自動調査後の修復アクションを確認する

  • 適用対象: Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business

この記事では、Microsoft Defender for Endpointでの自動調査に起因する修復アクションを確認、承認、または拒否する方法について説明します。 組織の自動化設定に応じて、一部の修復アクションは自動的に実行されますが、承認が必要な修復アクションもあります。

修復アクション

自動調査が実行されると、調査対象の証拠ごとに判定が生成されます。 判定は、悪意のある、疑わしい、または脅威なしのいずれかです。

修復アクションが自動的に行われるか、組織のセキュリティ運用チームによる承認が必要かは、脅威の種類、結果の判定、組織の デバイス グループ の構成方法によって異なります。

注:

デバイス グループの作成は、Defender for Endpoint プラン 1 とプラン 2 でサポートされています。

いくつかの例を示します。

  • 例 1: Fabrikam のデバイス グループは [完全 - 脅威を自動的に修復する] (推奨設定) に設定されています。 この設定では、自動調査の後に悪意があると見なされるアーティファクトに対して修復アクションが自動的に実行されます (完了した アクションの確認を参照)。

  • 例 2: Contoso のデバイスは、[準 - あらゆる修復に承認が必要] に設定されているデバイス グループに含まれています。 この設定では、Contoso のセキュリティ運用チームは、自動調査の後にすべての修復アクションを確認して承認する必要があります (保留中の アクションの確認を参照)。

  • 例 3: Tailspin Toys では、デバイス グループが [自動対応なし] に設定されています (推奨されません)。 この設定では、自動調査は行われません。 修復アクションが実行されたり保留中になったり、デバイスの [アクション センター] にアクションが記録されることはありません (「デバイス グループの管理」を参照してください)。

自動的に実行される場合も、承認時に行われた場合でも、自動調査と修復によって、1 つ以上の修復アクションが発生する可能性があります。

  • ファイルを隔離する
  • レジストリ キーの削除
  • プロセスの強制終了
  • サービスの停止
  • ドライバーの無効化
  • スケジュールされたタスクの削除

保留中のアクションを確認する

アクション センターで保留中の修復アクションを確認するには、次の手順を実行します。

  1. Microsoft Defender ポータルに移動し、サインインします。

  2. ナビゲーション ウィンドウで、[アクション センター] を選択します。

  3. [保留中] タブの項目を確認します。

  4. 対応するフライアウト ペインを開くには、アクションを選択します。

  5. ポップアップ ウィンドウで情報を確認し、次のいずれかの手順を実行します:

    • [調査ページを開く] を選択して、調査に関する詳細情報を表示します。
    • [承認する] を選択して、保留中のアクションを開始します。
    • [拒否する] を選択して、保留中のアクションが実行されないようにします。
    • [追求する] を選択して [高度な追求] に移動します。

修復アクションの承認または拒否

修復状態が承認待ちのインシデントの場合は、インシデント内から修復アクションを承認または拒否することもできます。

  1. ナビゲーション ペインで、Incidents & alerts>Incidents に移動します。
  2. 自動調査の状態で保留中のアクションを指定して絞り込みます（任意）。
  3. インシデント名を選択してサマリー ページを開きます。
  4. [証拠と応答] タブを選択します。
  5. リストから項目を選択して、ポップアップ ウィンドウを開きます。
  6. 情報を確認し、次のいずれかの手順を実行します:
    • 保留中のアクションを開始するには、[保留中のアクションの承認] オプションを選択します。
    • 保留中のアクションが実行されないようにするには、[保留中のアクションを拒否する] オプションを選択します。

Microsoft Defender ポータルのインシデントの [証拠と応答] 管理ウィンドウの [承認]\[拒否] オプション

完了した処理を確認する

完了した修復アクションを確認するには、次の手順に従います。

  1. Microsoft Defender ポータルに移動し、サインインします。

  2. ナビゲーション ウィンドウで、[アクション センター] を選択します。

  3. [履歴] タブの項目を確認します。

  4. 項目を選択すると、その修復アクションの詳細が表示されます。

完了したアクションを元に戻す

デバイスまたはファイルが脅威ではないと判断した場合は、それらのアクションが自動的に実行されたか手動で実行されたかに関係なく、実行された修復アクションを元に戻すことができます。 [アクション センター] の [履歴] タブでは、次のいずれかの操作を元に戻すことができます。

