Microsoft Defender for Cloud でアラートを検証する

この記事では、脅威を監視して対応できるように、システムがMicrosoft Defender for Cloudアラート用に構成されていることを検証する方法について説明します。

セキュリティの警告とは何か

アラートは、リソースに対する脅威を検出したときに Defender for Cloud によって生成される通知です。 Defender for Cloudはアラートを重大度でランク付けし、重要な詳細をリストアップします。 この情報を活用して、各問題を素早く調査できます。 Defender for Cloudは攻撃の修復を支援する手順も提供しています。

詳細については、Defender for Cloud のセキュリティ アラートおよびセキュリティ アラートの管理と対応に関するページを参照してください。

前提条件

すべてのアラートを受信するには、マシンと接続された Log Analytics ワークスペースが同じテナントに存在する必要があります。

サンプル セキュリティ アラートを生成する

新しいプレビューアラート体験を使う場合は、Azureポータルのセキュリティアラートページからサンプルアラートを作成できます。 詳細については、「Microsoft Defender for Cloudのセキュリティアラートの管理と応答」をご覧ください。

サンプル アラートを作成する

アラートのサンプルを使用して次の作業を行います。

  • Microsoft Defender プランの価値と機能を評価する。
  • セキュリティ情報とイベント管理 (SIEM) の統合、ワークフローの自動化、電子メール通知など、セキュリティ アラートに対して行った構成を検証します。

アラートのサンプルを作成するには:

  1. サブスクリプション共同作成者ロールを持つユーザーとして、セキュリティ アラート ページのツール バーから [Sample alerts] (サンプル アラート) を選びます。
  2. サブスクリプションを選択します。
  3. アラートを表示する関連する Microsoft Defender プランを選択します。
  4. [アラートのサンプルの作成] を選択します。

Microsoft Defender for Cloud でサンプル アラートを作成する手順を示すスクリーンショット。

アラート のサンプルが作成されていることを知らせる通知が表示されます。

アラートのサンプルが生成されていることを示す通知を示すスクリーンショット。

数分後、サンプルアラートがセキュリティアラートページに表示されます。 サンプルアラートは、Microsoft Defender for Cloudのセキュリティアラートを受け取るために設定した他の場所(接続されたSIEM、メール通知など)にも表示されます。

セキュリティ アラートの一覧でのアラートのサンプルを示すスクリーンショット。

ヒント

このアラートは、シミュレートされたリソースを対象とします。

Azure仮想マシン (VM) でアラートをシミュレートする (Windows)

開始する前に次の点を確認します。

  • Defender for Endpointエージェントは、Defender for Serversを通じてあなたのマシンにインストールされます。
  • Microsoft Defender for Endpoint Real-Time 保護がオンになっています。 この設定を確認するには、「Microsoft Defender Antivirusでリアルタイム保護の設定」をご覧ください。

テストしたいマシンで、昇格されたコマンドプロンプトを開き、スクリプトを実行します:

  1. [スタート] に移動し、「cmd」と入力します。

  2. [コマンド プロンプト] を右クリックし、[管理者として実行] を選択します。

    [管理者として実行] を選択する場所を示すスクリーンショット。

  3. 次のコマンドをコピーし、プロンプトで実行します。powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\test-MDATP-test\invoice.exe');Start-Process 'C:\test-MDATP-test\invoice.exe'

  4. コマンド プロンプト ウィンドウは自動的に閉じます。 成功すると、10 分後に [Defender for Cloud Alerts] (Defender for Cloud アラート) ブレードに新しいアラートが表示されます。

  5. PowerShell ボックスのメッセージ行が、ここに示すものと同様に表示されます。

    PowerShell メッセージ行を示すスクリーンショット。

あるいは、EICARテスト文字列を使ってWindowsでアラートをシミュレートすることもできます。 テキスト ファイルを作成し、EICAR 行を貼り付けて、ファイルを実行可能ファイルとしてコンピューターのローカル ドライブに保存します。

Azure仮想マシン (VM) でアラートをシミュレートする (Linux)

開始する前に次の点を確認します。

  • Microsoft Defender for Endpointエージェントは、Defender for Serversの統合の一部としてあなたのマシンにインストールされています。
  • Microsoft Defender for Endpoint Real-Time 保護を有効にして動作します。 この設定を確認するには、「Microsoft Defender ウイルス対策でリアルタイム保護を構成する。

攻撃された資源をシミュレートしたいマシンでは、以下の手順に従ってください。

  1. ターミナル ウィンドウを開き、次のコマンドをコピーして実行します。curl -O https://secure.eicar.org/eicar.com.txt
  2. ターミナルウィンドウは自動的に閉じる。 成功した場合、10分以内にDefender for Cloud Alertsのブレードに新しいアラートが表示されます。

