Important
この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここに記載されている情報に関して、明示または黙示を問わず、一切の保証を行いません。 Project Perception は現在、限定パブリック プレビュー段階です。 制限付きパブリック プレビュー プログラムは、より広範な一般提供の前に、定義されたプレビュー 期間に対して招待のみの小規模な顧客が Perception を利用できることを意味します。
Posture Prioritization Agent は、組織全体のセキュリティ チームと利害関係者が、最初に修正する内容とその理由を理解するのに役立ちます。 エージェントは、2 つのケースをサポートしています。1 つは、通常の修復計画に向けた 広範なセキュリティ体制の優先順位付け、もう 1 つは、特定の脅威に対する影響範囲を把握するための 脅威起点のセキュリティ体制対応 です。 どちらの場合も、エージェントは姿勢の結果を分析し、リスク、悪用可能性、露出、資産の重要度、使用可能なDefenderシグナルに基づいて、説明可能で優先順位付けされたアクション プランを作成します。 プレビューでは、エージェントは読み取り専用であり、クラウドとデバイスのポスチャ シナリオに重点を置いています。
このエージェントの主な価値は、大量の態勢に関する検出結果の中から、本当に重要な項目を抽出できる点にあります。
- 手動でのトリアージを削減 - セキュリティ態勢の検出結果を大規模に取り込むことで、セキュリティ管理者や脆弱性管理チームがそれらを手作業で一つひとつ確認・仕分けする必要がなくなります。
- ランク付けされたアクション プランを生成 します。結果の生ダンプではなく、修復アクションの順序付けされた一覧を提供します。
- 優先順位 付けされたすべてのアクションについて、エージェントは根拠、支持証拠、および行動しないことの影響を説明するため、チームは利害関係者に意思決定を正当化できます。
- 実際のリスクシグナルを使用します 。ランク付けは、重大度スコアだけでなく、実際のリスクシグナルを反映します。
Posture Prioritization Agent を利用する理由
Posture Prioritization Agent は、セキュリティにおける侵害前、つまり攻撃が発生する前に行われる作業に対応します。 セキュリティ管理者や脆弱性管理チームには、「このソフトウェアにパッチを適用する」「このネットワーク構成を修正する」「この公開状態を解消する」といった、セキュリティ体制に関する推奨事項が絶え間なく持ち込まれます。 課題は推奨事項の不足ではなく、リスクを最大限に減らすために最初に対処するものを知っています。
Posture Prioritization Agent は、この手動トリアージの負担を軽減します。 クラウド資産とデバイス全体からポスチャ評価結果を取り込み、説明可能なリスクベースの優先順位付けに基づいて、優先順位付きのアクション プランを作成します。 エージェントは、結果をランク付けするだけでなく、各アクションが優先される理由、決定に影響を与えたシグナル、および推奨事項をサポートする証拠について説明します。 また、各項目に対処しないことによる影響も伝達されるため、チームは優先順位付けの決定を利害関係者に正当化できます。 この理由は、セキュリティ チームが出力を信頼して伝達する方法の中心です。
Scenarios
Posture Prioritization Agent では、次のシナリオがサポートされています。
| 全体的な態勢の優先順位付け | 脅威主導の態勢対応 | |
|---|---|---|
| 質問とその回答 | "自分の環境で最初に修正する必要がある問題" | 「私はこの脅威にさらされ、私は何をすべきですか? |
| いつ使用するか | 日常的な態勢管理 - 特定の脅威を想定しない | 特定の脅威が表面化し、露出を理解する必要がある |
| 入力が必要 | None | 脅威インテリジェンス記事のURL、脅威アクター名、CVE、またはTTPs |
| プレイブック | 態勢改善の計画 | 脅威から保護する |
| どのように機能するのか | 環境全体の姿勢シグナルを評価し、優先順位付けされたアクション プランを作成します | まず脅威の手法をお客様のセキュリティ体制の検出結果に対応付け、次にその特定の脅威の文脈に基づいて修復対応の優先順位を付けます |
全体的な態勢の優先順位付け
このシナリオは、継続的な体制管理に使用します。 脅威の入力は必要ありません。 エージェントは、クラウド資産とデバイス全体の体制シグナルを評価し、優先順位付けされたアクション プランを生成します。 結果のランク付けの詳細については、「 レポートの内容」を参照してください。
プレイブック: 態勢の修復計画の策定
脅威主導の態勢対応
特定の脅威が表面化し、露出を理解する必要がある場合は、このシナリオを使用します。 エージェントは、優先順位付けを行う前に脅威の手法をポスチャの検出結果に対応付けるため、出力はポスチャ キュー全体ではなく、その特定の脅威にとって重要な内容に絞り込まれます。
- 脚本： 脅威から保護する
- 必須入力: 脅威インテリジェンス記事のURL、脅威アクター名、CVE、または一連のTTPs
Note
これらは、出力が異なる個別のフローです。 脅威からの保護プレイブックでは、優先順位を付ける前に、対象となる脅威に絞って態勢を分析します。 態勢の修復計画の策定プレイブックでは、脅威による絞り込みを行わず、現在の態勢に関する検出結果に直接優先順位を付けます。
始める前の準備
Posture Prioritization エージェントを使用する前に、必要な製品の可用性、ライセンス、アクセス許可、および構成を確認します。
前提条件
環境内で Posture Prioritization エージェントを実行するには、次のものが必要です。
- Microsoft 365 E5
Defender Cloud Security Posture Management (CSPM) が有効になっているMicrosoft Defender for Cloudは、クラウド シグナルのサブスクリプション レベルで必要です。 追加のプランを有効にすると、エージェントが操作するためのより多くの姿勢信号が表示されます。 詳細については、「 クラウド セキュリティ体制管理 (CSPM) とは」を参照してください。
Defender ポータルでの統合 RBAC の詳細については、「 Microsoft Defender XDR 統合ロールベースのアクセス制御 (RBAC)」を参照してください。
ポスチャ優先順位付けエージェントを設定する
このエージェントを設定するには、「エージェントの セットアップ」の手順に従います。
Posture Prioritization Agent セッションを開始する
セッションを開始する方法については、「 新しいセッションを開始する」を参照してください。 このエージェントは、シナリオが異なる 2 つのプレイブックをサポートしています。 現在のニーズに一致するものを選択します。
Note
これらは個別のフローです。 脅威からの保護プレイブックでは、優先順位を付ける前に、対象となる脅威に絞って態勢を分析します。 ポスチャ修復計画プレイブックは、脅威フィルターを使用せずに、現在のポスチャの検出結果に直接優先順位付けを適用します。
態勢改善の計画
シナリオ (広範な体制の優先順位付け):"自分の環境で最初に修正すべきものは何ですか?
