security_alert

ソーステーブル	Microsoft Graph データ	組み込み Lakewatch パーサー
security_alerts	Microsoft Graph セキュリティ API alerts_v2 Endpointからのセキュリティ アラート	microsoft_graph_security_alert

コネクタは、ソーステーブルをデータソースのRAW宛先に書き込みます。組み込みパーサーは、データソースを構成するときに解析済み宛先を設定しない限り、パーサー名が付けられた個別の解析済みテーブルを書き込みます。

Lakewatchで管理される列

コネクタは、ソースのidフィールドを非NULL主キーとして、ソースのlastUpdateDateTimeフィールドを増分インジェストのカーソルとして使用するため、各同期によって最後のラン以降に変更されたアラートもインジェストされます。Lakewatch IDを合成するコネクタとは異なり、このコネクタはlw_id列を追加しません。パーサーは、解析されたtime列をソースfirstActivityDateTimeフィールドから割り当てます。

Lakewatchで作成されたパイプラインの場合、コネクタはこれらの列もrawテーブルに追加し、解析済みテーブルにも引き継ぎます：

• lw_meta: 標準のLakewatch処理メタデータ。
• lw_observables：パーサーでセキュリティ監視対象としてマークされたフィールドから抽出された値。

パーサーのリファレンスを参照してください。

未処理のコネクタテーブルスキーマ

以下のスキーマには、Microsoft Graph セキュリティアラートフィールドが含まれています。フィールドの定義については、「Microsoft Graph Logs コネクタリファレンス」および「Microsoft のアラートリソース型ドキュメント」をご覧ください。

スキーマ

Column	Data type
id	STRING
title	STRING
category	STRING
categories	ARRAY<STRING>
severity	STRING
status	STRING
serviceSource	STRING
detectionSource	STRING
detectorId	STRING
productName	STRING
providerAlertId	STRING
incidentId	STRING
incidentWebUrl	STRING
alertWebUrl	STRING
alertPolicyId	STRING
tenantId	STRING
description	STRING
recommendedActions	STRING
investigationState	STRING
determination	STRING
classification	STRING
assignedTo	STRING
actorDisplayName	STRING
threatDisplayName	STRING
threatFamilyName	STRING
mitreTechniques	ARRAY<STRING>
systemTags	ARRAY<STRING>
createdDateTime	TIMESTAMP
lastUpdateDateTime	TIMESTAMP
firstActivityDateTime	TIMESTAMP
lastActivityDateTime	TIMESTAMP
resolvedDateTime	TIMESTAMP
comments	VARIANT
evidence	VARIANT
additionalData	VARIANT
customDetails	VARIANT

Column	Data type
id	STRING
title	STRING
category	STRING
categories	ARRAY<STRING>
severity	STRING
status	STRING
serviceSource	STRING
detectionSource	STRING
detectorId	STRING
productName	STRING
providerAlertId	STRING
incidentId	STRING
incidentWebUrl	STRING
alertWebUrl	STRING
alertPolicyId	STRING
tenantId	STRING
description	STRING
recommendedActions	STRING
investigationState	STRING
determination	STRING
classification	STRING
assignedTo	STRING
actorDisplayName	STRING
threatDisplayName	STRING
threatFamilyName	STRING
mitreTechniques	ARRAY<STRING>
systemTags	ARRAY<STRING>
createdDateTime	TIMESTAMP
lastUpdateDateTime	TIMESTAMP
firstActivityDateTime	TIMESTAMP
lastActivityDateTime	TIMESTAMP
resolvedDateTime	TIMESTAMP
comments	VARIANT
evidence	VARIANT
additionalData	VARIANT
customDetails	VARIANT

パーサーの観測可能なデータ

microsoft_graph_security_alertパーサーは、ネストされたオブジェクトをVARIANTとして書き込み、次のフィールドをlw_observablesに抽出します。

可観測項目

Field	Observable
mitreTechniques[]	mitre_attack_technique

Field	Observable
mitreTechniques[]	mitre_attack_technique

evidence内のフィールドは、デバイスやファイルなどの各エビデンスエンティティのタイプによって異なります。パーサーは evidence をスキャンし、サブフィールド名と照合して lw_observables に値を抽出します。一致は大文字と小文字が区別されません。

証拠の観測可能

evidence subfield name	Observable
ipAddress, ipInterfaces, lastIpAddress, lastExternalIpAddress, clusterIP, externalIPs	ip
dnsDomain, domainName	domain
hostName, deviceDnsName	hostname
url	url
md5, sha1, sha256, value	hash
accountName	username
userPrincipalName	email
amazonResourceId	aws_arn
amazonAccountId	aws_account_id

evidence subfield name	Observable
ipAddress, ipInterfaces, lastIpAddress, lastExternalIpAddress, clusterIP, externalIPs	ip
dnsDomain, domainName	domain
hostName, deviceDnsName	hostname
url	url
md5, sha1, sha256, value	hash
accountName	username
userPrincipalName	email
amazonResourceId	aws_arn
amazonAccountId	aws_account_id