OktaログをMicrosoft Sentinelに取り込んでみた

はじめに

こんにちは、エーピーコミュニケーションズ iTOC事業部 BzD部 0-WANの坂口です。
今回は、OktaのログをMicrosoft Sentinelに格納する方法をご紹介します。

想定アーキテクチャ

想定するアーキテクチャは、下図のとおりです。

Azure Functions
定期的にOktaに接続してログを収集します。
Log Analytics workspace
収集したOktaログを格納します。
Microsoft Sentinel
Log Analytics workspaceに格納されたログを参照・分析します。

ログ格納の手順

Oktaの監査ログとイベントログを収集する手順です。下記データコネクタを利用します。

learn.microsoft.com

手順1. Okta API Tokenの作成
手順2. Okta Single Sing-Onコンテンツのインストール
手順3. Azure Functionsをデプロイ
手順4. OktaログをSentinelで確認

では、順番に設定していきます。

手順1. Okta API Tokenの作成

まず、Okta側での作業です。公式ガイドを参考にAPI Tokenを発行します。

developer.okta.com

管理者権限を持ったユーザーでOktaにサインインします。
管理コンソールで、Security > APIを選んで、Tokensタブで[Create token]をクリックします。

任意のtoken名を入力して、[Create token]をクリックします。

発行されたToken Valueをメモします。（再表示はできませんので、ご注意ください。）

手順2. Okta Single Sing-Onコンテンツのインストール

Microsoft Sentinel コンテンツハブページの検索フィールドに「okta」と入力します。
「Okta Single Sign-On」コンテンツにチェックを入れ、[インストール]をクリックします。

状態がインストール済みになったことを確認し、[管理]をクリックします。

手順3. Okta SSOとの統合

Okta Single Sign-On (using Azure Functions)にチェックを入れ、[コネクタページを開く]をクリックします。

OktaとMicrosoft Sentinelを接続するためのオプションは2つありますが、今回は「オプション 1 Azure Resource Manager (ARM) テンプレート」で接続します。 [Deploy to Azure]をクリックします。

カスタムデプロイのページで、サブスクリプション、リソースグループ、リージョンを選択します。
Workspace ID、Workspace Key、API Token、Uri、App Insights Workspace Resource IDを入力して、[確認と作成]をクリックします。

入力項目について
* Workspace IDとWorkspace Keyは、Log Analytics workspaceの「エージェント」で確認できます。
* API Tokenは、Oktaで発行したものです。
* Uriは、https://<OktaDomain>/api/v1/logs?since=と入力します。
※<OktaDomain>は、管理しているOktaドメインに置き換えてください。
* App Insights Workspace Resource IDは、Log Analytics workspaceの「プロパティ」で確認できます。