Microsoft Defender for Endpointでユーザー アカウントを調査する

  • 適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

ユーザー アカウント エンティティを調査する

最もアクティブなアラート ("危険なユーザー" としてダッシュボードに表示) を持つユーザー アカウントを特定し、侵害された可能性のある資格情報のケースを調査するか、アラートまたはデバイスを調査するときに関連するユーザー アカウントをピボットして、そのユーザー アカウントを持つデバイス間の横移動の可能性を特定します。

ユーザー アカウント情報は、次のビューで確認できます。

  • ダッシュボード
  • アラートキュー
  • [デバイスの詳細] ページ

[ダッシュボード]、[アラート キュー]、[デバイスの詳細] ページ ビューで、クリック可能なユーザー アカウント のリンクからユーザー アカウントの詳細ページに移動し、アカウントに関する詳細情報を確認できます。

ユーザー アカウント エンティティを調査すると、次の情報が表示されます。

  • ユーザー アカウントの詳細、Microsoft Defender for Identity のアラート、ログオンしているデバイス、ロール、ログオンの種類、その他の詳細
  • インシデントとユーザーのデバイスの概要
  • このユーザーに関連するアラート
  • 組織内で確認 (ログオン先のデバイス)

ユーザー アカウント エンティティの詳細ページ

ユーザーの詳細を確認する

左側の [ユーザーの詳細] ウィンドウには、関連するオープン インシデント、アクティブなアラート、セキュリティ アカウント マネージャー (SAM) 名、セキュリティ識別子 (SID)、Microsoft Defender for Identityアラート、ユーザーがログオンしているデバイスの数、ユーザーが最初と最後に表示されたとき、ロール、ログオンの種類など、ユーザーに関する情報が表示されます。 有効にした統合機能に応じて、その他の詳細を確認できます。 たとえば、Skype for Business 統合を有効にした場合、ポータルからユーザーに連絡できます。 Azure ATP アラート セクションには、Microsoft Defender for Identity機能を有効にしていて、ユーザーに関連するアラートがある場合は、Microsoft Defender for Identityのユーザーのアラート ページへのリンクが含まれています。 Microsoft Defender for Identityのユーザーのアラート ページには、アラートに関する詳細情報が表示されます。

注:

この機能を使用するには、Microsoft Defender for Identityと Defender for Endpoint の両方で統合を有効にする必要があります。 Defender for Endpoint では、高度な機能でこの機能を有効にすることができます。 高度な機能を有効にする方法の詳細については、「 高度な機能を有効にする」を参照してください。

[ユーザー アカウントの詳細] ページの [概要]、[アラート]、[組織の監視] タブには、選択したユーザー アカウントのさまざまな属性が表示されます。

注:

Linuxデバイスの場合、ログインしているユーザーに関する情報は表示されません。

注:

Microsoft Defender for Businessには、Microsoft Defender for Identity (MDI) は既定では含まれません。 SMB ベースの環境では、(ID 関連のシグナルを収集するためにドメイン コントローラーにインストールされている) MDI センサーが展開されない限り、ログオン ユーザー データは使用できません。 ログオン イベントを確実に可視化するには、MDI センサーをデプロイする必要があります。

概要

[ 概要 ] タブには、インシデントの詳細と、ユーザーがログオンしているデバイスの一覧が表示されます。 各デバイス エントリを展開して、そのデバイスのログオン イベントの詳細を表示できます。

ユーザー アカウントに関連付けられているアラートを確認する

[ アラート ] タブには、ユーザー アカウントに関連付けられているアラートの一覧が表示されます。 この一覧は 、アラート キューのフィルター処理されたビューであり、ユーザー コンテキストが選択されたユーザー アカウントであるアラート、最後のアクティビティが検出された日付、アラートの簡単な説明、アラートに関連付けられているデバイス、アラートの重大度、キュー内のアラートの状態、およびアラートが割り当てられているユーザーを示します。

組織内で観察されたユーザー アカウント アクティビティ

[ 組織で観察済み ] タブを使用すると、日付範囲を指定して、選択したユーザー アカウントのログオンが確認されたデバイスの一覧、これらの各デバイスのログオンユーザー アカウントの頻度と頻度が最も低いデバイス、および各デバイスで観察されたユーザーの合計数を表示できます。

[組織で検出] テーブルで項目を選択すると、その項目が展開され、デバイスの詳細情報が表示されます。 アイテム内のデバイス リンクを直接選択すると、そのデバイスのデバイスの詳細ページが開きます。

特定のユーザー アカウントを検索する

Microsoft Defender for Endpointで特定のユーザー アカウントを見つけるには、次の手順に従います。

  1. [検索バー] ドロップダウン メニューから [ユーザー] を選択します。
  2. [ 検索 ] フィールドにユーザー アカウントを入力します。
  3. 検索アイコンをクリックするか 、Enter キーを押します。

クエリ テキストに一致するユーザーの一覧が表示されます。 ユーザー アカウントのドメインと名前、ユーザー アカウントが最後に表示されたとき、および過去 30 日間にログオンしたデバイスの合計数を確認できます。

次の期間で結果をフィルター処理できます。

  • 1 日
  • 3 日間
  • 7 日間
  • 30 日間
  • 6 か月

関連するコンテンツ

  • Last updated on