アクションの発生元 サポートされているアクション
  • 自動調査
  • 手動対応アクション (以下の注を参照)
  • Microsoft Defender ウイルス対策
  • ドライバーの無効化
  • デバイスの分離
  • ファイルを隔離する
  • レジストリ キーの削除
  • スケジュールされたタスクの削除
  • コードの実行制限
  • サービスの停止

注:

Defender for Endpoint Plan 1 と Microsoft Defender for Business には、次の手動対応アクションのみが含まれます:

  • ウイルス対策スキャンの実行
  • デバイスの分離
  • ファイルを停止して隔離する
  • ファイルのブロックまたは許可するインジケーターの追加

複数のアクションを一度に元に戻す

複数の修復アクションを一度に元に戻すには、次の手順に従います。

  1. アクション センターに移動し、サインインします。

  2. [履歴] タブで、元に戻す処理を選択します。 必ず、同じアクションの種類を持つ項目を選択してください。 ポップアップ ウィンドウが開きます。

  3. ポップアップ ウィンドウで [元に戻す] を選択します。

複数のデバイスで検疫からファイルを削除するには

検疫済みファイルを複数のデバイスから一度に削除するには、次の手順に従います。

  1. アクション センターに移動し、サインインします。

  2. [履歴] タブで、アクションの種類が [検疫ファイル] のファイルを選択します。

  3. ポップアップ ウィンドウで、[このファイルの X 個のインスタンスに適用] を選択し、[元に戻す] を選択します。

オートメーション レベル、自動調査の結果、結果のアクション

自動化レベルでは、修復アクションが自動的に実行されるか、承認が必要かを制御します。 セキュリティ運用チームは、調査結果に基づいて追加の手順を実行する必要がある場合があります。 次の表に、各オートメーション レベル、その結果、および実行する操作を示します。

デバイス グループの設定 自動調査の結果 対処方法
フル - 脅威を自動的に修復
(推奨)		 証拠の一部について、悪意ありという判定に達しました。

適切な修復アクションが自動的に実行されます

 完了した処理を確認する
[準 - すべての修復に承認が必要] 証拠の一部について 悪意ありまたは疑わしいの判定に達しました。

修復アクションが続行承認待ちです。

 保留中のアクションを承認 (または拒否) する
[準 - コア フォルダーの修復に承認が必要] 証拠の一部について、悪意ありという判定に達しました。

アーティファクトがファイルまたは実行可能ファイルであり、Windows フォルダーや Program files フォルダーなどのオペレーティング システム ディレクトリにある場合、修復アクションは承認待ちになります。

成果物がオペレーティング システム ディレクトリに存在しない場合は、修復アクションが自動的に実行されます。
  1. 保留中のアクションを承認 (または拒否) する
  2. 完了した処理を確認する
[準 - コア フォルダーの修復に承認が必要] 証拠の一部について疑わしいという判定に達しました。

推奨される修復アクションが承認待ちです。

 保留中のアクションを承認 (または拒否) する
半自動 - 一時フォルダー以外のフォルダーの修復処理には承認を要求 証拠の一部について、悪意ありという判定に達しました。

成果物が、ユーザーのダウンロード フォルダーや一時フォルダーなど、一時フォルダーにないファイルまたは実行可能ファイルである場合、修復アクションは承認待ちです。

アーティファクトが一時フォルダー内にあるファイルまたは実行可能ファイルである場合、修復アクションが自動的に実行されます。
  1. 保留中のアクションを承認 (または拒否) する
  2. 完了した処理を確認する
半自動 - 一時フォルダー以外のフォルダーの修復処理には承認を要求 証拠の一部について疑わしいという判定に達しました。

推奨される修復アクションが承認待ちです。

 保留中のアクションを承認 (または拒否) する
完全または準のいずれかのオートメーション レベル 証拠の一部について、脅威が見つからないという判定に達しました。

修復アクションは実行されず、承認待ちのアクションもありません。

 自動調査の詳細と結果を表示する
自動対応なし (推奨されません) 自動調査は実行されないため、判定に達せず、修復アクションが実行されたり、承認待ちになったりすることはありません。 完全オートメーションまたは準オートメーションを使用するようにデバイス グループを設定または 変更することを検討してください

すべての判定は [アクション センター] で追跡されます。

注:

Defender for Business では、自動調査と修復の機能は既定で フル - 脅威を自動的に修復する を使用するよう設定されています。 これらの機能は、既定ですべてのデバイスに適用されます。

次の手順

関連項目

  • Last updated on