適用対象:
- Microsoft Defender for Identity
- Microsoft Defender
Microsoft Defender for Identityを使用すると、接続された ID ソース全体で一貫して機能する修復アクションを使用して、侵害されたユーザーに対応できます。 ID に使用できるアクションは、アカウントを管理するコネクタによって異なり、オンプレミスの Active DirectoryとMicrosoft Entra ID、Okta、CyberArk Identity、SailPoint Identity Security Cloud などの ID プロバイダー、接続されているアプリケーションにまたがっています。Google Workspace、Salesforce、Box などのMicrosoft Defender for Cloud Apps。
ユーザーに対する応答アクションは、ID ページ、ID サイド パネル、高度なハンティング ページ、またはアクション センターから直接使用できます。 ユーザーに対してアクションを実行した後、アクション センターでアクティビティの詳細を確認できます。
修復アクションのしくみ
修復アクションは、Microsoft Defender ポータルのユーザーによって開始され、Microsoft Entra ID ロールに基づくロールベースのアクセス制御 (RBAC) を使用して承認されます。 開始するユーザーが承認されていない場合、アクションは実行前にブロックされます。
承認後、影響を受けるアカウントを管理する ID システムによってアクションが実行されます。
Active Directoryアクションは、ドメイン コントローラー上の Microsoft Defender for Identity センサーによって実行されます。 ドメイン コントローラーにインストールされているセンサーのみが修復アクションを実行します。AD FS、AD CS、または Microsoft Entra Connect サーバー上のセンサーは修復アクションを実行しません。 センサーは、ドメイン コントローラーのローカル システム アカウントを使用してアクションを実行します。
重要
[センサーの ローカル システム アカウントを自動的に使用する ] オプションが選択されていることを確認します。 これはセンサー v3.x に必要であり、混合 (v2.x および v3.x) デプロイを含むすべての環境に推奨されます。 確認するには、Microsoft Defender ポータルで>Identities>>Manage アクション アカウント] に移動します。
Microsoft Entra ID Microsoft Defender for Identityは、Microsoft が管理するエンタープライズ アプリケーションを作成して使用して、Entra ID で修復アクションを実行します。
- アプリケーション名:Microsoft Defender for Identity。 古いテナントでは、 Radius Aad Syncer という名前のアプリケーションが表示される場合があります。
-
アプリケーション ID:
60ca1954-583c-4d1f-86de-39d835f3e452
サポートされている非Microsoft ID ソースと接続されたアプリアクションは、統合用に構成された資格情報を使用して、ソースのコネクタ (ID プロバイダー コネクタ、Microsoft Defender for Cloud Apps アプリ コネクタなど) を介して実行されます。
修復アクションは、アクションが実行され、Microsoft Defender監査ログに表示される ID システムによって記録されます。
自動攻撃中断の修復アクション
修復アクションは、Microsoft Defenderの自動攻撃中断によって自動的に適用することもできます。 アクティブな攻撃が検出されると、攻撃の中断では Defender for Identity 修復機能を使用して、手動による介入なしで脅威を格納します。 詳細については、「 自動攻撃の中断」を参照してください。
サポートされているアクション
ID に対して次の Defender for Identity アクションを実行できます。
Microsoft Entra IDロールによっては、ユーザーに再度サインインを要求し、ユーザーが侵害されたことを確認するなど、追加のMicrosoft Entra IDアクションが表示される場合があります。 詳細については、「リスクの 修復とユーザーのブロック解除」を参照してください。
| 修復アクション | 説明 | サポートされている ID ソース |
|---|---|---|
| 無効 | ID または特定のアカウントにリンクされているすべてのアカウントを無効にします。 無効にすると、アカウントが再び有効になるまで、サインインとネットワーク リソースへのアクセスができなくなります。 このアクションでは、ID プロファイルや関連するデータ (ドキュメント、予定表イベント、電子メール メッセージなど) は削除されません。 | Active Directory、Microsoft Entra ID、Okta、CyberArk Identity、SailPoint Identity Security Cloud、Google Workspace、Salesforce、Box |
| 有効にする | 選択した ID に対して以前に無効にされていたアカウントを再度有効にします。 | Active Directory、Microsoft Entra ID、Okta、CyberArk Identity、SailPoint Identity Security Cloud、Salesforce |
