Microsoft Defender ポータルの Microsoft Defender for Cloud
適用対象:
Microsoft Defender for Cloud は、Microsoft Defender XDR の一部になりました。 セキュリティ チームは、Microsoft Defender ポータル内で Defender for Cloud のアラートとインシデントにアクセスできるようになり、クラウド リソース、デバイス、ID にまたがる調査に関する豊富なコンテキストが提供されます。 さらに、セキュリティ チームは、アラートとインシデントの即時の相関関係を通じて、クラウド環境で発生する疑わしいイベントや悪意のあるイベントなど、攻撃の全体像を把握できます。
Microsoft Defender ポータルは、保護、検出、調査、応答の機能を組み合わせて、デバイス、電子メール、コラボレーション、ID、クラウド アプリに対する攻撃を保護します。 ポータルの検出と調査の機能がクラウド エンティティに拡張され、セキュリティ運用チームは、運用効率を大幅に向上させるために 1 つのウィンドウを提供します。
さらに、Defender for Cloud のインシデントとアラートは、 Microsoft Defender XDR のパブリック API の一部になりました。 この統合により、1 つの API を使用して、セキュリティ アラート データを任意のシステムにエクスポートできます。
前提条件
Microsoft Defender ポータルで Defender for Cloud アラートに確実にアクセスするには、「 Azure サブスクリプションの接続」に記載されているプランのいずれかにサブスクライブする必要があります。
必要なアクセス許可
注:
Defender for Cloud のアラートと相関関係を表示するアクセス許可は、テナント全体に対して自動的に行われます。 特定のサブスクリプションの表示はサポートされていません。 アラート サブスクリプション ID フィルターを使用すると、アラート キューとインシデント キュー内の特定の Defender for Cloud サブスクリプションに関連付けられている Defender for Cloud アラートを表示できます。 フィルターの詳細については、こちらをご覧ください。
統合は、Defender for Cloud に適切な Microsoft Defender XDR 統合ロールベースのアクセス制御 (RBAC) ロールを適用することによってのみ使用できます。 Defender XDR 統合 RBAC を使用せずに Defender for Cloud のアラートと相関関係を表示するには、Azure Active Directory のグローバル管理者またはセキュリティ管理者である必要があります。
重要
グローバル管理者は高い特権を持つロールであり、既存のロールを使用できないシナリオに限定する必要があります。 Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。 アクセス許可の低いアカウントを使用すると、組織のセキュリティが向上します。
Microsoft Defender ポータルでの調査エクスペリエンス
重要
一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここに記載された情報に関して、明示または黙示を問わず、いかなる保証も行いません。
次のセクションでは、Defender for Cloud アラートを使用した Microsoft Defender ポータルでの検出と調査のエクスペリエンスについて説明します。
| 分野 | 説明 |
|---|---|
| インシデント | すべての Defender for Cloud インシデントは、Microsoft Defender ポータルに統合されます。
- インシデント キュー 内のクラウド リソース資産の検索がサポートされています。 - 攻撃ストーリー グラフにクラウド リソースが表示されます。 - インシデント ページ の [資産] タブ には、クラウド リソースが表示されます。 - 各仮想マシンには、関連するすべてのアラートとアクティビティを含む独自のデバイス ページがあります。 他の Defender ワークロードからのインシデントの重複はありません。 |
| アラート | マルチクラウド、内部および外部プロバイダーのアラートを含むすべての Defender for Cloud アラートは、Microsoft Defender ポータルに統合されます。 Defender for Cloud アラートは、Microsoft Defender ポータルの アラート キューに表示されます。
クラウド リソース資産は、アラートの [資産] タブに表示されます。 リソースは、Azure、Amazon、または Google Cloud リソースとして明確に識別されます Defender for Cloud アラートは自動的に tenant. に関連付けられます。他の Defender ワークロードからのアラートの重複はありません。 |
| アラートとインシデントの相関関係 | アラートとインシデントは自動的に関連付けられるので、セキュリティ運用チームに堅牢なコンテキストを提供して、クラウド環境の完全な攻撃ストーリーを理解できます。 |
| 脅威の検出 | 仮想エンティティをデバイス エンティティに正確に照合し、精度と効果的な脅威検出を保証します。 |
| 統合 API | Defender for Cloud のアラートとインシデントが Microsoft Defender XDR のパブリック API に含まれるようになり、お客様は 1 つの API を使用してセキュリティ アラート データを他のシステムにエクスポートできます。 |
| 高度なハンティング (プレビュー) | 組織の Defender for Cloud によって保護されているさまざまなクラウド プラットフォームのクラウド監査イベントに関する情報は、高度なハンティングの CloudAuditEvents テーブルを通じて入手できます。 |
注:
Defender for Cloud からの情報アラートは Microsoft Defender ポータルに統合されていないため、関連する重大度の高いアラートに集中できます。 この戦略により、インシデントの管理が合理化され、アラートの疲労が軽減されます。
Microsoft Sentinel ユーザーへの影響
Microsoft Defender XDR インシデントを統合し、Defender for Cloud アラートを取り込む Microsoft Sentinel のお客様は、重複するアラートとインシデントが作成されないように、次の構成変更を行う必要があります。
- テナント ベースの Microsoft Defender for Cloud (プレビュー) コネクタを接続して、すべてのサブスクリプションからのアラートのコレクションを、Microsoft Defender XDR Incidents コネクタを介してストリーミングしているテナント ベースの Defender for Cloud インシデントと同期します。
- サブスクリプション ベースの Microsoft Defender for Cloud (レガシ) アラート コネクタを切断して、アラートの重複を防ぎます。
- Defender for Cloud アラートからインシデントを作成するために使用される、 スケジュールされた (通常のクエリの種類) または Microsoft セキュリティ (インシデントの作成) ルールのいずれかの分析ルールをオフにします。 Defender for Cloud Incidents は、Defender ポータルで自動的に作成され、Microsoft Sentinel と同期されます。
- 必要に応じて、 自動化ルールを使用して ノイズの多いインシデントを閉じるか、 Defender ポータルの組み込みのチューニング機能を 使用して特定のアラートを抑制します。
次の変更にも注意してください。
- Microsoft Defender ポータル インシデントにアラートを関連付けるアクションは削除されます。
詳細については、「 Microsoft Defender for Cloud インシデントを Microsoft Defender XDR 統合で取り込む」を参照してください。
Defender for Cloud アラートをオフにする
Defender for Cloud のアラートは、既定でオンになっています。 サブスクリプションベースの設定を維持し、テナントベースの同期を避けるか、エクスペリエンスからオプトアウトするには、次の手順を実行します。
- Microsoft Defender ポータルで、[設定>Microsoft Defender XDR] に移動します。
- [ アラート サービスの設定] で、 Microsoft Defender for Cloud アラートを探します。
- [ アラートなし ] を選択して、すべての Defender for Cloud アラートをオフにします。 このオプションを選択すると、ポータルへの新しい Defender for Cloud アラートの取り込みを停止します。 以前に取り込まれたアラートは、アラートまたはインシデント ページに残ります。
ヒント
さらに多くの情報を得るには、 Tech Community 内の Microsoft Security コミュニティにご参加ください: 「Microsoft Defender XDR Tech Community」。