Microsoft Defender for Endpointのデバイスを調査する

セキュリティ アラートが発生した場合、または疑わしいアクティビティが検出された場合、影響を受けるデバイスを調査することは、潜在的な脅威の範囲を理解し、リスクを軽減するために重要です。 Microsoft Defender for Endpointには、デバイスのタイムライン、ネットワーク露出評価、セキュリティ評価、応答アクションなど、デバイスを調査するための包括的なツールが用意されています。

この記事では、デバイスの調査プロセスと、セキュリティ アナリストが使用できるツールについて説明します。

デバイス調査の概要

Microsoft Defender for Endpointのデバイス調査は、セキュリティの脅威を理解するための体系的なアプローチに従います。

デバイスの調査にアクセスする方法

Microsoft Defender ポータルでは、複数の場所からデバイス調査ページにアクセスできます。

デバイスの詳細

[デバイスの詳細] セクションでは、デバイスのドメイン、OS、正常性状態などの情報を提供します。 デバイスで使用可能な調査パッケージがある場合は、パッケージをダウンロードできるリンクが表示されます。

応答アクション

応答アクションは、特定のデバイス ページの上部に沿って実行され、次のものが含まれます。

• マップで表示
• デバイス値
• 重要度を設定する
• タグの管理
• デバイスの分離
• アプリの実行を制限する
• ウイルス対策スキャンの実行
• 調査パッケージの収集
• ライブ応答セッションを開始する
• 自動調査を開始する
• 脅威のエキスパートに相談する
• アクション センター

アクション センター、特定のデバイス ページ、または特定のファイル ページで応答アクションを実行できます。

デバイスでアクションを実行する方法の詳細については、「デバイスで 応答アクションを実行する」を参照してください。

詳細については、「 ユーザー エンティティの調査」を参照してください。

タブ

タブには、デバイスに関連する関連するセキュリティと脅威防止の情報が表示されます。 各タブでは、列ヘッダーの上にあるバーから [ 列のカスタマイズ ] を選択して、表示される列をカスタマイズできます。

概要

[ 概要 ] タブには、アクティブなアラート、ログオンしているユーザー、およびセキュリティ評価の カード が表示されます。

インシデントと警告

[ インシデントとアラート ] タブには、デバイスに関連付けられているインシデントとアラートの一覧が表示されます。 この一覧は 、アラート キューのフィルター処理されたバージョンであり、インシデント、アラート、重大度 (高、中、低、情報)、キュー内の状態 (新規、進行中、解決済み)、分類 (設定されていない、偽のアラート、真のアラート)、調査状態、アラートのカテゴリ、アラートのカテゴリ、アラートに対処しているユーザー、最後のアクティビティの簡単な説明を示します。 アラートをフィルター処理することもできます。

アラートが選択されると、ポップアップが表示されます。 このパネルでは、アラートを管理し、インシデント番号や関連デバイスなどの詳細を表示できます。 一度に複数のアラートを選択できます。

アラートの完全なページ ビューを表示するには、アラートのタイトルを選択します。

タイムライン

[ タイムライン ] タブには、デバイスで観察されたイベントと関連するアラートの時系列ビューが表示されます。 MITRE ATT&CK 手法、イベント フラグ、プロセス ツリーなどの詳細なチュートリアルについては、「デバイスのタイムラインを調査する」を参照してください。

セキュリティに関する推奨事項

セキュリティに関する推奨事項は、Microsoft Defender for Endpointの脆弱性管理機能から生成されます。 推奨事項を選択すると、推奨事項の説明や、推奨事項を制定しないことに関連する潜在的なリスクなど、関連する詳細を表示できるパネルが表示されます。 詳細については、「 セキュリティに関する推奨事項 」を参照してください。

構成管理 - セキュリティ ポリシー

[ セキュリティ ポリシー ] タブには、デバイスに適用されるエンドポイント セキュリティ ポリシーが表示されます。 ポリシー、種類、状態、最後のチェック時刻の一覧が表示されます。 ポリシーの名前を選択すると、ポリシー設定の状態、適用されたデバイス、割り当てられたグループを確認できるポリシーの詳細ページが表示されます。

