Important
この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここに記載されている情報に関して、明示または黙示を問わず、一切の保証を行いません。 Project Perception は現在、限定パブリック プレビュー段階です。 制限付きパブリック プレビュー プログラムは、より広範な一般提供の前に、定義されたプレビュー 期間に対して招待のみの小規模な顧客が Perception を利用できることを意味します。
脅威インテリジェンス レポートは絶えず公開されますが、一般的な TI コンテンツを実用的な組織固有のガイダンスに変換するには、アナリストの多大な労力が必要です。 各チームは、大量のインテリジェンスに対応し、それが自社固有の環境にとってどの程度関係があるのかを理解することに苦労しています。 インジケーターの抽出、MITRE ATT&CK へのマッピング、およびハンティング クエリの手動生成は、防御アクションを遅らせる時間のかかる作業です。
このエージェントは、脅威インテリジェンスの記事を分析し、セキュリティ チームや他のエージェントが使用できる構造化されたインテリジェンスに変換します。 エージェントは、記事を要約するのではなく、脅威インテリジェンスと環境コンテキストに基づいてアクション可能な情報を抽出し、顧客固有のコンテキストで結果を強化し、特定の脅威が組織にどのように適用されるかに関する分析情報を生成します。
脅威インテリジェンス エージェントは、マルチエージェント 脅威への対処 プレイブックの起点として機能し、その出力は Recon Agent、Posture Prioritization Agent、および Detection Authoring Agent に直接渡されます。
この記事では、機能、前提条件、実行手順を確認します。
主な機能
脅威インテリジェンス エージェントは、脅威インテリジェンス コンテンツの複数ステップで AI によって調整された分析を実行します。
- 構造化インテリジェンス オブジェクトを抽出します。非構造化脅威インテリジェンス レポートから IOC、TCP、マルウェア ファミリ、CVE、脅威アクター情報を識別します。
- 技術を MITRE ATT&CK にマップする: 攻撃者の手法を識別し、ソース インテリジェンスからの証拠を使用して MITRE ATT&CK フレームワークにマップします。
- 特定の環境との関連性を評価します。脅威が組織の業界、テクノロジ スタック、環境にどのようにマップされるかを分析します。
- テレメトリを対象範囲にしたハンティング クエリを生成します。脅威のインジケーターを検索するために、Defender XDR データ ソースに合わせて調整された KQL ハンティング クエリを作成します。
- 優先順位付けされた防御の推奨事項を生成する: 環境に対する影響と実現可能性によってランク付けされた実用的な防御手順を提供します。
- Microsoft Defender 脅威インテリジェンスと統合: 抽出された IOC をMicrosoft Defender 脅威インテリジェンス (MDTI) から追加のコンテキストでエンリッチします (使用可能な場合)。
- 下流のエージェントに情報を提供：検出ルール作成エージェント、偵察エージェント、およびポスチャ優先順位付けエージェントがマルチエージェント プレイブックで活用する構造化されたインテリジェンスを提供します。
始める前の準備
前提条件
脅威インテリジェンス エージェントには、次の製品が必要です。
- Microsoft Defender XDR
- 完全な TI データ アクセスとエンリッチメントのためのMicrosoft Defender 脅威インテリジェンス (MDTI)
エージェントに付与されたアクセス許可
エージェントの構成中に、エージェントに次のアクセス許可を付与します。
-
Microsoft Defender XDR API のアクセス許可:
- ThreatIntelligence.Read.All
- ThreatHunting.Read.All
- AdvancedHunting.Read.All
-
Microsoft Defender 脅威インテリジェンス API のアクセス許可:
- ThreatIntelligence.Read.All
-
Microsoft Graph API のアクセス許可:
- SecurityEvents.Read.All
脅威インテリジェンス エージェントを設定する
このエージェントを設定するには、「エージェントの セットアップ」の手順に従います。
脅威インテリジェンス エージェント セッションを開始する
セッションを開始する方法については、「 新しいセッションを開始する」を参照してください。
このエージェントは、次のプレイブックに従って動作します。
| プレイブック | 必須の入力 |
|---|---|
| 脅威インテリジェンスを抽出する | 脅威インテリジェンス記事の URL、脅威アクター プロファイル、または TI レポート。 Microsoft Defender 脅威インテリジェンスから URL を指定することも、Defender ポータルから記事を選択することもできます。 |
| 脅威から保護する | 脅威インテリジェンスに関する記事。 |
Note
