攻撃調査エージェント

適用対象: Project Perception

Important

この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここに記載されている情報に関して、明示または黙示を問わず、一切の保証を行いません。 Project Perception は現在、限定パブリックプレビュー段階です。制限付きパブリックプレビュープログラムは、より広範な一般提供の前に、定義されたプレビュー期間に対して招待のみの小規模な顧客が Perception を利用できることを意味します。

攻撃調査エージェントは、セキュリティ運用チーム向けの自律レベル 2 の調査担当者です。エージェントは、1 つのアラートまたはインシデントから開始して、Microsoft Defenderのシグナルを関連付けて、攻撃ストーリー、スコープ、および影響を再構築します。

分析は、アナリストまたはトリアージエージェントによる事前トリアージの有無に関係なく開始できます。この記事では、エージェントの機能と前提条件について説明します。また、エージェントを設定し、セッションを実行して監視し、結果を確認する方法についても説明します。

主な機能

攻撃調査エージェントは、次の複数ステップの AI によって調整された調査を実行します。

攻撃の完全なストーリーを再構築します。攻撃を受けたユーザー、アクセスを取得した方法、影響を受けたリソース、攻撃の範囲と影響について説明します。エージェントは個々のアラートだけにとどまりません。
明確で実用的な回答を提供します。攻撃の範囲、初期アクセス、進行、技術的影響、調査の状態、分類について説明します。
広範な攻撃を調査する: 定義済みのシナリオに依存せずに、ユーザー、デバイス、クラウドアプリ、コンテナー、その他のエンティティを含む攻撃を調査します。
対話型調査をサポート: アナリストが調査全体を通じてエージェントとチャットして質問したり、より詳細な分析を要求したりできます。
環境に適応する: 複数のデータソースを使用し、組織のポリシーとプラクティスに従います。

前提条件

必要なライセンス

攻撃調査エージェントを使用するには、組織で次のものが必要です。

Microsoft 365 E5
Microsoft Defender XDR

組織は、Microsoft Defender Data Lake と統合されたセキュリティエクスペリエンスにもオンボードする必要があります。

より広範な調査範囲については、推奨される製品は攻撃の種類によって異なります。

クラウドとコンテナーの攻撃:
- Microsoft Defender for Cloud
- Microsoft Defender for Containers
ID 攻撃:
- Microsoft Entra ID P2
- Microsoft Defender for Identity
- Microsoft Defender for Cloud Apps（クラウドアプリを守るマイクロソフトのセキュリティサービス）

推奨されるロールベースのアクセス制御

Microsoft Defender統合ロールベースのアクセス制御 (RBAC) を使用します。この構成は、調査の品質とカバレッジに推奨されます。

スコープ付きリソースへのアクセス

組織でエンドポイントデバイスグループにDefenderを使用している場合は、セッションを実行する前に、必要なすべてのデバイスグループにエージェント ID を追加します。エージェントのセットアップではこれを行いません。割り当てられていないグループ内のデバイスに関連するインシデントは失敗するか、不完全な結果を返します。

その他のスコープについては、「エージェントの設定」を参照してください。

フィッシング調査に推奨される構成

ユーザーから報告されたフィッシング調査で最適なカバレッジと調査の品質を得る場合は、次の設定を構成します。

Microsoft Defender for Office 365: 次のユーザー報告設定を構成します。
- [Outlook で報告されたメッセージを監視する] を選択します。
- ユーザーから報告されたメッセージが、報告メールボックス、Microsoft、またはその両方に送信されるように構成します。 Microsoft以外のレポートツールを使用する場合は、レポートされたメッセージがMicrosoftおよびレポートメールボックスまたはレポートメールボックスのみに送信されるように、ツールを構成します。
Microsoft Defender:
- ユーザーによってマルウェアまたはフィッシングアラートポリシーとして報告された電子メールを有効にします。詳細については、「Microsoft Defenderのアラートポリシー」を参照してください。
- 組み込みの 自動解決 - ユーザーによってマルウェアまたはフィッシングとして報告されたメール アラートチューニングルールと、このアラートを解決するすべてのカスタムチューニングルールを無効にします。詳細については、「アラートの調整」を参照してください。

エージェントを設定する

このエージェントを設定するには、「エージェントのセットアップ」の手順に従います。

セッションを開始する

セッションを開始する方法については、「新しいセッションを開始する」を参照してください。

攻撃調査エージェントは、次のプレイブックを使用します。

プレイブック	必須の入力
攻撃を調査する	Microsoft Defender ポータルからの 1 つのアラートまたはインシデントの ID。

Note

このエージェントは、Defender ポータルのアラートまたはインシデントの詳細ページから直接開始することもできます。詳細については、「インシデントと脅威インテリジェンスからプレイブックを実行する」を参照してください。

セッションの進行状況を監視する

セッションの実行中に、セッションの詳細パネルに次の情報が表示されます。

概要: 現在のセッションの状態と完了した作業。
進行状況: 調査手順が完了しました。
エージェント: セッションに割り当てられたエージェント。
入力: 指定したアラートまたはインシデント ID。
成果物: 調査中に生成された出力ファイル。

セッションの状態の値

地位	Description
進行中	エージェントはアクティブに動作しています。
Completed	セッションは正常に完了し、すべての出力が使用可能です。
エラーが発生して完了しました	セッションが 1 つ以上の問題で終了しました。詳細については、セッションの詳細を確認してください。

出力を確認する

攻撃調査エージェントは、次のセクションを含む調査レポートを生成します。

エグゼクティブサマリー: 利害関係者向けおよびエスカレーション用の攻撃の概要。
インシデントの判定: 真陽性、偽陽性、または透過的な推論で無害として分類します。
攻撃タイムライン: 初期アクセスから侵害後のアクティビティに至るまでの攻撃の進行を示す、主要なイベントの時系列。
影響を受けるエンティティ: 攻撃の影響を受ける特定されたユーザー、デバイス、アプリケーション。
MITRE ATT&CK 手法の観察: 観察された攻撃者の行動と MITRE ATT&CK 手法のマッピングと各手法の証拠。
侵害のインジケーター: IP アドレス、ドメイン、ファイルハッシュ、URL、脅威インテリジェンスコンテキストを含む電子メールアドレスなど、侵害の抽出および強化されたインジケーター (IOC)。
推奨される次の手順: 封じ込め、修復、防止のための優先順位付けされたアクション。

レポートは、セッションの詳細の [成果物 ] セクションにマークダウンファイルとして表示されます。レポートをダウンロードして、インシデントドキュメントまたはコンプライアンスレコードに追加できます。