構成管理 - 有効な設定

[ 有効な設定 ] タブでは、各セキュリティ設定の実際の値が表示され、構成されたソースが識別されます。 設定名、ポリシーの種類、有効な値、各有効な値のソース、最後のレポート時刻が一覧表示されます。

構成ソースには、Microsoft Defender for Endpoint、グループ ポリシー、Intune、既定の設定などのツールを含めることができます。 また、MDM やグループ ポリシー Hive などの特定のレジストリ パスを指定することもできます。 ソースがレジストリの場所である場合、[構成済み] フィールドには、レジストリ パスと共に [不明] と表示されます。

詳細を表示するサイド パネルを開く設定を選択します。 現在の値、有効にされなかったその他の構成試行、および ASR ルールや AV の除外などの複雑な設定の場合は、構成されているすべてのルール、そのソース、除外の内訳が表示されます。

ソフトウェア インベントリ

[ ソフトウェア インベントリ ] タブを使用すると、デバイス上のソフトウェアと、弱点や脅威を表示できます。 ソフトウェアの名前を選択すると、ソフトウェアの詳細ページに移動し、セキュリティに関する推奨事項、検出された脆弱性、インストールされているデバイス、バージョンの配布を確認できます。 詳細については、「 ソフトウェア インベントリ 」を参照してください。

検出された脆弱性

[ 検出された脆弱性 ] タブには、デバイスで検出された脆弱性の名前、重大度、脅威の分析情報が表示されます。 特定の脆弱性を選択すると、説明と詳細が表示されます。

KB が見つからない

[ 不足している KB ] タブには、デバイスの不足しているセキュリティ更新プログラムが一覧表示されます。

カード

アクティブなアラート

Azure 高度な脅威保護 カードには、Microsoft Defender for Identity機能を使用していて、アクティブなアラートがある場合に、デバイスとそのリスク レベルに関連するアラートの概要が表示されます。 詳細については、「 アラート 」ドリルダウンを参照してください。

ログオンしているユーザー

[ログオン ユーザー] カードには、過去 30 日間にログオンしたユーザーの数と、最も頻度の低いユーザーが表示されます。 [ すべてのユーザーを表示 ] リンクを選択すると、詳細ウィンドウが開きます。このウィンドウには、ユーザーの種類、サインインの種類、ユーザーが最初に表示されたとき、最後に表示されたタイミングなどの情報が表示されます。 詳細については、「 ユーザー エンティティの調査」を参照してください。

セキュリティ評価

セキュリティ評価カードは、全体的な公開レベル、セキュリティに関する推奨事項、インストールされているソフトウェア、検出された脆弱性を示しています。 デバイスの露出レベルは、保留中のセキュリティに関する推奨事項の累積的な影響によって決まります。

デバイスの正常性の状態

[デバイスの正常性状態] カードには、特定のデバイスの概要を示す正常性レポートが表示されます。 次のいずれかのメッセージがカードの上部に表示され、デバイスの全体的な状態が示されます (優先度が最も高い順に表示されます)。

• Defender ウイルス対策アクティブではない
• セキュリティ インテリジェンスが最新ではない
• エンジンが最新ではない
• クイック スキャンに失敗しました
• フル スキャンに失敗しました
• プラットフォームが最新ではない
• セキュリティ インテリジェンスの更新状態が不明です
• エンジンの更新状態が不明です
• クイック スキャンの状態が不明です
• フル スキャンの状態が不明です
• プラットフォームの更新状態が不明です
• デバイスが最新の状態である
• macOS & Linux で使用できない状態

カードのその他の情報には、最後のフル スキャン、最後のクイック スキャン、セキュリティ インテリジェンス更新プログラムのバージョン、エンジンの更新バージョン、プラットフォーム更新プログラムのバージョン、Defender ウイルス対策 モードなどがあります。

灰色の円は、データが不明であることを示します。

デバイス正常性レポートの詳細なビューを取得するには、[レポート] > [デバイスの正常性] に移動します。 詳細については、「Microsoft Defender for Endpointのデバイスの正常性とコンプライアンス レポート」を参照してください。

