Microsoft Defender for IoT アラート

[アーティクル]
02/22/2024

Microsoft Defender for IoT アラートは、ネットワークのログに記録されるイベントに関するリアルタイムの詳細情報を使用して、ネットワークのセキュリティと運用を強化します。注意が必要なネットワークトラフィック内の変化や疑わしいアクティビティが OT ネットワークセンサーによって検出されると、アラートがトリガーされます。

次に例を示します。

[アラート] ページまたはアラートの詳細ページに表示される詳細情報を使用して、アラートをトリガーした関連デバイスまたはネットワークプロセスで、ネットワークに対するリスクを修復するアクションを調べて実行します。

ヒント

アラートの修復手順を使用すると、可能性のある問題と解決策を SOC チームが理解するのに役立ちます。アラートの状態を更新したり、デバイスまたはネットワークでアクションを実行したりする前に、推奨される修復手順を確認することをお勧めします。

アラート管理オプション

Defender for IoT アラートは、Azure portal、OT ネットワークセンサーコンソール、オンプレミス管理コンソールで使用できます。 Enterprise IoT セキュリティでは、Microsoft 365 Defender で Defender for Endpoint が検出した Enterprise IoT デバイスでもアラートを使用できます。

アラートの詳細の表示、アラートコンテキストの調査、およびこれらの場所でのアラート状態のトリアージと管理を行うことができると同時に、各場所には追加のアラートアクションも用意されています。次の表では、各場所でサポートされるアラートと、その場所でのみ使用できる追加のアクションについて説明します。

場所	説明	追加のアラートアクション
Azure Portal	クラウドに接続されているすべての OT センサーからのアラート	- 関連する MITRE ATT&CK の戦術と手法を表示する - すぐに利用できるブックを使用して優先度の高いアラートを可視化する - Microsoft Sentinel からのアラートを表示し、Microsoft Sentinel プレイブックとブックを使用してより詳細な調査を実行する。
OT ネットワークセンサーコンソール	その OT センサーによって生成されるアラート	- アラートのソースと宛先をデバイスマップに表示する - 関連するイベントをイベントタイムラインに表示する - アラートをパートナーベンダーに直接転送する - アラートコメントを作成する - カスタムアラートルールを作成する - アラートの学習を取り消す
オンプレミスの管理コンソール	接続された OT センサーによって生成されるアラート	- アラートをパートナーベンダーに直接転送する -アラートの除外ルールを作成する
Microsoft 365 Defender	Microsoft Defender for Endpoint が検出したエンタープライズ IoT デバイスに対して生成されたアラート	- 高度なハンティングを含む他の Microsoft 365 Defender データと共にアラートデータを管理する

ヒント

同じ種類、状態、アラートプロトコル、関連デバイスで 10 分間以内に同じゾーン内の異なるセンサーから生成されたアラートは、単一の統合されたアラートとして一覧表示されます。

10 分の時間枠は、アラートの "最初の検出" 時間に基づきます。
単一の統合されたアラートには、アラートを検出したすべてのセンサーが一覧表示されます。
アラートは、デバイスプロトコルではなく、"アラート" プロトコルに基づいて結合されます。

詳細については、以下を参照してください:

アラートオプションは、場所とユーザーロールによっても異なります。詳細については、Azure ユーザーロールとアクセス許可およびオンプレミスのユーザーとロールに関する記事を参照してください。

OT/IT 環境での集中アラート

OT と IT ネットワークの間にセンサーが展開されている組織では、OT と IT の両方のトラフィックに関連する多くのアラートが処理されます。アラートの量 (一部は無関係) は、アラートの疲労を引き起こし、全体的なパフォーマンスに影響を与える可能性があります。これらの課題に対処するために、Defender for IoT の検出ポリシーは、さまざまなアラートエンジンを使用して、ビジネスに影響を与え、OT ネットワークに関連するアラートに集中し、価値の低い IT 関連のアラートを減らします。たとえば、未承認のインターネット接続アラート は OT ネットワークに非常に関連しますが、IT ネットワークでは比較的低い値を持っています。

これらの環境でトリガーされるアラートに焦点を当てるには、マルウェア エンジンを除くすべてのアラートエンジンが、関連する OT サブネットまたはプロトコルを検出した場合にのみアラートをトリガーします。ただし、重要なシナリオを示すアラートのトリガーを維持するには:

