デバイス タイムラインMicrosoft Defender for Endpoint

適用対象:

• Microsoft Defender for Endpoint Plan 2

注:

Defender for Endpoint を試す場合は、 無料試用版にサインアップしてください。

Defender for Endpoint デバイス タイムラインは、デバイスの異常な動作をより迅速に調査および調査するのに役立ちます。 特定のイベントとエンドポイントを調べて、organization内の潜在的な攻撃を確認できます。 各イベントの特定の時刻を確認したり、接続される可能性のあるイベントのフォローアップにフラグを設定したり、特定の日付範囲にフィルター処理したりできます。

• カスタム時間範囲ピッカー:

  

• プロセス ツリー エクスペリエンス – イベント側パネル:

  

• 複数の関連手法がある場合、すべての MITRE 手法が表示されます。

  

• タイムライン イベントは、新しいユーザー ページにリンクされます。

  

  

• 定義されたフィルターがタイムラインの上部に表示されるようになりました。

  

デバイス タイムラインの手法

特定のデバイスで発生したイベントを分析することで、調査でより多くの洞察を得ることができます。 まず、[デバイス] の一覧から目的のデバイスを選択します。 デバイス ページで、[ タイムライン ] タブを選択して、デバイスで発生したすべてのイベントを表示できます。

タイムラインの手法を理解する

重要

一部の情報は、パブリック プレビューのリリース済み製品機能に関連しており、商用リリース前に大幅に変更される可能性があります。 Microsoft は、ここに記載された情報に関して、明示または黙示を問わず、いかなる保証も行いません。

Microsoft Defender for Endpointでは、Techniques はイベント タイムラインの追加のデータ型です。 この手法は、 MITRE ATT&CK 手法またはサブテクニックに関連するアクティビティに関するより多くの分析情報を提供します。

この機能は、アナリストがデバイスで観察されたアクティビティを理解できるようにすることで、調査エクスペリエンスを簡素化します。 アナリストは、さらに調査することを決定できます。

プレビュー中、手法は既定で使用でき、デバイスのタイムラインが表示されたときにイベントと共に表示されます。

手法は太字で強調表示され、左側に青いアイコンが表示されます。 対応する MITRE ATT&CK ID と手法名は、[追加情報] にもタグとして表示されます。

[手法] には、検索とエクスポートのオプションも用意されています。

サイド ウィンドウを使用して調査する

[手法] を選択して、対応するサイド ウィンドウを開きます。 ここでは、関連する ATT&CK 手法、戦術、説明などの追加情報と分析情報を確認できます。

特定の 攻撃手法 を選択して、関連する ATT&CK 手法ページを開きます。このページで詳細を確認できます。

右側に青いアイコンが表示されたら、エンティティの詳細をコピーできます。 たとえば、関連ファイルの SHA1 をコピーするには、青いページ アイコンを選択します。

コマンド ラインでも同じ操作を実行できます。

関連するイベントを調査する

高度なハンティングを使用して、選択した手法に関連するイベントを検索するには、[関連イベントの検索] を選択します。 これにより、高度なハンティング ページにクエリが表示され、手法に関連するイベントが検索されます。

注:

[手法] サイド ウィンドウの [ 関連イベントの検索 ] ボタンを使用してクエリを実行すると、識別された手法に関連するすべてのイベントが表示されますが、クエリ結果に [手法] 自体は含まれません。

デバイスのタイムラインをカスタマイズする

デバイス タイムラインの右上で、日付範囲を選択して、タイムライン内のイベントと手法の数を制限できます。

公開する列をカスタマイズできます。 また、フラグ付きイベントをデータ型またはイベント グループでフィルター処理することもできます。

公開する列を選択する

[列の選択] ボタンを選択すると、タイムラインで公開する列を選択できます。

そこから、含める情報セットを選択できます。

フィルターを使用して手法またはイベントのみを表示する

イベントまたは手法のみを表示するには、デバイス タイムラインから [フィルター] を選択し、表示する任意のデータ型を選択します。

タイムライン イベント フラグ

Defender for Endpoint デバイスのイベント フラグタイムライン、潜在的な攻撃を調査するときに特定のイベントをフィルター処理して整理するのに役立ちます。

Defender for Endpoint デバイス タイムラインは、デバイスで観察されたイベントと関連するアラートの時系列ビューを提供します。 このイベントの一覧は、デバイスで観察されたすべてのイベント、ファイル、IP アドレスを完全に可視化します。 リストが長くなることがあります。 デバイス タイムライン イベント フラグは、関連する可能性のあるイベントを追跡するのに役立ちます。

デバイス タイムラインを通過した後は、フラグを設定した特定のイベントを並べ替え、フィルター処理、エクスポートできます。

デバイス タイムラインを移動するときに、特定のイベントを検索してフィルター処理できます。 イベント フラグは、次の方法で設定できます。

• 最も重要なイベントの強調表示
• 詳細を必要とするイベントのマーキング
• クリーン侵害タイムラインの構築

イベントにフラグを設定する

1. フラグを設定するイベントを見つけます。

2. [フラグ] 列でフラグ アイコンを選択します。

フラグが設定されたイベントを表示する

1. [タイムライン フィルター] セクションで、フラグ付きイベントを有効にします。
2. [適用] を選択します。 フラグが設定されたイベントのみが表示されます。

タイム バーをクリックすると、さらにフィルターを適用できます。 フラグが設定されたイベントより前のイベントのみが表示されます。

ヒント

さらに多くの情報を得るには、 Tech Community 内の Microsoft Security コミュニティ (Microsoft Defender for Endpoint Tech Community) にご参加ください。