Microsoft Defender XDRで自動攻撃の中断がトリガーされると、侵害された資産のリスクの詳細と封じ込め状態をインシデント ページで表示できます。 ページには、完全な攻撃ストーリーと、関連付けられている資産の現在の状態が表示されます。
インシデント グラフを確認する
自動攻撃の中断Microsoft Defenderインシデント ビューに組み込まれています。 インシデント グラフを確認して、攻撃のストーリー全体を取得し、攻撃の中断の影響と状態を評価します。
インシデント ページには、次の情報が含まれています。
- 中断されたインシデントには、
Attack Disruptionのタグと、特定された特定の脅威の種類 (ランサムウェアなど) が含まれます。 インシデントメール通知をサブスクライブすると、これらのタグもメールに表示されます。 - インシデントが中断されたことを示すインシデント タイトルの下の強調表示された通知。
- 中断されたユーザーと包含デバイスには、状態を示すラベルが表示されます。
ユーザー アカウントまたはデバイスを包含から解放するには、包含資産を選択し、デバイスの 包含からリリース を選択するか、ユーザー アカウントの ユーザーを有効にします 。
注:
操作を元に戻す前に、リスクを評価し、調査を完了します。 包含資産を途中で解放すると、攻撃者がアクティビティを再開する可能性があります。
攻撃の中断の概要カードを確認する
インシデント中に自動攻撃の中断がアクションを実行すると、インシデント ページに専用の概要カードが表示されます。 概要カードでは、実行された中断アクションの概要を示します。 また、インシデントのコンテキストでの中断に関連する履歴データも表示されます。つまり、データはインシデントの最初のアラートから現在まで集計されます。
概要カードを確認するには:
Microsoft Defender ポータルで、[>Incidents] に移動します。
[攻撃の中断] タグを持つインシデントを選択します。
インシデント ページで、ページの右側にある攻撃の中断の概要カードを見つけます。 カードでは、次の機能が提供されます。
- このインシデントの一部として実行される自動アクションの概要。
- アクティビティの表示 - [ アクティビティ ] タブに移動し、すべての自動アクションを表示できます。
- 関連する資産の表示 — 自動アクションが適用された資産 (エンドポイント、アカウント、メールボックス、アプリケーション) を一覧表示します。
アクション センターでアクションを追跡する
アクション センター (https://security.microsoft.com/action-center) では、デバイス、電子メールとコラボレーションのコンテンツ、ID に対する 修復 アクションと応答アクションがまとめられます。 一覧に表示されるアクションには、自動的または手動で実行された修復アクションが含まれます。 アクション センターでは、自動攻撃中断アクションを表示できます。
包含資産を解放できます。たとえば、ブロックされたユーザー アカウントを有効にしたり、アクションの詳細ウィンドウからデバイスを包含から解放したりできます。 リスクを軽減し、インシデントの調査を完了した後で、包含資産を解放できます。 詳細については、「 アクション センター」を参照してください。
[アクティビティ] タブでアクションの状態を追跡する (プレビュー)
[インシデント] ページの [アクティビティ] タブには、アクティビティが開始された日時、トリガーされるアラートなど、特定のインシデントに関連する詳細が表示されます。
アクティビティ一覧の [ポリシーの状態 ] 列 (プレビュー) には、インシデント内で実行されたアクションとポリシーのステートフル な一覧が表示されます。 環境内のすべての関連アクションとポリシーの現在の状態を確認できます。 この機能は、特にインシデントが多い大規模な環境で、進行中および期限切れのアクションを追跡する課題に対処します。
インシデントの一部として実行されたすべての自動攻撃中断と予測シールド アクションを表示するには:
インシデントの [ アクティビティ ] タブで、次のフィルターを追加します。
- [ 30 日>Custom 範囲] を選択し、調査するアクションに関連する期間を選択します。
- [ 実行者 ] を選択し、[ AttackDisruption] を選択します。 このフィルターには、予測シールド アクションも含まれます。
- [ アクティビティの状態 ] を選択し、[完了] を選択 します。 この状態は、完了したアクションの現在のポリシーの状態を示し、部分的または進行中のアクションを除外します。
- ポリシーの状態: [アクティブ]、[ 非アクティブ]、[ いいえ] の各状態 ( [適用なし] を除くすべてのオプション) を選択します。
一覧表示されたアクティビティを確認します。 [ ポリシーの状態] 列には、各アクティビティのポリシーの現在の状態が表示されます。 たとえば、指定した期間にユーザーが含まれていましたが、ポリシーは現在非アクティブです。 この状態は、ユーザーが含まれていなくなったことを意味します。
![Microsoft Defender XDRの [アクティビティ] タブのスクリーンショット。攻撃中断アクションのアクティブな状態と非アクティブな状態のポリシー状態列が表示されています。](media/autoad-results/activities-tab-status.png)
![Microsoft Defender XDRの [アクティビティ] タブのスクリーンショット。攻撃中断アクションのアクティブな状態と非アクティブな状態のポリシー状態列が表示されています。](media/autoad-results/activities-tab-status.png#lightbox)
ヒント
予測シールド アクションは、[実行] フィルターで AttackDisruption でフィルター処理するときにも表示されます。 攻撃の中断は、侵害された資産を含めることでアクティブな攻撃に対応しますが、予測シールドは潜在的な攻撃の進行を予測し、保護対策を先取りして適用します。 サポートされている予測シールド アクションの一覧とその管理の詳細については、次の記事を参照してください。
次のポリシーの状態を使用できます。
- アクティブ: ポリシーは現在アクティブであり、適用されています。
- 非アクティブ: ポリシーは以前に適用されましたが、アクティブではなくなりました。 たとえば、ユーザーは含まれていましたが、現在は解放されています。
