Important
この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここに記載されている情報に関して、明示または黙示を問わず、一切の保証を行いません。 Project Perception は現在、限定パブリック プレビュー段階です。 制限付きパブリック プレビュー プログラムは、より広範な一般提供の前に、定義されたプレビュー 期間に対して招待のみの小規模な顧客が Perception を利用できることを意味します。
検出のギャップは、セキュリティ運用チームにとって永続的な課題です。 効果的なカスタム検出を構築するには、アナリストが環境内で役立つルールを作成する前に、攻撃者の動作、使用可能なデータ スキーマ、クエリ ロジックを理解する必要があります。
検出作成エージェントは、アナリストが脅威インテリジェンスからカスタム検出の推奨事項を生成し、カスタム検出ルールの作成を高速化するのに役立ちます。 検出作成エージェントは、プロアクティブ保護ワークフローの一部として動作します。 プロアクティブな保護ワークフローは、脅威インテリジェンス (TI) の記事から始まり、複数のエージェントを使用して脅威インテリジェンスを実用的な検出に変えるエンドツーエンドのプロセスです。 脅威インテリジェンス エージェントは、TI の記事を分析し、攻撃者の動作と手法に関する情報を抽出します。 検出作成エージェントは、その分析を使用して、セキュリティ チームが環境内の同様のアクティビティを識別するのに役立つカスタム検出の推奨事項を生成します。
エージェントは、次を含む検出カバレッジ レポートを提供します。
- 提案された検出。これには、KQL クエリ ロジック、クエリ アプローチの説明、選択されたテーブルとスキーマ、実行頻度とルックバックの構成に加え、タイトル、説明、重大度、MITRE の戦術と手法、エンティティ マッピングの構成、およびアラートが生成された場合にアナリストが対処するのに役立つ推奨アクションを含む、検出およびアラートの完全なエンリッチメントが含まれます。
- 生成に使用される戦略、アラートボリュームの推定、既知の無害なソース、パラメーターチューニングの推奨事項、検出をデプロイする前に考慮すべき潜在的な制限など、提案された各検出の追加情報。
- 既に同様の動作をカバーしている既存のカスタム検出と分析ルールにより、検出エンジニアはそれらを確認し、重複の作成を回避できます。
アナリストは、推奨事項を確認し、レポートに関するフォローアップの質問を行い、カスタム検出ウィザードで推奨される検出を開いて、それを確認、調整、保存できます。 検出を保存することで、その検出がテナントで有効になります。
Important
検出作成エージェントはプレビューで利用できます。 機能と動作は、一般公開前に変更される可能性があります。
Detection Authoring Agent を使用する理由は何ですか?
忠実度の高い検出を構築するには、検出エンジニアが攻撃者のトレードクラフトを理解し、動作を検出ロジックにマップし、過剰なノイズを生成することなく、実際のデータに対してルールを検証する必要があります。 検出作成エージェントは、Microsoft Defenderの自律的な検出エンジニアとして機能し、検出エンジニアが脅威インテリジェンスと観察された攻撃パターンに基づいて検出の推奨事項を生成することで、脅威の範囲をより迅速に拡大するのに役立ちます。
プロアクティブな保護ワークフローでは、検出エンジニアは脅威インテリジェンスに関する記事から始まります。 脅威インテリジェンス エージェントは記事を分析し、戦術、手法、手順 (TCP) を生成し、検出作成エージェントはこれらの TCP を使用して検出を推奨します。 検出エンジニアは、対話型のチャット エクスペリエンスを通じて、検出ルールの調整、しきい値の調整、カバレッジのギャップの調査を続けることができます。
ユースケース例
| 利用シーン | Detection Authoring Agent |
|---|---|
| 脅威インテリジェンスから検出に関する推奨事項を生成する | 脅威インテリジェンスに関する記事で特定された攻撃者の行動に対応するために役立つ、提案された KQL ベースの検出を作成します。 |
| 検出範囲を MITRE ATT&CK にマッピングする | 検出範囲の既存のルールと表面のギャップによってカバーされる手法を特定します。 |
| 検出チューニングの推奨事項を確認する | 検出エンジニアが環境に対して提案された検出を調整するのに役立つ推奨事項を提供します。 |
| 検出の根拠について説明する | 各ルールで検出される内容と、ロジックがそのように構造化されている理由について、プレーン言語の説明を提供します。 |
| 推奨事項からカスタム検出を作成する | 頻度、重大度、MITRE 手法、アラートの詳細、エンティティ マッピングなどのフィールドが事前入力された状態で、カスタム検出ウィザードで推奨される検出を開きます。 |
| レポートに関するフォローアップの質問 | 検出エンジニアがエージェント チャットを使用して、検出レポートとその出力について質問できるようにします。 |
始める前の準備
検出作成エージェントを使用する前に、必要な製品の可用性、ライセンス、アクセス許可、および構成を確認します。