マルウェア エンジンは、アラートが OT デバイスと IT デバイスのどちらに関連しているかに関係なく、マルウェアアラートをトリガーします。
その他のエンジンには、重要なシナリオの例外が含まれます。たとえば、運用エンジンは、アラートが OT トラフィックと IT トラフィックのどちらに関連しているかに関係なく、センサートラフィックに関連するアラートをトリガーします。

ハイブリッド環境での OT アラートの管理

ハイブリッド環境で作業しているユーザーは、Azure portal、OT センサー、オンプレミスの管理コンソールで Defender for IoT の OT アラートを管理している可能性があります。

Note

センサーコンソールにはアラートの [最後の検出] フィールドがリアルタイムで表示されますが、Azure portal の Defender for IoT では、更新された時刻が表示されるまでに最大 1 時間かかる場合があります。ここでは、センサーコンソールの最後の検出時刻が Azure portal の最後の検出時刻と同じではないシナリオについて説明します。

それ以外の場合、アラートの状態は、Azure portal と OT センサーの間、およびセンサーとオンプレミスの管理コンソールの間で完全に同期されます。つまり、Defender for IoT でアラートを管理する場所に関係なく、アラートは他の場所でも更新されます。

センサーまたはオンプレミスの管理コンソールでアラートの状態を [終了] または [ミュート] に設定すると、Azure portal でアラートの状態が [終了] に更新されます。オンプレミスの管理コンソールでは、[終了] アラートの状態は [確認済み] と呼ばれます。

ヒント

Microsoft Sentinel を使用している場合は、Microsoft Sentinel ともアラートの状態が同期するように統合を構成し、関連する Microsoft Sentinel インシデントと共にアラートの状態を管理することをお勧めします。

詳細については、「チュートリアル: IoT デバイスの脅威の調査と検出」を参照してください。

Enterprise IoT アラートと Microsoft Defender for Endpoint

Microsoft 365 Defender で Enterprise IoT セキュリティを使用している場合、Microsoft Defender for Endpoint によって検出された Enterprise IoT デバイスのアラートは、Microsoft 365 Defender でのみ使用できます。 Microsoft Defender for Endpoint からのネットワークベースの検出の多くは、マネージドエンドポイントを含むスキャンによってトリガーされるアラートなど、エンタープライズ IoT デバイスに関連しています。

詳細については、「企業での IoT デバイスのセキュリティ保護」と「Microsoft 365 Defender のアラートキュー」を参照してください。

OT アラートワークフローの高速化

最初の検出から 90 日後までに同一のトラフィックが検出されなければ、新しいアラートは自動的に閉じられます。最初の 90 日間に同じトラフィックが検出されたると、90 日のカウントはリセットされます。

既定の動作に加え、SOC および OT 管理チームがより迅速にアラートをトリアージして修復できるように支援することができます。 OT センサーまたはオンプレミスの管理コンソールに管理者ユーザーとしてサインインして、次のオプションを使用します。

カスタムアラートルールを作成する。 OT センサーのみ。

カスタムアラートルールを追加して、すぐに使用できる機能では対応できないネットワーク上の特定のアクティビティに対するアラートをトリガーします。

たとえば、MODBUS を実行する環境では、特定の IP アドレスとイーサネットの宛先でメモリレジスタに対して書き込まれたコマンドを検出するためのルールを追加できます。

詳細については、「OT センサーでカスタムアラートルールを作成する」を参照してください。
アラートコメントを作成する。 OT センサーのみ。

他の OT センサーユーザーが個々のアラートに追加できる一連のアラートコメントを作成します。たとえば、カスタムの軽減策の手順、他のチームメンバーへの伝達事項、イベントに関するその他の分析情報や警告などの詳細を記載します。

チームメンバーは、アラートの状態をトリアージして管理するときに、これらのカスタムコメントを再利用できます。アラートコメントは、アラートの詳細ページのコメント領域に表示されます。次に例を示します。

詳細については、「OT センサーでアラートコメントを作成する」を参照してください。
アラート除外ルールを作成する。オンプレミスの管理コンソールのみ。

オンプレミスの管理コンソールを使用している場合は、特定の条件を満たす複数のセンサー間のイベントを無視するアラートの除外ルールを定義します。たとえば、特定のメンテナンス期間中に無関係なアラートをトリガーするイベントをすべて無視するアラートの除外ルールを作成できます。