デバイスのタイムラインを調査する

デバイス タイムラインは、デバイスで観察されたイベントと関連するアラートの時系列ビューを提供し、異常な動作と潜在的な攻撃を調査するのに役立ちます。 特定のイベントを探索したり、MITRE ATT&CK 手法を確認したり、プロセス ツリーを使用したり、イベントにフラグを設定してフォローアップしたりできます。

デバイス タイムラインにアクセスするには:

1. 次の場所からデバイス ページに移動します。
   • デバイス インベントリ (Assets>Devices)
   • アラート キュー内のアラート
   • インシデント & アラートのインシデント
2. [ タイムライン ] タブを選択します。

主要なタイムライン機能

デバイス タイムラインには、イベントを効率的に調査するのに役立ついくつかの機能が含まれています。

イベントの検索、フィルター処理、エクスポート

• 特定のイベントを検索する: 検索バーを使用して、特定のタイムラインイベントを検索します。
• 特定の日付からイベントをフィルター処理する: テーブルの左上にある予定表アイコンを選択して、過去 1 日、週、30 日間、またはカスタム範囲のイベントを表示します。 既定では、デバイス タイムラインは過去 30 日間のイベントを表示します。 タイムラインを使用して、セクションを強調表示して特定の時点にジャンプします。 タイムラインの矢印は、自動化された調査を特定します。
• 詳細なデバイス タイムライン イベントをエクスポートする: 現在の日付または指定した日付範囲のデバイス タイムラインを最大 7 日間エクスポートします。

特定のイベントの詳細については、「 追加情報 」セクションに表示されます。 これらの詳細は、次のようなイベントの種類によって異なります。

• Application Guard に含まれる - Web ブラウザー イベントが分離コンテナーによって制限されました
• アクティブな脅威が検出されました - 脅威の実行中に脅威の検出が発生しました
• 修復に失敗しました - 検出された脅威の修復の試みが呼び出されましたが、失敗しました
• 修復に成功 - 検出された脅威が停止され、クリーンアップされました
• ユーザーによってバイパスされた警告 - Windows Defender SmartScreen の警告が無視され、ユーザーによってオーバーライドされました
• 疑わしいスクリプトが検出されました - 悪意のある可能性のあるスクリプトが実行中であることが検出されました
• アラート カテゴリ - イベントがアラートの生成につながった場合は、アラート カテゴリ (横移動など) が提供されます。

イベントの詳細

イベントを選択すると、そのイベントに関する関連する詳細が表示されます。 パネルには、一般的なイベント情報が表示されます。 該当するデータが使用可能な場合は、関連エンティティとそのリレーションシップを示すグラフも表示されます。

イベントと関連イベントをさらに調べるには、[関連イベントの検索] を選択して、高度なハンティング クエリをすばやく実行できます。 クエリは、選択したイベントと、同じエンドポイントで同時に発生した他のイベントの一覧を返します。

デバイス タイムラインの MITRE ATT&CK 手法

手法は、イベント タイムラインの追加のデータ型であり、MITRE ATT&CK 手法またはサブテクニックに関連するアクティビティに関するより多くの分析情報を提供します。 この機能は、アナリストがデバイスで観察されたアクティビティを理解できるようにすることで、調査エクスペリエンスを簡素化します。

手法は太字で強調表示され、左側に青いアイコンが表示されます。 対応する MITRE ATT&CK ID と手法名は 、[追加情報] にもタグとして表示されます。 [手法] には、検索とエクスポートのオプションも用意されています。

[手法] を選択して、対応するサイド ウィンドウを開きます。 ここでは、関連する ATT&CK 手法、戦術、説明などの追加情報と分析情報を確認できます。 特定の 攻撃手法 を選択して、関連する ATT&CK 手法ページを開きます。このページで詳細を確認できます。

右側に青いアイコンが表示されたら、エンティティの詳細をコピーできます。 たとえば、関連ファイルの SHA1 をコピーするには、青いページ アイコンを選択します。

コマンド ラインでも同じ操作を実行できます。

高度なハンティングを使用して、選択した手法に関連するイベントを検索するには、[関連イベントの検索] を選択します。 これにより、高度なハンティング ページにクエリが表示され、手法に関連するイベントが検索されます。

