MDEで検知されたファイルを収集する方法について

Question

検疫されてしまったファイルをMDE の検索窓にSHA1を入力してファイルをダウンロードする方法と、アラートのストーリーからファイルの収集を行う方法では採取されるものは違いますか？

ファイルが確認できれば、ライブ応答でgetfileできると思いますが、dirしても見れません。

他に検疫されたファイルを収集する方法があったら教えてください。

よろしくお願いします。

Answer 1

こんにちはOJ、

私はセグンフンミ、独立したアドバイザーであり、あなたのようなマイクロソフトユーザーです。このフォーラムにクエリを投稿していただきありがとうございます。

はい、MDE 検索ウィンドウに「SHA1」と入力して検疫済みファイルをダウンロードすることと、アラート ストーリーからファイルを収集することには違いがあります。

特定の検疫済みファイルを検索する場合は、Microsoft 365 Defender のいくつかの場所を確認できます。 アラート - アーティファクト タイムラインまたは検索ボックスの [説明] または [詳細] から対応するリンクを選択します - ドロップダウン メニューから [ファイル] を選択し、ファイル名を入力します。

クエリ結果の DeviceId 列で識別されるデバイスに対してさまざまなアクションを実行することもできます。 影響を受けるデバイスを隔離して感染を封じ込めるか、攻撃が横方向に移動するのを防ぎます。 調査パッケージを収集して、より多くのフォレンジック情報を取得します。 ウイルス対策スキャンを実行して、最新のセキュリティ インテリジェンス更新プログラムを使用して脅威を検出および削除します。 自動調査を開始して、デバイスおよび場合によっては他の影響を受けるデバイスの脅威を確認および修復します。 アプリの実行を Microsoft が署名した実行可能ファイルのみに制限し、マルウェアやその他の信頼されていない実行可能ファイルによる後続の脅威アクティビティを防止します。

高度な捜索を使用してデバイスに対してアクションを実行するには、デバイスで修復アクションを送信するアクセス許可を持つエンドポイント用 Microsoft Defender のロールが必要です。アクションを実行できない場合は、グローバル管理者に問い合わせて、次のアクセス許可の取得について問い合わせてください。 アクティブな修復アクション > 脅威と脆弱性の管理 - 修復処理。

また、以下のリンクにアクセスして、さらにサポートを受けることもできます。 https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/download-quarantined-files-now-generally-available/ba-p/2581160

これがお役に立てば幸いです。他に知りたいことはありますか?

敬具 セグンフンミ

この回答は自動翻訳されています。文法や表現の誤りが発生した場合はご容赦ください。