このエージェントは、Defender ポータルの脅威インテリジェンスに関する記事から直接開始することもできます。 詳細については、「 インシデントと脅威インテリジェンスからプレイブックを実行する」を参照してください。
タスク計画を承認する
最初のタスク 計画を生成すると、エージェントは一時停止し、入力が必要であることを示すメッセージを表示します。 セッションの状態が [入力の待機中] に変わります。
次の 3 つのオプションがあります。
| オプション | それが何をするか |
|---|---|
| 承認 | プランを確認します。 エージェントは作業を続行します。 |
| 拒否とリダイレクト | 現在のプランを拒否し、さまざまな手順を指定できます。 エージェントが、お客様の確認用に、修正版の計画を生成します。 |
| 質問する | コミットせずにプランについて質問できます。 これを使用して、承認する前にエージェントがアクセスする内容を理解します。 |
セッションの進行状況を監視する
セッションの実行中に、セッションの詳細パネルに次の情報が表示されます。
- 概要: 現在のセッションの状態と完了した作業の概要。
- 進行状況: 脅威インテリジェンス分析の完了した手順を追跡します。
- エージェント: このセッションに割り当てられている脅威インテリジェンス エージェント。
- 入力: 指定した脅威インテリジェンス ソース。
- 成果物: これまでに生成された出力ファイル。セッションの進行に合わせて更新されます。
セッションの状態の値
| 地位 | Description | 次に何が起こるか |
|---|---|---|
| 進行中 | 1 つ以上のエージェントがアクティブに動作しています。 | エージェントが作業を完了するか入力を要求するまで、セッションは続行されます。 |
| 入力を待機しています | 1 つ以上のエージェント タスクが一時停止され、続行するにはユーザー入力が必要です。 | エージェントの要求を確認し、承認、拒否、または代替ガイダンスを提供します。 |
| Completed | すべてのエージェント タスクが正常に完了しました。 | セッションの概要と成果物を確認します。 セッションはアーカイブされます。 |
| 停止 | ユーザーは、 Stop を選択してセッションを手動で強制終了しました。 | 未完了のエージェント アクティビティも 停止済みとマークされます。 セッションを再開できないため、アーカイブされます。 |
出力を確認する
脅威インテリジェンス エージェントは、次のセクションを含む包括的な脅威インテリジェンス分析レポートを生成します。
- エグゼクティブの概要: 脅威、そのターゲット パターン、および組織に対する主要なリスクの簡潔な概要。
- 脅威アクター プロファイル: 脅威アクターの TCP、既知のターゲット パターン、アクターに焦点を当てたレポートを分析する場合の履歴アクティビティの概要。
-
抽出された IOC: 次の情報を含む侵害指標の構造化リスト:
- IP アドレス
- ドメイン名
- ファイル ハッシュ (MD5、SHA-1、SHA-256)
- URLズ
- 電子メール アドレス
- 各 IOC には、使用可能な場合はMicrosoft Defender 脅威インテリジェンスからのエンリッチメント データが含まれます。
- MITRE ATT&CK マッピング: ソース インテリジェンスからの証拠を使用して MITRE ATT&CK フレームワークにマップされた監視された脅威手法。
- 環境関連性評価: 脅威が組織の業界、テクノロジ スタック、環境にどのようにマップされるかを分析します。 このセクションでは、「この脅威について懸念すべきですか?」と回答します。
- KQL ハンティング クエリ: 環境内の脅威のインジケーターを検索するために、Microsoft Defender XDR テレメトリを対象にしたすぐに使用できる KQL クエリ。
-
防御に関する推奨事項: 影響と実現可能性によってランク付けされた検出、防止、軽減のための優先順位付けされたアクション。 推奨事項には、次のようなものがあります。
- 検出ルールの更新
- 構成強化
- IOC ブロック
- ユーザー認識ガイダンス
- ハンティング アクティビティ
レポート出力は、セッション詳細ビューの [成果物 ] セクションにマークダウン ファイルとして表示されます。 KQL ハンティング クエリは、Microsoft Defender ポータルで簡単に実行できるように、個別のテキスト ファイルとしても提供されます。
Important
脅威インテリジェンス エージェントの出力は、AI によって生成され、脅威インテリジェンス ソースとDefender XDR API を介して使用可能なデータに固定されます。 運用環境で実行する前に、常に結果の精度を確認し、テスト環境でハンティング クエリを検証します。
ハンティング クエリを実行する
出力を確認したら、ハンティング クエリを実行できます。
- 出力成果物から KQL クエリをコピーします。
- Microsoft Defender ポータルで、[ハンティング>Advanced hunting] に移動します。
- クエリ エディターに KQL クエリを貼り付けます。
- クエリ ロジックを確認し、必要に応じて時間範囲またはフィルターを調整します。
- [ クエリの実行 ] を選択して、環境内のインジケーターを検索します。
- 結果を確認し、一致が確認された項目をインシデント対応プロセスに従ってエスカレーションします。