Microsoft Defender XDRは、Microsoft Sentinelを補完する拡張検出および応答 (XDR) ソリューションです。 XDR は、クラウド アプリケーション、電子メール セキュリティ、ID、アクセス管理などの複数のサービスから生のテレメトリ データをプルします。
人工知能 (AI) と機械学習を使用して、XDR は自動分析、調査、リアルタイム応答を実行します。 また、セキュリティ アラートをより大きなインシデントに関連付け、セキュリティ チームは攻撃をより可視化し、インシデントの優先順位を付けて、アナリストが脅威のリスク レベルを測定できるようにします。
Microsoft Sentinelを使用すると、組み込みのコネクタと業界標準を使用して、多くのセキュリティ ソースに接続できます。 その AI を使用すると、複数のソースにまたがる複数の忠実度の低い信号を関連付けて、ランサムウェアのキル チェーンと優先順位付けされたアラートの完全なビューを作成できます。
一般的な攻撃順序
このセクションでは、フィッシング攻撃に関連する一般的な攻撃シナリオと、Microsoft SentinelとMicrosoft Defender XDRを使用してインシデントに対応する方法について説明します。
この図は、各攻撃ステップを検出するMicrosoftセキュリティ製品と、攻撃シグナルと SIEM データがMicrosoft Defender XDRおよびMicrosoft Sentinelにどのように流れるかを示しています。
攻撃の概要を次に示します。
| 攻撃ステップ | 検出サービスと信号ソース | 導入済みの防御策 |
|---|---|---|
| 1. 攻撃者がフィッシングメールを送信する | Microsoft Defender for Office 365 | 悪意のある偽装ベースのフィッシング攻撃から保護できる高度なフィッシング対策機能を使用してメールボックスを保護します。 |
| 2. ユーザーが添付ファイルを開く | Microsoft Defender for Office 365 | Microsoft Defender for Office 365安全な添付ファイル機能は、分離された環境で添付ファイルを開き、脅威のスキャン (爆発) を増やします。 |
| 3. 添付ファイルがマルウェアをインストールする | Microsoft Defender for Endpoint（エンドポイント用マイクロソフトディフェンダー） | クラウドによる保護や動作ベース/ヒューリスティック/リアルタイムのウイルス対策保護など、次世代の保護機能を使用して、マルウェアからエンドポイントを保護します。 |
| 4. マルウェアがユーザーの資格情報を盗む | Microsoft Entra IDとMicrosoft Entra ID保護 | ユーザーの動作とアクティビティの監視、横移動の検出、異常なアクティビティに対するアラートによって ID を保護します。 |
| 5. 攻撃者がMicrosoft 365アプリとデータ間で横方向に移動する | Microsoft Defender for Cloud Apps（クラウドアプリを守るマイクロソフトのセキュリティサービス） | クラウド アプリにアクセスするユーザーの異常なアクティビティを検出できます。 |
| 6. 攻撃者がSharePointフォルダーから機密ファイルをダウンロードする | Microsoft Defender for Cloud Apps（クラウドアプリを守るマイクロソフトのセキュリティサービス） | SharePointからファイルの一括ダウンロード イベントを検出して応答できます。 |
Microsoft Sentinel ワークスペースをDefender ポータルにオンボードした場合、SIEM データはMicrosoft Defender ポータルで直接Microsoft Sentinelで使用できます。
Microsoft SentinelとMicrosoft Defender XDRを使用したインシデント対応
一般的な攻撃を観察した後、インシデント対応にMicrosoft SentinelとMicrosoft Defender XDRを使用します。
Defender ポータルにオンボードしたかどうかに応じて、ワークスペースの関連するタブを選択します。
Defender ポータルにMicrosoft Sentinelオンボードした後、他のMicrosoft Defender XDR インシデントの場合と同様に、Microsoft Defender ポータルですべてのインシデント対応手順を直接実行します。 サポートされる手順には、トリアージから調査と解決まで、あらゆるものが含まれます。
Defender ポータルだけでは使用できない機能については、Microsoft Defender ポータルのMicrosoft Sentinel領域を使用します。
詳細については、「
関連するコンテンツ
詳細については、「 統合 SIEM と XDR を使用したインシデント対応」を参照してください。
Microsoft 365でのゼロ トラスト原則の適用の詳細については、以下を参照してください。
- Microsoft 365 を使用したゼロ トラスト展開計画
- Microsoft 365 の ID インフラストラクチャをデプロイする
- ゼロ トラスト ID とデバイス アクセスの構成
Microsoft Intune - Microsoft Defender XDR を試行し、展開する
Microsoft PrivaとMicrosoft Purview - ゼロ トラスト用 SaaS アプリを Microsoft 365 と統合する