Kubernetes でアラートをシミュレートする

Defender for Containersはクラスタやクラスタノードのアラートを作成します。 制御プレーン(APIサーバー)とコンテナワークロードの両方を監視します。

Defender for Containersのコントロールプレーンおよびコンテナ化ワークロードのアラートをシミュレートするには、Kubernetesアラートシミュレーションツールを使用してください。

詳しくは「Microsoft Defender for Containers」をご覧ください。

App Service のアラートをシミュレートする

App Service で実行されているリソースのアラートをシミュレートできます。

  1. 新しい Web サイトを作成し、Defender for Cloud に登録されるまで 24 時間待つか、既存の Web サイトを使用します。
  2. Web サイトが作成されたら、次の URL を使用してアクセスします。

    1. App Service リソース ペインを開き、既定のドメイン フィールドから URL のドメインをコピーします。

      既定のドメインをコピーする場所を示すスクリーンショット。

    2. Web サイト名を URL にコピーします。https://<website-name>.azurewebsites.net/This_Will_Generate_ASC_Alert

  3. アラートは約 2 ~ 4 時間以内に生成されます。

Storage 高度な脅威保護 (ATP) のアラートをシミュレートする

ストレージのMicrosoft Defenderの脅威検出を検証するには、次の手順を実行します。

  1. Azure Defender for Storage が有効になっているストレージ アカウントに移動します。

  2. サイド バーで [コンテナー] タブを選びます。

    コンテナーを選ぶために移動する場所を示すスクリーンショット。

  3. 既存のコンテナーに移動するか、新しく作成します。

  4. ファイルをそのコンテナーにアップロードします。 機密データが含まれる可能性のあるファイルはアップロードしないでください。

    コンテナーにファイルをアップロードする場所を示すスクリーンショット。

  5. アップロードしたファイルを右クリックし、[SAS の生成] を選びます。

  6. [SAS トークンおよび URL を生成] ボタンを選択します (オプションを変更する必要はありません)。

  7. 生成された SAS URL をコピーします。

  8. Tor ブラウザーのダウンロード ページを開き、Tor ブラウザーをインストールします。

  9. Tor ブラウザーで SAS URL に移動します。 これで、アップロードしたファイルが表示され、ダウンロードできるようになります。

アプリサービス(EICAR)のアラートをシミュレート

アプリ サービス EICAR アラートをシミュレートするには:

  1. App Services Web サイトの [Azure portal] ブレードに移動するか、この Web サイトに関連付けられているカスタム DNS エントリを使用して、Web サイトの HTTP エンドポイントを見つけます。 (Azure アプリ Services Web サイトの既定の URL エンドポイントには サフィックス https://XXXXXXX.azurewebsites.net が付きます)。 Web サイトは、アラート シミュレーションの前に作成された Web サイトではなく、既存の Web サイトである必要があります。
  2. App Services Web サイトの Azure portal ブレードに移動するか、この Web サイトに関連付けられているカスタム DNS エントリを使用して、Web サイトの HTTP エンドポイントを見つけます。 (Azure アプリ Services Web サイトの既定の URL エンドポイントには サフィックス https://XXXXXXX.azurewebsites.net が付きます)。 Web サイトは、アラート シミュレーションの前に作成された Web サイトではなく、既存の Web サイトである必要があります。
  3. Web サイトの URL を参照し、固定サフィックス /This_Will_Generate_ASC_Alert を追加します。 URL は次のようになります: https://XXXXXXX.azurewebsites.net/This_Will_Generate_ASC_Alert。 アラートが生成されるまでに時間がかかる場合があります (最大 1.5 時間)。

Azure Key Vault 脅威検出を検証する

Azure Key Vaultの脅威検出を検証するには、Azureポータルを使ってキーボールトを作成し、以下の手順に従ってください:

前提条件

検証ステップ

Azure Key Vault の脅威検出を検証するには:

  1. キー コンテナーとシークレットを作成したら、インターネットにアクセスできる VM に移動し、TOR Browser をダウンロードします。
  2. TOR Browser を VM にインストールします。
  3. インストール後に、常用のブラウザーを開き、Azure portal にサインインして、キー コンテナーのページにアクセスします。 強調表示されている URL を選択し、アドレスをコピーします。
  4. TOR を開き、この URL を貼り付けます (Azure portal にアクセスするには、もう一度認証する必要があります)。
  5. アクセス後に、左側のウィンドウで [シークレット] オプションを選ぶこともできます。
  6. TOR Browser で、Azure portal からサインアウトし、ブラウザーを閉じます。
  7. しばらくすると、Defender for Key Vault によって、この疑わしいアクティビティに関する詳細情報を含むアラートがトリガーされます。

関連するコンテンツ

Defender for Cloudのアラートと脅威検出について詳しくはこちらをご覧ください:

  • Last updated on