除外ルールによって無視されるアラートは、Azure portal、センサー、オンプレミスの管理コンソール、イベントログには表示されません。

詳細については、「オンプレミス管理コンソールでアラート除外ルールを作成する」を参照してください。
アラートデータをパートナーシステムに転送する。パートナーの SIEM、syslog サーバー、指定されたメールアドレスなどに転送します。

OT センサーとオンプレミス管理コンソールの両方でサポートされます。詳細については、「アラート情報を転送する」を参照してください。

アラートの状態とトリアージオプション

次のアラートの状態とトリアージオプションを使用して、Defender for IoT 全体でアラートを管理します。

アラートをトリアージする場合、一部のアラートは有効なネットワーク変更を反映している可能性があることを考慮してください。たとえば、承認されたデバイスが別のデバイスの新しいリソースにアクセスを試みている場合などです。

OT センサーとオンプレミス管理コンソールからのトリアージオプションは OT アラートでのみ使用可能ですが、Azure portal で使用できるオプションは、OT と Enterprise IoT の両方のアラートで使用できます。

各アラートの状態とトリアージオプションの詳細については、次の表を参照してください。

状態/トリアージアクション	利用可能	説明
New	- Azure portal - OT ネットワークセンサー - オンプレミスの管理コンソール	"新規" アラートとは、チームによってトリアージや調査がまだ行われていないアラートのことです。同じデバイスで検出された新しいトラフィックは、新規アラートを生成しませんが、既存のアラートに追加されます。オンプレミスの管理コンソールでは、"新規" アラートは "未確認" と呼ばれます。注: 同じ名前の複数の "新規" ("未確認") アラートが表示される場合があります。このような場合、個別の各アラートは、異なるセットのデバイスで個別のトラフィックによってトリガーされます。
アクティブ	- Azure portal のみ	アラートを [有効] に設定すると、調査が進行中であり、まだアラートを閉じたり、トリアージしたりできないことが示されます。この状態は、Defender for IoT の他の場所には影響しません。
クローズ	- Azure portal - OT ネットワークセンサー - オンプレミスの管理コンソール	アラートを閉じると、完全な調査が行われたこと、および次回同じトラフィックが検出されたときにアラートを再度受け取ることが示されます。アラートを閉じると、センサーイベントタイムラインに追加されます。オンプレミスの管理コンソールでは、"終了" アラートは "確認済み" と呼ばれます。
Learn	- Azure portal - OT ネットワークセンサー - オンプレミスの管理コンソールアラートの "学習の取り消し" は、OT センサーでのみ使用できます。	アラートの学習は、アラートを閉じて、許可されたトラフィックとして追加し、次に同じトラフィックが検出されたときに再びアラートを受け取らないようにするときに行います。たとえば、センサーが標準のメンテナンス手順に従ってファームウェアのバージョンの変更を検出したときや、予期される新しいデバイスがネットワークに追加されたときなどです。アラートを学習すると、アラートが閉じられ、センサーイベントタイムラインに項目が追加されます。検出されたトラフィックはデータマイニングレポートに組み込まれますが、他の OT センサーレポートを計算する際には含められません。アラートの学習は、選択したアラートに対してのみ使用できます。ほとんどの場合、"ポリシー" および "異常" エンジンのアラートによってトリガーされるものです。
Mute	- OT ネットワークセンサー - オンプレミスの管理コンソールアラートの "ミュート解除" は、OT センサーでのみ使用できます。	アラートのミュートは、アラートを閉じて、同じトラフィックに対して再度表示しないときに行いますが、アラート許可トラフィックは追加しません。たとえば、オペレーションエンジンが、デバイスで PLC モードが変更されたことを示すアラートをトリガーしたときに、新しいモードは PLC がセキュリティで保護されていないことを示している可能性がありますが、調査後は、新しいモードが許容可能であると判断されます。アラートをミュートするとアラートは閉じられますが、センサーイベントタイムラインに項目は追加されません。検出されたトラフィックはデータマイニングレポートに組み込まれますが、他のセンサーレポートのデータを計算する際には含められません。アラートのミュートは、選択されたアラート (主に "異常"、"プロトコル違反"、または "操作" エンジンによってトリガーされるもの) でのみ使用できます。