Microsoft Defender XDRでの最初のインシデントへの対応

  • [アーティクル]

適用対象:

  • Microsoft Defender XDR

このガイドでは、ポータルの使用中に、新しいMicrosoft Defender XDR ユーザーが日常的なインシデント対応タスクを確実に実行するための Microsoft リソースの一覧を示します。 このガイドを使用した場合の目的の結果は次のとおりです。

  • Microsoft Defender XDRを使用してインシデントやアラートに対応する方法をすばやく学習します。
  • インシデントの調査と修復を支援するポータルの機能については、ビデオとチュートリアルを参照してください。

Microsoft Defender XDRを使用すると、すべての資産 (デバイス、ID、メールボックス、クラウド アプリなど) に関連する脅威イベントを表示できます。 ポータルは、 Defender Protection スイート、 Microsoft Sentinel、およびその他の 統合されたセキュリティ情報とイベント管理 (SIEM) ソリューションからのシグナルを統合します。 1 つのウィンドウで完全なコンテキストを持つ相関攻撃情報を使用すると、organizationを正常に防御および保護できます。

このガイドには、次の 3 つのメインセクションがあります。

  • インシデントの理解: ポータル内でのインシデントへのアクセス、トリアージ、管理
  • 攻撃の分析: ポータルの機能を使用して特定の攻撃を調査する方法に関するビデオとチュートリアルのコレクション。
  • 修復攻撃: 脅威を修復するためにポータル内で使用できる自動化された手動アクションの一覧を示します。 このセクションには、ビデオとチュートリアルへのリンクが含まれています。

インシデントについて

インシデントは、作成されたプロセス、コマンド、アクションのチェーンであり、一致していない可能性があります。 インシデントは、疑わしいアクティビティまたは悪意のあるアクティビティの全体像とコンテキストを提供します。 1 つのインシデントによって、複数のサービスから何百ものアラートをトリアージするのではなく、攻撃の完全なコンテキストが提供されます。

ヒント

2024 年 1 月の期間限定で、[ インシデント ] ページにアクセスすると、Defender Boxed が表示されます。 Defender Boxed では、2023 年中のorganizationのセキュリティの成功、機能強化、対応アクションが強調表示されます。 Defender Boxed を再度開くには、Microsoft Defender ポータルで [インシデント] に移動し、[Defender Boxed] を選択します。

Microsoft Defender XDRには、インシデントへの対応に使用できる多くの機能があります。 インシデント間を移動するには、[ホーム] ページの [アクティブなインシデント] カードのすべてのインシデントを表示する] を選択するか、左側のナビゲーション ウィンドウで [インシデント] & アラートを使用します。

ホーム ページの図 1 に示されているすべてのインシデントMicrosoft Defender XDR表示します。Microsoft Defender XDR ホーム ページにカードされているアクティブなインシデント

Microsoft Defender XDRFigure 2 のインシデント キュー。インシデント キュー

各インシデントには、さまざまな検出ソースからの自動的に関連付けられたアラートが含まれており、さまざまなエンドポイント、ID、またはクラウド アプリが含まれる場合があります。

インシデントトリアージ

インシデントの優先順位付けは、レスポンダー、セキュリティ チーム、organizationごとに異なります。 インシデント対応計画 とセキュリティ チームの指示により、インシデントの優先順位が義務付けられます。

Microsoft Defender XDRには、インシデントの重大度、ユーザーの種類、インシデントをトリアージして優先順位を付ける脅威の種類など、さまざまなインジケーターがあります。 インシデント キュー フィルターを使用すると、これらのインジケーターを任意の組み合わせですぐに使用できます。

インシデントの優先順位を決定する例は、インシデントに対して次の要素を組み合わせることです。

  • インシデントの重大度は高いです。
  • 自動化調査の状態が失敗しました。
  • 影響を受ける資産は 5 つあり、そのうちの 2 つの資産には機密性の高いデータ機密性が付けられます。
  • インシデントの状態が新しい。
  • インシデントは、調査のためにチーム メンバーに割り当て解除されます。

上記の情報を使用して、インシデントに高い優先度を割り当てることができます。 優先度が決定されたら、インシデント調査を開始できます。

注:

Microsoft Defender XDRは、重大度、調査状態、影響を受けた資産、インシデントの状態などのフィルターを自動的に決定します。 この情報は、脅威インテリジェンス フィードと適用された自動修復アクションによってコンテキスト化されたorganizationのネットワーク アクティビティに基づいています。

インシデントを管理する

インシデントとアラートに不可欠な情報を提供することで、インシデント 管理 の効率に貢献できます。 各インシデントをトリアージして分析するときに、次のフィルターに情報を追加する場合は、他のレスポンダーが利用できるそのインシデントにさらにコンテキストを提供します。

このビデオを使用してインシデントとアラートを分類する方法について説明します。

次の手順

関連項目

ヒント

さらに多くの情報を得るには、 Tech Community: Microsoft Defender XDR Tech Community の Microsoft Security コミュニティとEngageします。