Important
この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここに記載されている情報に関して、明示または黙示を問わず、一切の保証を行いません。 Project Perception は現在、限定パブリック プレビュー段階です。 制限付きパブリック プレビュー プログラムは、より広範な一般提供の前に、定義されたプレビュー 期間に対して招待のみの小規模な顧客が Perception を利用できることを意味します。
統合シナリオでは、最初に Project Perception に移動することなく、Microsoft Defender ポータルの他の領域からエージェント セッションを開始できます。 インシデントの詳細ページや脅威インテリジェンスに関する記事から直接プレイブックを実行し、ワークフローを合理化し、コンテキストの切り替えを減らすことができます。
統合シナリオとは
統合シナリオは、特定のMicrosoft DefenderサーフェスをProject Perception に接続するコンテキスト内セッションの開始ポイントです。 インシデントを調査したり、脅威インテリジェンスに関する記事を確認したりする場合は、ページを離れることなく、そのアイテムに対してエージェント セッションをすぐに開始できます。
統合シナリオは、次の環境で使用できます。
- インシデントの詳細ページ: 特定のインシデントに対してプレイブックを実行して、トリアージ、調査、または対応タスクを自動化します。
- 脅威インテリジェンスの記事ページ: 脅威の調査、インジケーター分析、またはプロアクティブハンティングを自動化するために、脅威インテリジェンス記事でプレイブックを実行します。
インシデントからプレイブックを実行する
インシデントからエージェント セッションを開始するには:
- Microsoft Defender ポータルで、[インシデントとアラート>Incidents] に移動します。
- インシデントを選択して詳細ページを開きます。
- インシデントの詳細ページで、[ プレイブックの実行 ] ボタンを見つけます。 このボタンは、ページの上部近くに表示されます。通常は、[ 割り当て] や [解決] などの他のインシデント アクションと共に表示されます。
- [ プレイブックの実行] を選択します。 使用可能なプレイブックを示すメニューが表示されます。
- メニューには、次のプレイブックのみが表示されます。
- インシデントを入力として受け入れる
- 必要なすべてのエージェントを設定して有効にする
- セキュリティ閲覧者ロールまたはセキュリティ管理者ロールを持つユーザーがアクセス可能
- メニューからプレイブックを選択します。 該当するプレイブックが 1 つだけ存在する場合、ボタン テキストに "プレイブックの実行" ではなくプレイブック名が表示されることがあります。
- (省略可能)後でセッションを識別するのに役立つセッション名または説明を追加します。
- [ セッションの開始] を選択します。
Project Perception は新しい共有セッションを作成します。 セッションは、Project Perception のセッションの一覧に "進行中" 状態で表示されます。
インシデントに関連するセッションを表示する
特定のインシデントにリンクされているすべてのエージェント セッションを表示するには:
- インシデントの詳細ページを開きます。
- [ エージェント セッション ] セクションまでスクロールします (場所はインシデントの詳細ページ レイアウトによって異なります)。
- このセクションには、インシデントに関連するすべてのセッションが一覧表示されます。
- セッション名
- 開始時刻
- 地位
- 関係するエージェント
セッション名を選択して、その詳細ページを Project Perception で開きます。
Note
[エージェント セッション] セクションは、少なくとも 1 つのセッションがインシデントにリンクされている場合にのみ表示されます。
脅威からプレイブックを実行する
脅威からエージェント セッションを開始するには:
- Microsoft Defender ポータルで、脅威インテリジェンス>脅威分析に移動します。
- 脅威を選択して詳細ページを開きます。
- 記事の詳細ページで、[ エージェントプレイブックの実行 ] ボタンを見つけます。 ページの上部付近にボタンが表示されます。
- [ エージェント プレイブックの実行] を選択します。 使用可能なプレイブックを示すメニューが表示されます。
- メニューには、次のプレイブックのみが表示されます。
- 脅威インテリジェンスに関する記事を入力として受け入れる
- メニューからプレイブックを選択します。 該当するプレイブックが 1 つだけ存在する場合、ボタン テキストに "プレイブックの実行" ではなくプレイブック名が表示されることがあります。
- (省略可能)セッション名または説明を追加します。
- [ セッションの開始] を選択します。
Project Perception は新しい共有セッションを作成します。 セッションは、Project Perception のセッションの一覧に "進行中" 状態で表示されます。
脅威インテリジェンスに関する記事に関連するセッションを表示する
特定の脅威インテリジェンスの記事にリンクされているすべてのエージェント セッションを表示するには:
- 脅威インテリジェンス記事の詳細ページを開きます。
- [エージェント セッション] セクションまでスクロールします (場所は記事の詳細ページ レイアウトによって異なります)。
- このセクションには、次のような記事に関連するすべてのセッションが一覧表示されます。
- セッション名
- 開始時刻
- 地位
- 関係するエージェント
セッション名を選択して、その詳細ページを Project Perception で開きます。
Note
[エージェント セッション] セクションは、少なくとも 1 つのセッションが記事にリンクされている場合にのみ表示されます。
プレイブックのスコープについて
統合シナリオを使用する場合、プレイブック メニューには、現在の入力の種類と互換性のあるプレイブックのみが表示されます。 このスコープにより、無関係なプレイブックが表示されないようにします。
| 入力タイプ | 表示されているプレイブック |
|---|---|
| インシデント | 必要な入力としてインシデントを受け入れるプレイブックのみ。 |
| 脅威インテリジェンスに関する記事 | 必要な入力として脅威インテリジェンス記事を受け入れるプレイブックのみ。 |
入力の種類に使用できるプレイブックがない場合は、[ プレイブックの実行 ] ボタンが無効になっているか、表示されません。
複数のプレイブックと単一のプレイブック
- 複数のプレイブックを使用できます:ボタンテキストには「プレイブックの実行」と表示され、選択するとメニューが表示されます。
- 使用可能な 1 つのプレイブック: ボタン テキストにプレイブック名が表示されます (例: "Incident Triage Automation")。 ボタンを選択すると、メニューが表示されずにセッションがすぐに開始されます。
統合シナリオの利点
統合シナリオには、いくつかの利点があります。
- コンテキスト切り替えの削減: 現在の調査を終了せずにエージェント セッションを開始します。
- 迅速な対応: 関連するインシデントや脅威を特定すると、すぐにタスクを自動化できます。
- コンテキストに応じた推奨事項: 調査中のアイテムに関連するプレイブックのみを表示します。
- 統合ワークフロー: セッションは、Project Perception と関連するインシデントまたは記事の詳細ページの両方に表示され、統合ビューが作成されます。
制限事項
統合シナリオには、いくつかの制限があります。
- 入力の種類の制限: プレイブックは、特定の入力の種類 (インシデントまたは脅威インテリジェンスに関する記事) を受け入れるように設計されている必要があります。 他の入力 (IP アドレスやファイル ハッシュなど) を必要とするプレイブックは、統合シナリオでは使用できません。
- エージェントのアクセス要件: プレイブックでエージェントを使用するには、 セキュリティ閲覧者 または セキュリティ管理者 ロールが必要です。 必要なロールがない場合、プレイブックはメニューに表示されません。
- 手動トリガーのみ: 統合シナリオでは、手動トリガーを含むプレイブックのみがサポートされます。 自動トリガー (イベント ベースまたは時間ベース) は、統合シナリオでは使用できません。