EDR クライアント (MsSense.exe) Resource Manager

デバイス上の EDR クライアントがリソースが不足している場合は、デバイスの通常の動作操作を維持するためにクリティカル モードになります。 EDR クライアントが通常の状態に戻るまで、デバイスは新しいイベントを処理しません。 EDR クライアントがクリティカル モードに切り替えたことを示す新しいイベントが、そのデバイスのタイムラインに表示されます。

EDR クライアントのリソース使用量が通常のレベルに戻ると、自動的に標準モードに戻ります。

フォローアップのイベントにフラグを設定する

デバイスのイベント フラグタイムライン、潜在的な攻撃を調査するときに特定のイベントをフィルター処理して整理するのに役立ちます。

デバイス タイムラインを通過した後、フラグを設定した特定のイベントを並べ替え、フィルター処理、エクスポートできます。 イベント フラグは、次の方法で設定できます。

• 最も重要なイベントの強調表示
• 詳細を必要とするイベントのマーキング
• クリーン侵害タイムラインの構築

イベントにフラグを設定するには:

1. フラグを設定するイベントを見つけます。
2. [フラグ] 列でフラグ アイコンを選択します。

フラグが設定されたイベントを表示するには:

1. [タイムライン フィルター] セクションで、フラグ付きイベントを有効にします。
2. [適用] を選択します。 フラグが設定されたイベントのみが表示されます。

タイム バーをクリックすると、さらにフィルターを適用できます。 フラグ付きイベントより前のイベントのみが表示されます。

デバイスのタイムラインをカスタマイズする

デバイス タイムラインの右上で、日付範囲を選択して、タイムライン内のイベントと手法の数を制限できます。 データ型またはイベント グループ別にフラグ付きイベントを公開およびフィルター処理する列をカスタマイズできます。

イベントまたは手法のみを表示するには、デバイス タイムラインから [フィルター] を選択し、表示する任意のデータ型を選択します。

タイムライン データの保持

Microsoft Defender for Endpointのデバイス タイムライン イベントは、セキュリティ ポータルで構成されているorganizationのデータ保持ポリシーと基になるワークスペース設定に従って保持されます。 既定では、Defender for Endpoint のセキュリティ イベント データ (デバイス タイムライン項目を含む) は 90 日間保持されます。 テナントがカスタムリテンション期間を持つ接続されたMicrosoft Sentinelまたは Log Analytics ワークスペースにログを送信する場合、保持されるイベントタイムライン、それらの保持設定で定義されているように、長期間使用できる可能性があります。

インターネットに接続しているデバイスを調査する

インターネットに接続されたデバイスは外部に接続することも、外部から接続することもできます。これは、organizationに重大な脅威を与えます。 organizationの外部攻撃面のマッピングは、セキュリティ態勢管理の重要な部分です。 Microsoft Defender for Endpointは、Microsoft Defender ポータルでオンボード、公開、インターネットに接続されたデバイスを自動的に識別し、フラグを設定します。

デバイスにインターネットに接続するフラグを設定する方法

TCP 経由で正常に接続されているか、UDP 経由で到達可能なホストとして識別されたデバイスには、インターネットに接続するフラグが設定されます。 Defender for Endpoint では、次の 2 つのデータ ソースが使用されます。

構成されたファイアウォール ポリシー (ホスト ファイアウォール規則またはエンタープライズ ファイアウォール規則) で受信インターネット通信が許可されている場合、デバイスにフラグを設定できます。 ファイアウォール ポリシーを理解し、インターネットに意図的に接続しているデバイスと、organizationを侵害する可能性のあるデバイスを区別すると、外部攻撃対象領域をマッピングするための重要な情報が提供されます。

インターネットに接続しているデバイスを表示する

Microsoft Defender ポータルでインターネットに接続されているデバイスを表示するには:

1. Microsoft Defender ポータルの [Assets>Device] に移動します。

   