前提条件
環境内で検出作成エージェントを実行するには、次のものが必要です。
- プラグイン: 検出作成エージェントは、Microsoft Defender XDR、Microsoft脅威インテリジェンス、Microsoft Sentinel (該当する場合) のSecurity Copilotプラグインを自動的にアクティブ化します。
- 統合 RBAC: 統合されたロールベースのアクセス制御を有効にし、クエリを実行するデータ ソースに関連するワークロードをアクティブ化します。 詳細については、「 ワークロード固有の前提条件」を参照してください。
追加のアクセス許可が必要
Detection Authoring Agent を使用するには、Microsoft Defender XDR で次のアクセス許可も必要です。
- すべてのワークロード向けのセキュリティ データの基本: 読み取り
- カスタム検出ルール: 読み取りと書き込み
- 高度なハンティング: 読み取り
Defender ポータルでの統合 RBAC の詳細については、「 Microsoft Defender XDR 統合ロールベースのアクセス制御 (RBAC)」を参照してください。
Detection Authoring Agent を設定する
このエージェントを設定するには、「エージェントの セットアップ」の手順に従います。
新しい検出オーサリング エージェント セッションを開始する
セッションを開始する方法については、「 新しいセッションを開始する」を参照してください。
このエージェントは、次のプレイブックに従って動作します。
| プレイブック | 必須の入力 |
|---|---|
| 脅威から保護する | 脅威インテリジェンスに関する記事。 |
ページの右上隅にある省略記号 (...) を選択して、エージェントを管理します。 [ 一時停止 ] を選択してエージェントを一時的に停止するか 、[実行] を選択してエージェント アクティビティを再開します。
セッションが開始されると、プロアクティブ保護ワークフローによって、選択した脅威インテリジェンスに関する記事が分析され、 検出レポートが生成されます。 このレポートには、推奨される検出、検出ロジック、サポート情報が含まれており、アナリストは、記事で特定された脅威に対する推奨事項の対処方法を理解するのに役立ちます。
検出カバレッジレポートを確認する
セッションが完了すると、エージェントは概要ビューに表示される出力を生成します。
チャット インターフェイスのレポートでフォローアップの質問をすることができます。
エージェントは基本的に、TI 記事に記載されている脅威をカバーする検出の提案を提供します。 通常、TI 記事ごとに複数の検出が提案されます。 各検出には、 脅威の概要、 手法と戦略があります。
[検出] セクションのレポート内で、[ウィザードで開く] を選択して、Microsoft Defenderカスタム検出ウィザードで提案された検出を開きます。 必要に応じて検出設定を確認して変更し、検出規則を保存します。
テナントを考慮した検出分析とチューニング
一般的な検出の推奨事項とは異なり、エージェントはすべての提案を特定の環境に合わせて調整します。 これは、次の 3 つの主要な機能によって行われます。
テナント対応の検出の作成: エージェントは、テナントで使用できるテーブルとデータ ソースを識別し、そのデータに関する推奨事項に基づいています。 つまり、提案されたすべての検出は、存在しない可能性のあるデータの可用性を想定するのではなく、実際に環境が収集する内容に根付きます。
検出シミュレーションとノイズ推定: 提案された検出ごとに、エージェントはテナントの履歴データに対してシミュレーションを実行し、予想されるアラート ボリュームを報告します。 これにより、デプロイする前に、検出の想定される範囲、潜在的なノイズレベル、全体的な品質を早い段階で把握できます。
テナント固有の自動チューニング: エージェントは、シミュレーション結果に基づいて、ノイズが発生する可能性が高い検出を識別し、最適化を自動的に提案します。 生成されたアラートを分析することで、定期的な無害なパターンを検出し、それに応じてルールを調整できます。 たとえば、特定のユーザー、デバイス、またはアプリケーションがシミュレートされたアラートに頻繁に表示され、無害と評価された場合、エージェントは検出ロジックから除外することを推奨する場合があります。
検出カテゴリ
結果とテナント固有のベースラインに基づいて、提案された検出は自動的に 2 つのグループに分類されます。
- デプロイの準備完了: 検出は、環境内の他のカスタム検出と比較して、高品質で比較的低ノイズであることが期待されます。 これらは通常、最小限の追加レビューで有効にすることができます。
- チューニングが必要: 検出では、シミュレーション結果とテナント固有の特性に基づいて比較的高いレベルのノイズが生成されることが予想されます。 エージェントは、デプロイ前に品質を向上させるための具体的な推奨事項を提供します。
検出プロバイダー
エージェントが提案した検出には、Provider の値として Copilot が設定されます。 このプロパティを使用すると、カスタム検出リストでエージェントによって生成された検出をフィルター処理して識別できます。