イベントタイムラインでネットワークとセンサーのアクティビティを追跡する

[アーティクル]
04/21/2023

Microsoft Defender for IoT センサーによって検出されたアクティビティは、イベントタイムラインに記録されます。アクティビティには、アラートとアラート管理アクション、ネットワークイベント、ユーザーサインインやユーザーの削除などのユーザー操作が含まれます。

OT センサーのイベントタイムラインによって、インシデントの原因と影響の特定に役立つ、すべてのネットワークアクティビティの時系列ビューとコンテキストが提供されます。タイムラインビューを使用すると、ネットワークイベントから情報を簡単に抽出し、ネットワーク上で観察されたアラートやイベントをより効率的に分析できます。膨大な量のデータを格納できるイベントタイムラインビューは、セキュリティチームが調査を実行し、ネットワークアクティビティをより深く理解するための貴重なリソースになる可能性があります。

調査中にイベントタイムラインを使用して、攻撃またはインシデントの前後に発生した一連のイベントを解釈して分析します。同じタイムライン上の複数のセキュリティ関連イベントを一元的に表示することで、パターンと相関関係を特定し、セキュリティチームがインシデントの影響をすばやく評価し、それに応じて対応できるようになります。

詳細については、次を参照してください。

アクセス許可

この記事で説明する手順を実行する前に、OT センサーに管理者または セキュリティ ロールとしてアクセスできることを確認してください。詳細については、Defender for IoT を使用した OT 監視のためのオンプレミスのユーザーとロールに関するページを参照してください。

イベントタイムラインを表示する

センサーコンソールにサインインし、左側のメニューから [イベントタイムライン] を選択します。
必要に応じてイベントを確認し、フィルター処理します。
イベント行を選択すると、右側のウィンドウにイベントの詳細が表示されます。ここで、フィルター処理して関連デバイスのイベントを表示することもできます。 [ユーザー操作] フィルターは既定でオンになっています。必要に応じて、ユーザーイベントを非表示または表示するように選択できます。

次に例を示します。

また、[デバイスインベントリ] から特定のデバイスのイベントタイムラインを表示することもできます。

特定のデバイスのイベントタイムラインを表示するには:

センサーコンソールで、[デバイスインベントリ] に移動します。
特定のデバイスを選択してデバイスの詳細ウィンドウを開き、[すべての詳細を表示] を選択してデバイスのプロパティページを開きます。
[イベントタイムライン] タブを選択して、このデバイスに関連付けられているすべてのイベントを表示し、必要に応じてイベントをフィルター処理します。

次に例を示します。

タイムライン上のイベントをフィルター処理する

イベントタイムラインページで、[フィルターの追加] を選択して、表示されるイベントを指定します。

フィルターの [種類] を選択します。次のいずれかのオプションを使用して、表示されるデバイスをフィルター処理します。

型	説明
ユーザーの操作	このフィルターは既定でオンになっています。ユーザー操作イベントを表示または非表示にすることを選択します。
日付	特定の日付範囲内のイベントを検索します。
デバイスグループ	デバイスマップで定義されたグループで特定のデバイスをフィルター処理します。
イベントの重大度	[アラートのみ]、[アラートと通知]、または [すべてのイベント] を表示します。
デバイスの除外	除外するデバイスを検索してフィルター処理します。
デバイスを含める	含めるデバイスを検索してフィルター処理します。
イベントの種類を除外する	除外する特定のイベントの種類を検索してフィルター処理します。
イベントの種類を含める	含める特定のイベントの種類を検索してフィルター処理します。
キーワード	特定のキーワードでイベントをフィルター処理します。

[適用] を選択してフィルターを設定します。

CSV にイベントタイムラインをエクスポートする

イベントタイムラインを CSV ファイルにエクスポートできます。エクスポートされたデータは、エクスポート時に適用されるフィルターに従います。

イベントタイムラインをエクスポートするには:

[イベントタイムライン] ページで、上部のメニューから [エクスポート] を選択して、イベントタイムラインを CSV ファイルにエクスポートします。

イベントの作成

センサーによって検出されたイベントを表示するだけでなく、タイムラインにイベントを手動で追加することもできます。このプロセスが役立つのは、お使いのネットワークに外部システムのイベントによる影響があり、それをタイムラインに記録する場合です。

[イベントタイムライン] ページで、[イベントの作成] を選択します。
[イベントの作成] ダイアログで、次のイベントの詳細を追加します。
- [種類] 。イベントの種類 (情報、通知、またはアラート) を指定します。
- Timestamp。イベントの日付と時刻を設定します。
- デバイス。イベントが接続されるデバイスを選択します。
- 説明。イベントの説明を入力します。
[保存] を選択して、タイムラインにイベントを追加します。

次に例を示します。

イベントタイムラインの容量

イベントタイムラインに格納できるデータの量は、ネットワークのサイズ、イベントの頻度、センサーのストレージ容量など、さまざまな要因によって異なります。イベントタイムラインに格納されているデータには、ネットワークトラフィック、セキュリティイベント、およびその他の関連データポイントに関する情報を含めることができます。

イベントタイムラインに表示されるイベントの最大数は、センサーのインストール時に選択されたハードウェアプロファイルによって異なります。各ハードウェアプロファイルには、イベントの最大容量があります。各ハードウェアプロファイルの最大イベント容量の詳細については、「OT イベントタイムラインの保持」を参照してください。

次の手順

詳細については、次を参照してください。

イベント タイムラインでネットワークとセンサーのアクティビティを追跡する

アクセス許可

イベント タイムラインを表示する