- 適用されません: ポリシーの状態はアクションには適用されません。 たとえば、非保持アクションはポリシーではなく、以前のアクションの取り消しであるため、ポリシーの状態は非保持アクションには適用されません。
- 状態なし: さまざまな理由でポリシーの状態を取得できませんでした。 たとえば、アクションはまだ進行中であり、最終的な状態はまだ決定されていません。
このビューには、選択した期間のアクティビティとポリシーの状態に関する一意のデータが表示されます。 このデータは、過去のアクションをログに記録するが、現在の状態を反映しないアクション センター ビューを超えています。
高度なハンティングのアクションを追跡する
高度なハンティングで特定のクエリを使用して、デバイスの包含、ユーザーの包含、およびユーザー アカウントの無効化アクションを追跡します。
高度なハンティングにおけるコンテインメント関連のイベント
Microsoft Defender for Endpointの包含は、包含エンティティからの通信をブロックすることで、脅威アクターのアクティビティをさらに防ぎます。 高度なハンティングでは、 DeviceEvents テーブル ログは、最初の包含アクション自体ではなく、 包含の結果として発生するアクションをブロックします。
デバイス派生ブロック アクション - これらのイベントは、 デバイスが含まれていたためにブロックされたアクティビティ (ネットワーク通信など) を示します。
DeviceEvents | where ActionType contains "ContainedDevice"ユーザー派生ブロック アクション - これらのイベントは、 ユーザーが含まれていたためにブロックされたアクティビティ (サインインやリソース アクセスの試行など) を示します。
DeviceEvents | where ActionType contains "ContainedUser"
ユーザー アカウントの無効化アクションを検索する
攻撃の中断では、Microsoft Defender for Identityの修復アクション機能を使用してアカウントを無効にします。 既定では、Microsoft Defender for Identityはすべての修復アクションにドメイン コントローラーの LocalSystem アカウントを使用します。
次のクエリでは、ドメイン コントローラーがユーザー アカウントを無効にしたイベントを検索します。 このクエリでは、Microsoft Defenderでアカウントの無効化を手動でトリガーすることで、自動攻撃の中断によって無効になっているユーザー アカウントも返されます。
let AllDomainControllers =
DeviceNetworkEvents
| where TimeGenerated > ago(7d)
| where LocalPort == 88
| where LocalIPType == "FourToSixMapping"
| extend DCDevicename = tostring(split(DeviceName,".")[0])
| distinct DCDevicename;
IdentityDirectoryEvents
| where TimeGenerated > ago(90d)
| where ActionType == "Account disabled"
| where Application == "Active Directory"
| extend ACTOR_DEVICE = tolower(tostring(AdditionalFields.["ACTOR.DEVICE"]))
| where isnotempty( ACTOR_DEVICE)
| where ACTOR_DEVICE in (AllDomainControllers)
| project TimeGenerated, TargetAccountUpn, ACTOR_DEVICE
上記のクエリは、Microsoft Defender for Identity - 攻撃中断クエリから適応されました。
DisruptionAndResponseEvents テーブルのクエリを実行する
すべての攻撃中断アクションの広範なorganizationビューについては、Advanced Hunting の DisruptionAndResponseEvents テーブルを使用します。 次の表は、[アクティビティ] タブに表示されるのと同じ自動アクションの統合ビューを提供しますが、1 つのインシデントではなく、organization全体にわたって表示されます。
DisruptionAndResponseEvents
| where Timestamp > ago(30d)
| project Timestamp, ActionType, AttackDisruptionCategory, DeviceName, AccountUpn, RemoteIP
| order by Timestamp desc
クエリのスコープを特定のインシデントに設定するには、インシデント ID のフィルターを追加します。
DisruptionAndResponseEvents
| where Timestamp > ago(30d)
| where IncidentId == <incident-id>
| project Timestamp, ActionType, AttackDisruptionCategory, DeviceName, AccountUpn
| order by Timestamp desc
DisruptionAndResponseEvents テーブル スキーマの詳細については、「 DisruptionAndResponseEvents テーブル」を参照してください。
関連コンテンツ
- 自動応答アクションから資産を除外する
- Microsoft Defenderでの予測シールド
- Microsoft Defenderで予測シールドを管理する
- DisruptionAndResponseEvents テーブル
- 応答アクションの電子メール通知を取得する
ヒント
さらに多くの情報を得るには、 Tech Community 内の Microsoft Security コミュニティにご参加ください: 「Microsoft Defender XDR Tech Community」。