Defender for Cloudは、マルチクラウド環境における潜在的な攻撃経路を特定するために独自のアルゴリズムを使用しています。 攻撃者が悪用できる実際の外部脅威に焦点を当てており、広範なシナリオに焦点を当てていません。 アルゴリズムは組織外から始まる攻撃経路を見つけ、重要なターゲットに至ります。 これにより、雑音をかき分けて迅速に行動できます。
攻撃経路分析を活用することで、最大のリスクをもたらすセキュリティ問題を見つけて修正できます。 Defender for Cloudは、攻撃者が環境に侵入するために利用する可能性のある露出した攻撃経路の一部である問題を示します。 Defender for Cloudは解決すべき推奨事項も強調しています。
デフォルトでは、攻撃経路はリスクレベルごとに分類されています。 リスクエンジンは各リソースのリスク要因をレビューし、その優先度を設定します。 Defender for Cloudが推奨事項をどのようにランク付けするかの詳細は、「リスク優先順位付け」をご覧ください。
前提条件
始める前に、環境が以下の要件を満たしているか確認してください:
Defender Cloud Security Posture Management(CSPM)を有効にし、エージェントレススキャンを有効にしてください。
必要なロールとアクセス許可: セキュリティ閲覧者、セキュリティ管理者、閲覧者、共同作成者、または所有者。
注
攻撃経路のページが空いているのが見えるかもしれません。 攻撃経路は現在、悪用可能な実際の外部脅威に焦点を当てています。 この焦点はノイズを減らし、緊急のリスクを浮き彫りにします。
コンテナに関連する攻撃経路を見るには:
コンテナ関連の攻撃経路を見るには、以下のいずれかの設定オプションを実行してください:- Defender CSPMでエージェントレスコンテナのポスチャー拡張を有効にする。 - Defender for Containersを有効にし、関連するエージェントをインストールしてください。 このオプションでは 、クラウドセキュリティエクスプローラーでコンテナデータプレーンのワークロードをクエリすることも可能です。
- 必要なロールとアクセス許可: セキュリティ閲覧者、セキュリティ管理者、閲覧者、共同作成者、または所有者。
攻撃パスを特定する
攻撃パス分析を使用して、環境に対する最大のリスクを特定し、修復することができます。
攻撃パス ページには、すべての攻撃パスの概要が表示されます。 また、影響を受けるリソースと、アクティブな攻撃パスの一覧を確認することもできます。
Azure portal で攻撃パスを識別するには:
Azure portal にサインインする
Microsoft Defender for Cloud>攻撃経路分析に移動します。
攻撃パスを選択します。
ノードを選択します。
注
アクセス許可が制限されている場合 (特にサブスクリプション間で)、完全な攻撃パスの詳細が表示されない場合があります。 これは、機密データを保護するために設計された予期される動作です。 すべての詳細を表示するには、必要なアクセス許可があることを確認します。
[分析情報] を選択して、そのノードに関連付けられている分析情報を表示します。
![特定のノードの [分析情報] タブのスクリーンショット。](media/how-to-manage-attack-path/insights.png)
[推奨事項] を選択します。
レコメンデーションを選択します。
![特定のノードの [分析情報] タブのスクリーンショット。](media/how-to-manage-attack-path/insights.png#lightbox)
Defender ポータルで攻撃パスを識別するには:
Microsoft Defender ポータルにサインインします。
Exposure Management>攻撃面>攻撃経路に移動します。 攻撃パスの概要が表示されます。
攻撃パス エクスペリエンスでは、次の複数のビューが提供されます。
- [概要] タブ: 時間の経過に伴う攻撃パス、上位 5 つのチョーク ポイント、上位 5 つの攻撃パス シナリオ、上位ターゲット、上位エントリ ポイントを表示する
- 攻撃パスの一覧: 高度なフィルター機能を備えた、すべての攻撃パスの動的でフィルター可能なビュー
- チョーク ポイント: 複数の攻撃パスが収束し、リスクの高いボトルネックとしてフラグが設定されたノードの一覧
注
Defender ポータルでは、攻撃パス分析は広範な露出管理機能の一部であり、他の Microsoft セキュリティ ソリューションとの統合が強化され、インシデントの相関関係が統一されます。
[ 攻撃パス ] タブを選択します。
[攻撃パス] リストの高度なフィルター処理を使用して、特定の攻撃パスに焦点を当てます。
- リスク レベル: 高、中、または低リスクの攻撃パスでフィルター処理する