| セッションの取り消し | 選択した ID のアクティブなセッションを取り消します。 | Microsoft Entra ID、Okta |
| 侵害済みとしてマークする | 選択した ID にリンクされているすべてのアカウントを、Microsoft Entra IDで侵害済みとしてマークします。 | Microsoft Entra ID |
| パスワードの変更を強制する | 選択した ID にリンクされている 1 つ以上のアカウントのパスワード変更を強制します。 ユーザーは次回のサインイン時にパスワードを変更する必要があります。これにより、侵害された資格情報をさらに使用できなくなります。 | Active Directory、Microsoft Entra ID |
ロールと権限
次の表に、ID のDefenderでサポートされる修復アクションと、各アクションを開始するために必要なロールを示します。
| 修復アクション | Active Directory | Microsoft Entra ID | Okta、SailPoint、CyberArk | サポートされている SaaS アプリ |
|---|---|---|---|---|
| 無効 | Microsoft Defender XDRの「Defender for Identity に必要なアクセス許可」を参照してください | グローバル管理者、ユーザー管理者、認証管理者、特権認証管理者、ディレクトリ ライター、SOC ID レスポンダー | Microsoft Defender XDRの「Defender for Identity に必要なアクセス許可」を参照してください | グローバル管理者、セキュリティ管理者、Cloud App Security 管理者 |
| 有効にする | Microsoft Defender XDRの「Defender for Identity に必要なアクセス許可」を参照してください | グローバル管理者、ユーザー管理者、認証管理者、特権認証管理者、ディレクトリ ライター | Microsoft Defender XDRの「Defender for Identity に必要なアクセス許可」を参照してください | グローバル管理者、セキュリティ管理者、Cloud App Security 管理者 |
| セッションの取り消し | 該当なし | グローバル管理者、ユーザー管理者、認証管理者、特権認証管理者、ディレクトリ ライター、ヘルプデスク管理者、SOC ID レスポンダー | Microsoft Defender XDRの「Defender for Identity に必要なアクセス許可」を参照してください | 該当なし |
| 侵害済みとしてマークする | 該当なし | グローバル管理者、セキュリティ管理者、セキュリティ オペレーター、SOC ID レスポンダー | 該当なし | 該当なし |
| パスワードの変更を強制する | Microsoft Defender XDRの「Defender for Identity に必要なアクセス許可」を参照してください | グローバル管理者、特権認証管理者、認証管理者、ユーザー管理者、パスワード管理者、ヘルプデスク管理者、SOC ID レスポンダー | 該当なし | 該当なし |
注:
他のロールで特定のアクションを実行する場合、Microsoft Entra IDにはいくつかの制限があります。 詳細については、Graph APIドキュメントを参照してください。
前提条件
サポートされているアクションのいずれかを実行するには、次の操作を行う必要があります。
- アクションの実行に使用Microsoft Defender for Identityアカウントを構成します。 [センサーの ローカル システム アカウントを自動的に使用する ] オプションが選択されていることを確認します。 Microsoft Defender ポータルで、[>Identities>Microsoft Defender for Identity>Manage アクション アカウント] に移動します。 この設定は、いずれかのセンサーが v3.x の場合に必要です。 詳細については、「 アクション アカウントの管理」を参照してください。
- 必要なアクセス許可を使用してMicrosoft Defender ポータルにサインインします。 Defender for Identity アクションの場合は、 応答 (管理) アクセス許可を持つカスタム ロールが必要です。 詳細については、「Microsoft Defender統合 RBAC を使用してカスタム ロールを作成する」を参照してください。 各アクションに必要な特定のロールの詳細については、「 ロールとアクセス許可」を参照してください。
ID に修復アクションを適用するには、次の手順に従います。
Microsoft Defender ポータルで、次のいずれかの場所に移動します。
- [ID] ページ: [Assets>Identities] に移動し、操作する ID を選択します。
- 高度なハンティング ページ: [ハンティング>Advanced ハンティング] に移動し、ID エンティティを含む結果を特定します。
- アクション センター: アクション & 申請>アクション センター に移動して、保留中または完了したアクションを確認して管理します。
[ アクション] を 選択するか、ID を右クリックしてアクション メニューを開きます。
適用する修復アクション (無効、セッションの取り消し、パスワードの変更の強制など) を選択します。
メッセージが表示されたら、アクションを確認します。
アクションは、関連する ID システムによって送信され、実行されます。 アクション センターで状態を追跡できます。