この記事を使用して、Resource ManagerのMicrosoft Defenderからのセキュリティ アラートを調査して軽減します。 これは、疑わしいアクティビティを検証し、影響を受けるアカウント、サブスクリプション、仮想マシンに対して即時の包含手順を実行するのに役立ちます。
アラートを調査して対応する
このドキュメントのガイダンスを使用して、Resource ManagerのMicrosoft Defenderからのアラートを調査して対応します。 Resource ManagerのDefenderは、接続されているすべてのリソースを保護します。 アラートをトリガーしたアプリケーションまたはユーザーに慣れている場合でも、すべてのアラートに関する状況を確認します。
通知に対応するには
リソース所有者に問い合わせて、動作が想定されていたか、意図的であったかを判断します。 アクティビティが予想される場合は、アラートを無視します。 アクティビティが予期しない場合は、関連するユーザー アカウント、サブスクリプション、仮想マシンを侵害されたものとして扱います。 次の修復手順を使用して、脅威を調査して軽減します。
Microsoft Defender for Resource Manager からのアラートを調査する
Defender for Resource Manager からのセキュリティ アラートは、Azure Resource Manager 操作を監視することで検出された脅威に基づいています。 Defender for Cloudは、内部ログ ソースとAzureアクティビティ ログを使用します。 Azureアクティビティ ログは、サブスクリプション レベルのイベントに関する分析情報を提供するAzure プラットフォーム ログです。
Resource ManagerのDefenderでは、Resource Managerアラートの一部としてアクセスを委任する、Microsoft以外のサービス プロバイダーからのアクティビティを可視化できます。 たとえば、「 Azure Resource Manager operation from suspicious proxy IP address - delegated access 」のように入力します。
Delegated access は、Azure Lighthouseまたは委任された管理特権によって付与されるアクセスを指します。 詳細については、「Azure Lighthouse および Delegated 管理特権を参照してください。
Delegated access が表示されるアラートには、カスタマイズされた説明と修復手順も含まれます。
Azureアクティビティ ログには、調査用のサブスクリプション レベルのイベントが用意されています。 詳細については、Azure アクティビティ ログのドキュメントを参照してください。
Defender for Resource Manager からのセキュリティ アラートを調査するには、次のことを行います。
Azure のアクティビティ ログを開きます。
イベントに次のフィルターを適用します。
- アラート内で言及されているサブスクリプション
- 検出されたアクティビティの概算時間
- 関連するユーザー アカウント (該当する場合)
不審なアクティビティを探します。
ヒント
より高度な調査エクスペリエンスを得るために、Azure アクティビティ ログをMicrosoft Sentinelにストリーミングします。 セットアップ手順については、「アクティビティ ログからデータAzure接続するを参照してください。
直ちに緩和する
脅威を封じ込め、それ以上の損害を防ぐには、次の手順を直ちに実行します。
侵害されたユーザー アカウントを修復します。
- 脅威アクターによって作成された可能性があるため、認識できないアカウントを削除します。
- 認識するアカウントの場合は、認証資格情報を変更します。
- Azure アクティビティ ログ内のすべてのユーザー アクティビティを確認し、疑わしいアクションを特定します。
侵害されたサブスクリプションを修復します。
- 侵害された自動化アカウントから、見慣れないランブックを削除します。
- サブスクリプションの IAM アクセス許可を確認し、なじみのないユーザー アカウントのアクセス許可を削除します。
- サブスクリプション内のすべてのAzureリソースを確認し、未知のリソースを削除します。
- Microsoft Defender for Cloudのサブスクリプションのセキュリティ アラートを確認して調査します。
- Azureアクティビティ ログを使用して、サブスクリプション内のすべてのアクティビティを確認し、疑わしいアクションを特定します。
侵害された仮想マシンを修復する:
- すべてのユーザーのパスワードを変更します。
- 各マシンで完全なマルウェア対策スキャンを実行します。
- 確認済みのマルウェアのないソースからマシンを再イメージ化します。