- 資産の種類: 特定のリソースの種類に焦点を当てる
- 修復状態: 解決済み、進行中、または保留中の攻撃パスを表示する
- 期間: 特定の期間 (過去 30 日間など) でフィルター処理する
攻撃パスを選択して攻撃パス マップを表示します。グラフベースのビューが強調表示されています。
- 脆弱なノード: セキュリティの問題があるリソース
- エントリ ポイント: 攻撃が開始される可能性がある外部アクセス ポイント
- ターゲット資産: 攻撃者が到達しようとしている重要なリソース
- チョーク ポイント: 複数の攻撃パスが交差する収束ポイント
詳細な情報を調査するノードを選択します。
注
アクセス許可が制限されている場合 (特にサブスクリプション間で)、完全な攻撃パスの詳細が表示されない場合があります。 これは、機密データを保護するために設計された予期される動作です。 すべての詳細を表示するには、必要なアクセス許可があることを確認します。
次のようなノードの詳細を確認します。
- MITRE ATT&CK の戦術と手法: 攻撃手法を理解する
- リスク要因:リスクに寄与する環境要因
- 関連する推奨事項: 問題を軽減するためのセキュリティの強化
[分析情報] を選択して、そのノードに関連付けられている分析情報を表示します。
[推奨事項] を選択すると、修復状態の追跡に関する実用的なガイダンスが表示されます。
レコメンデーションを選択します。
攻撃パスが解決された後、攻撃パスが一覧から削除されるまでに最大 24 時間かかることがあります。
攻撃パスを修復する
攻撃経路を調査し、その調査結果や推奨事項を確認した後、修正を始めることができます。
Azure ポータルで攻撃パスを修復するには:
Microsoft Defender for Cloud>攻撃経路分析に移動します。
攻撃パスを選択します。
[修復] を選択します。
レコメンデーションを選択します。
攻撃パスが解決された後、攻撃パスが一覧から削除されるまでに最大 24 時間かかることがあります。
攻撃経路に関するすべての推奨事項を修正する
攻撃経路分析を使えば、攻撃経路の推奨事項を一か所で確認できます。 ノードを一つずつチェックする必要はありません。
推奨には2種類あります:
- 推奨 事項 - 攻撃経路を修正するステップ。
- 追加の推奨 事項 - リスクを下げるが攻撃経路を完全には解決しないステップ。
Azure ポータルですべての推奨事項を解決するには:
Azure portal にサインインする
Microsoft Defender for Cloud>攻撃経路分析に移動します。
攻撃パスを選択します。
[修復] を選択します。
その他の推奨事項を展開します。
レコメンデーションを選択します。
攻撃パスが解決された後、攻撃パスが一覧から削除されるまでに最大 24 時間かかることがあります。
Defender ポータルですべての推奨事項を解決するには:
Microsoft Defender ポータルにサインインします。
露出管理>アタッチ パス分析に移動します。
攻撃パスを選択します。
[修復] を選択します。
注
Defender ポータルでは、修復の進行状況の追跡が強化され、修復アクティビティを広範なセキュリティ操作とインシデント管理ワークフローと関連付けることができます。
その他の推奨事項を展開します。
レコメンデーションを選択します。
攻撃パスが解決された後、攻撃パスが一覧から削除されるまでに最大 24 時間かかることがあります。
露出管理機能の強化
Defender ポータルには、統合された Exposure Management フレームワークを使用した攻撃パス分析用の追加機能が用意されています。
- 統合されたインシデントの相関関係: 攻撃パスは、Microsoft セキュリティ エコシステム全体のセキュリティ インシデントと自動的に関連付けられます。
- 製品間の分析情報: 攻撃パス データは、Microsoft Defender for Endpoint、Microsoft Sentinel、およびその他の Microsoft セキュリティ ソリューションからの結果と統合されています。
- 高度な脅威インテリジェンス: Microsoft 脅威インテリジェンス フィードからのコンテキストが強化され、攻撃パターンとアクターの動作をより深く理解できます。
- 統合された修復ワークフロー: 複数のセキュリティ ツール間で自動応答をトリガーできる、合理化された修復プロセス。
- エグゼクティブ レポート: ビジネスへの影響評価を使用したセキュリティ リーダーシップのための強化されたレポート機能。
これらの機能により、セキュリティ体制のより包括的なビューが提供され、攻撃パス分析によって特定された潜在的な脅威に対するより効果的な対応が可能になります。
Defender for Cloud の 攻撃パス の詳細を確認します。