インシデントとアラートを調査する

Microsoft Defender ポータルの IoT 用Microsoft Defenderには、インシデントとアラートが表示されます。これにより、運用テクノロジ (OT) ネットワークに記録されたイベントに関するリアルタイムの詳細を使用して、ネットワークのセキュリティと運用が強化されます。

アラートは、すべてのインシデントの起点であり、環境内での悪意のあるイベントまたは疑わしいイベントの発生を示します。インシデント内では、ネットワークに影響を与えるアラートを分析し、その意味を理解し、証拠を照合して、効果的な修復計画を立てることができるようにします。

Defender ポータルでアラートとインシデントの詳細を確認します。

この記事では、IoT インシデントのMicrosoft Defenderとそれに関連するアラートを調査する方法と、アラートによって発生するセキュリティの問題を修復する方法について説明します。

[インシデント] ページのアラートは、IT と OT 環境のシグナルを一意に組み合わせて、潜在的な脅威とデータリークを検出します。 [ インシデント] ページには、 次の情報が表示されます。

インシデントに接続されたアラートの履歴とインシデントグラフ。グラフには、影響を受ける OT デバイスに接続されている他のデバイスも侵害される可能性があることを示しています。
検出されたセキュリティの問題の種類を説明するアラートの説明。
セキュリティの問題を解決するための修復オプション。

注:

Defender for IoT のインシデントデータとアラートデータは、サイトを設定し、デバイスが Defender ポータルにデータを送信している場合にのみ表示されます。サイトを設定する方法について説明します。

重要

この記事では、Defender ポータル (プレビュー) での IoT のMicrosoft Defenderについて説明します。

一部の機能は、Defender ポータルではまだ使用できません。これらの機能に関心がある場合、またはAzure portalで作業している既存の顧客の場合は、Azure 上の Defender for IoT のドキュメントを参照してください。

Defender for IoT 管理ポータルの詳細については、こちらをご覧ください。

この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここで提供されるいかなる情報に関して、明示または黙示を問わず、いかなる保証も行いません。

アラートを調査する

アラートを調査するには:

[Microsoft Defender ポータル] メニューで、[インシデント] & [インシデント] > [アラート] を選択します。
OT 関連のインシデントを表示するには:
1. [ フィルターの追加] を選択します。
2. [ 製品名 ] を選択し、[追加] を選択 します。
3. 表示される [ 製品名 ] タブを選択し、「 Defender for IoT」と入力します。
4. [適用] を選択します。
インシデントを見つけて選択します。

特定のインシデントページには、アラートタイムライン、インシデントグラフ、インシデントの詳細で構成される攻撃ストーリーが表示されます。
アラートの一覧からアラートを選択します。

インシデントグラフとインシデントの詳細には、このアラートの特定のデータが表示されます。
[ インシデント ] パネルで、情報を確認し、 アラートの説明、証拠、 影響を受けた資産 を読み、 アラートの推奨アクション に従って問題を修復します。

Defender for IoT は独自のアラートを生成します。

名前	説明
デバイスの侵害による運用上の影響の可能性	運用テクノロジ (OT) 資産と通信する侵害されたデバイス。攻撃者が物理操作を制御または中断しようとしている可能性があります。

DeviceInfo テーブルに一覧表示されている Site プロパティを使用して、高度なハンティング用のクエリを記述します。これにより、特定のサイトで悪意のあるデバイスと通信したすべてのデバイスなど、特定のサイトに従ってデバイスをフィルター処理できます。

次のクエリでは、サンフランシスコサイトの特定の IP アドレスを持つすべてのエンドポイントデバイスの一覧を示します。

DeviceInfo
|where Site == "SanFrancisco" and PublicIP == "192.168.1.1" and DeviceCategory == "Endpoint"

これは、デバイスインベントリとサイトセキュリティの両方に関連します。詳細については、「 Advanced hunting」と「Advanced hunting DeviceInfo スキーマ」を参照してください。