現在のクラウドとデバイスの状態の結果に基づいてランク付けされた修復計画が必要な場合は、このプレイブックを使用します。 脅威の入力は必要ありません。 エージェントは、環境全体の姿勢シグナルを評価し、優先順位付けされたアクション プランを生成します。
- プレイブックに移動します。
- 態勢の修復計画の策定プレイブックを選択します。
- [ 新しいセッション] を選択します。
- [ セッションの開始] を選択します。
脅威から保護する
シナリオ (脅威を起点とした態勢対応):「新しい脅威が発生しました。自分の環境は影響を受ける状態ですか? 何をすべきですか?」
このプレイブックは、特定の脅威が表面化し、露出を把握し、それに応じて修復に優先順位を付ける必要がある場合に使用します。 エージェントは、優先順位を付ける前に、その脅威と態勢に関する検出結果をマッピングします。
- プレイブックに移動します。
- 脅威からの保護プレイブックを選択します。
- [ 新しいセッション] を選択します。
- 必要な脅威の入力 (脅威インテリジェンスに関する記事) を提供します。
- [ セッションの開始] を選択します。
セッションの進行状況を監視する
セッションが開始されると、エージェントは Project Perception にセッションを作成します。 セッションを表示および管理するには、[ エージェント] に移動し、[ 使用中のエージェント] の下にあるポスチャ優先度設定エージェントを見つけて、[ エージェントに移動] を選択します。
[Posture Prioritization Agent] ページには、次のタブが含まれています。
| タブ | Description |
|---|---|
| Overview | エージェントの状態、プレイブック、ID、アクセス許可、および最近のセッションを表示します。 |
| セッション | 現在の状態や最近のアクティビティを含むセッションを表示します。 セッションを開いて結果を確認し、チャットでフォローアップの質問を続けます。 |
ページの右上隅にある省略記号 (...) を選択して、エージェントを管理します。 [ 一時停止 ] を選択してエージェントを一時的に停止するか 、[実行] を選択してエージェント アクティビティを再開します。
レポートを理解する
Note
結果は実行によって異なる場合があります。 これは、推奨事項が正しくないという意味ではありません。 推奨される各アクションは、分析時に使用可能なリスクシグナルと証拠に対して評価されます。
セッションが完了したら、セッション インターフェイスで [概要 ] を選択してセッションの概要を表示します。 完全な出力ファイルは、セッションの詳細パネルの [出力 ] セクションでダウンロード可能な Markdown ファイルとしても使用できます。 出力は、実行の主な結果です。 環境のリスクを軽減するために優先順位を付ける上位の露出が含まれています。
セッション チャット インターフェイスでレポートをフォローアップできます。 エージェントに、特定のアクションの説明、特定のワークロードへの集中、推奨事項の背後にある理由の詳細の提供を依頼します。
レポートの内容
セッションの概要には、次のものが含まれます。
- 見出し - セッションの結果と主要な結果の簡潔な概要。
- 何が起こった か - エージェントが何を分析し、何を見つけたかを説明する物語。
- 次の操作 - 推奨される修復アクションの優先順位付けされた一覧。
完全な出力は、セッションの詳細パネルの [出力 ] セクションでダウンロード可能な Markdown ファイルとしても使用できます。
プレビューのスコープと制限事項
プレビュー期間中は、次のスコープと制限が適用されます。
| Scope | 詳細情報 |
|---|---|
| 読み取り専用 | エージェントは分析し、推奨します。環境に変更を加えたり、修復アクションを適用したりすることはありません |
| クラウドとデバイスの体制 | プレビューでは、エージェントはクラウドの資産とデバイスに重点を置いています。 |
| Defender のシグナルのみ | エージェントは、お客様の Defender 環境で利用可能なポスチャ シグナルと連携して動作します。 サードパーティの CSPM データと外部ソースからのシグナルは、プレビューではサポートされていません。 |