2. [タグ] 列で、インターネットに接続しているタグを持つデバイスを探します。

3. タグにカーソルを合わせると、タグが適用された理由が表示されます。

   • このデバイスは外部スキャンによって検出されました
   • このデバイスは外部の受信通信を受信しました

ページの上部には、インターネットに接続していると識別され、セキュリティが低い可能性があるデバイスの数を示すカウンターを表示できます。

インターネットに接続するデバイスのフィルター

フィルターを使用して、インターネットに接続するデバイスに焦点を当て、発生する可能性があるリスクを調査します。

インターネットに接続するデバイス タグもMicrosoft Defender 脆弱性の管理に表示され、Microsoft Defender ポータルの脆弱性とセキュリティに関する推奨事項ページからインターネットに接続するデバイスをフィルター処理できます。

インターネットに接続しているデバイスを調査する

インターネットに接続するデバイスに関する詳細情報を表示するには、デバイス インベントリでデバイスを選択してポップアップ ウィンドウを開きます。

ポップアップには、次のものが含まれます。

高度なハンティング クエリを使用する

高度なハンティング クエリを使用して、organization内のインターネットに接続されているデバイスの可視性と分析情報を取得します。

インターネットに接続するすべてのデバイスを取得する

このクエリを使用して、インターネットに接続しているすべてのデバイスを検索します。

// Find all devices that are internet-facing
DeviceInfo
| where Timestamp > ago(7d)
| where IsInternetFacing
| extend InternetFacingInfo = AdditionalFields
| extend InternetFacingReason = extractjson("$.InternetFacingReason", InternetFacingInfo, typeof(string)), InternetFacingLocalPort = extractjson("$.InternetFacingLocalPort", InternetFacingInfo, typeof(int)), InternetFacingScannedPublicPort = extractjson("$.InternetFacingPublicScannedPort", InternetFacingInfo, typeof(int)), InternetFacingScannedPublicIp = extractjson("$.InternetFacingPublicScannedIp", InternetFacingInfo, typeof(string)), InternetFacingLocalIp = extractjson("$.InternetFacingLocalIp", InternetFacingInfo, typeof(string)),   InternetFacingTransportProtocol=extractjson("$.InternetFacingTransportProtocol", InternetFacingInfo, typeof(string)), InternetFacingLastSeen = extractjson("$.InternetFacingLastSeen", InternetFacingInfo, typeof(datetime))
| summarize arg_max(Timestamp, *) by DeviceId

このクエリは、インターネットに接続するデバイスごとに次のフィールドを返します。

受信接続に関する情報を取得する

TCP 接続の場合は、 DeviceNetworkEvents に対してクエリを実行することで、デバイスでリッスンしているとして識別されるアプリケーションまたはサービスに関する分析情報を取得します。

上記のクエリで関連する接続が提供されない場合は、ソケット コレクション メソッドを使用してソース プロセスを取得できます。 これを行うために使用できるさまざまなツールと機能の詳細については、次を参照してください。

• Defender for Endpoint のライブ応答
• Microsoft ネットワーク モニター
• Windows 用 Netstat

レポートの不正確さ

デバイスにインターネットに接続する情報が正しくない場合は、不正確な情報を報告できます。

1. [デバイス インベントリ] ページからデバイス ポップアップを開きます。
2. [ レポート デバイスの不正確さ] を選択します。
3. [ 不正確なパーツ ] ドロップダウンで、[ デバイス情報] を選択します。
4. [ どの情報が不正確か ] で、ドロップダウンから [インターネットに接続する分類 ] チェック ボックスをオンにします。
5. 正しい情報の内容に関する要求された詳細を入力します。
6. メール アドレスを指定します (省略可能)。
7. [ レポートの送信] を選択します。

関連記事

• Microsoft Defender for Endpoint アラート キューを表示して整理する
• Microsoft Defender for Endpoint アラートを管理する
• Microsoft Defender for Endpointアラートを調査する
• Defender for Endpoint アラートに関連付けられているファイルを調査する
• Defender for Endpoint アラートに関連付けられている IP アドレスを調査する
• Defender for Endpoint アラートに関連付けられているドメインを調査する
• Defender for Endpoint でユーザー アカウントを調査する
• セキュリティに関する推奨事項
• ソフトウェア インベントリ