フォルダー アクセス制御 (CFA) の展開の重要な部分は、デバイスへの影響を監視することです。 監視を使用すると、生産性に影響を与えることなく、CFA がブロックするアプリを特定し、誤検知を見つけ、重要なフォルダーをランサムウェアから保護できます。 この記事のメソッドを使用して、Microsoft Defender for Endpoint組織内の CFA イベントを表示します。
ヒント
CFA ブロックは、 アラート キューにアラートを生成しません。 ただし、 高度なハンティング、 デバイス タイムライン、または カスタム検出ルールを使用して、CFA ブロックに関する情報を表示できます。
監査モードを使用して CFA の効果を測定する
Microsoftは、有効 (ブロック) モードに移行する前に、最初に監査モードで CFA を実行して効果を評価することをお勧めします。 監査モードで CFA を有効にして、機能が有効になっている場合の動作の記録を確認します。 この機能が組織でどのように機能するかをテストして、基幹業務アプリに影響がないことを確認します。 また、特定の期間にファイルを変更しようとする疑わしい試行の数を把握することもできます。
監査イベントを監視し、 ユーザーが必要とするアプリを許可することで、生産性を低下させることなく CFA を有効にすることができます。 使用可能なモードの詳細については、「 CFA のモード」を参照してください。
監査モードを有効にするには、個々のデバイスまたは組織全体で 、監査モード 設定を使用して CFA を構成します。 手順については、「 CFA の構成」を参照してください。
高度なハンティングでの CFA イベント
注
この機能には、Microsoft Defender for Endpoint プラン 2 が必要です。
Microsoft Defender XDRの最も強力な機能の1つは高度な狩猟です。 高度なハンティングに慣れていない場合は、「高度なハンティングを使用して 脅威を事前に検索する」を参照してください。
高度なハンティングは、Microsoft Defender ポータルのKusto 照会言語 (KQL) 脅威ハンティング ツールであり、デバイスからキャプチャされた (生) データの最大 30 日間を探索できます。 イベントを事前に検査して、既知の脅威と潜在的な脅威の両方のインジケーターとエンティティを見つけることができます。
CFA イベントは、DeviceEventsの Defender ポータルの [Advanced hunting]\(高度なハンティング\) ページの https://security.microsoft.com/v2/advanced-hunting テーブルで使用できます。 監査モードを使用する場合は、高度なハンティングを使用して、CFA 設定が有効になっている場合に環境に与える影響を確認できます。
次のサンプル クエリは、監査された CFA イベントとブロックされた CFA イベントの両方を報告します。
DeviceEvents
| where ActionType in ('ControlledFolderAccessViolationAudited','ControlledFolderAccessViolationBlocked')
関連する実際のファイルとプロセスの詳細を取得するには、次の例に示すように、クエリを表示するフィールドを含む project 行に置き換えます。
DeviceEvents
| where ActionType in ('ControlledFolderAccessViolationAudited','ControlledFolderAccessViolationBlocked')
| project DeviceName, FileName, FolderPath, InitiatingProcessFileName, InitiatingProcessCommandLine
高度なハンティングを使用すると、個々のデバイスをターゲットにするようにクエリをカスタマイズしたり、環境全体から分析情報を抽出したりできます。
デバイス タイムラインの CFA イベント
注
この機能を使用するには、Microsoft Defender for Endpoint Plan 2 または Microsoft Defender for Business が必要です。
高度な追求に対する、より限定的な代替手段は、Defender for Endpoint のデバイス タイムラインです。 詳細については、「Microsoft Defender for Endpoint のデバイス タイムライン」を参照してください。
Microsoft Defender ポータルでデバイスのデバイス タイムラインを開くには、次の手順を実行します。
にあるhttps://security.microsoft.com/machinesページを開きます。
[ デバイス インベントリ ] ページの適切なタブ ([ すべてのデバイス ] や [コンピューター] & モバイルなど) で、[デバイス名] リンクを選択してデバイスを選択します。
開いた詳細ページで、[ タイムライン ] タブを選択します。
[ タイムライン ] タブで、[ フィルター] を選択します。 開いた [フィルター] ポップアップで、[イベント グループ] セクションから [ASR イベント] を選択し、[適用] を選択します。 CFA は攻撃面の縮小機能であるため、そのイベントは ASR イベント グループに表示されます。
既定の期間は 1 週間ですが、 30 日以内に 1 日、 3 日、 30 日、またはカスタム日付範囲を選択することもできます。
Windows イベント ビューアーの CFA イベント
Windows イベント ビューアーでのイベントの確認は、CFA を評価するときに役立ちます。 たとえば、監査モードを有効にし、機能が完全に有効になっている場合の動作を確認できます。 完全に有効になっている場合は、CFA の効果を表示することもできます。
Windows イベント ビューアーで CFA イベントを参照する
CFA イベントは、 アプリケーションとサービス ログにあります。 これらのイベントを表示するには、次の手順を実行します。
[スタート] を選択し、「イベント ビューアー」と入力し、Enter キーを押してイベント ビューアーを開きます。
イベント ビューアーで、「アプリケーションとサービス ログ」>Microsoft>Windows>Windows Defender>Operational を展開します。
次のイベント ID を使用して、イベントを検索してフィルター処理します。
イベント ID Description 5007 設定が変更されたときのイベント 1123 ブロックされた CFA イベント 1124 監査済み CFA イベント 1127 ブロックされた CFA セクター書き込みブロック イベント 1128 監査済み CFA セクター書き込み禁止イベント
Windows イベント ビューアーでカスタム ビューを使用する
Windows イベント ビューアーでカスタム ビューを作成し、制御されたフォルダー アクセス イベントに対して XML を使用して CFA イベントのみを表示できます。
テンプレートをカスタム ビューとしてインポートするか、XML を直接イベント ビューアーにコピーするには、「Windows イベント ビューアーのカスタム ビューを使用して攻撃面の縮小イベントを表示する」の手順に従います。
ヒント
Windowsイベント転送を使用して、複数のデバイスから CFA イベント収集を一元化できます。
クライアント アナライザーを使用して CFA 検出を調査する
監査イベントまたはブロック イベントを調査すると、既知の信頼されたアプリが CFA によって停止される場合があります。 CFA がアプリを検出した理由を確認するには、影響を受けるデバイスで 引数を指定して Microsoft Defender for Endpoint -cfa を実行します。 アナライザーは、各 CFA 検出の理由を報告します。これは、 アプリを許可するかどうかを決定するのに役立ちます。
一部の種類のエンドポイント セキュリティまたは資産管理ソフトウェアは、システム上で開始されるすべてのプロセスにコードを挿入します。 この挿入により、CFA が Office アプリなどの既知のアプリケーションを信頼しなくなる可能性があります。 挿入プロセスによって検出が発生することがクライアント アナライザーに示されている場合は、そのプロセスの ウイルス対策除外 を追加することを検討するか、すべてのバイナリへの署名について管理ソフトウェア ベンダーに問い合わせてください。
注
アプリを許可しても CFA によってブロックされている場合は、データ損失防止 (DLP) によって、許可されたアプリが有効になるのを妨げている可能性があります。 調査するには、次の手順を実行します。
- Defender for Endpoint クライアント アナライザーをダウンロードしてインストールします。
- 少なくとも 5 分間トレースを実行します。
- 結果の
MDEClientAnalyzerResult.zip出力ファイルで、EventLogsフォルダーの内容を抽出し、使用可能なDLP EAログ ファイル内の.evtxのインスタンスを検索します。