攻撃面を検出する

前提条件

このチュートリアルを完了する前に、「検出とは」および「探索の使用と管理」の記事を参照して、この記事で説明されている重要な概念を理解してください。

自動化されたアタックサーフェスにアクセスする

Microsoft は、既知の資産に接続されているインフラストラクチャを検出することで、多くの組織の攻撃対象領域を事前に構成し、初期攻撃面をマッピングしました。カスタム攻撃面を作成して他の検出を実行する前に、すべてのユーザーがorganizationの攻撃対象領域を検索することをお勧めします。このプロセスにより、Defender EASM がデータを更新してアタックサーフェスにより多くの資産と最新のコンテキストを追加することで、ユーザーはインベントリにすばやくアクセスできるようになります。

Defender EASM インスタンスに初めてアクセスする際は、全般セクションで はじめに を選択し、自動検出されたアタックサーフェスの一覧で組織を検索します。
次に、リストから組織を選択し、アタックサーフェスを構築 をクリックします。

構成済みの攻撃面オプションのスクリーンショット

この時点で、検出はバックグラウンドで実行されます。使用可能な組織の一覧から構成済みの攻撃 Surface を選択した場合は、[ダッシュボードの概要] 画面にリダイレクトされ、プレビューモードでorganizationのインフラストラクチャに関する分析情報を表示できます。これらのダッシュボードインサイトを確認して、さらに多くの資産が検出されてインベントリに追加されるのを待つ間に、アタックサーフェスの把握を進めましょう。これらのダッシュボードから分析情報を導き出す方法の詳細については、ダッシュボードの概要に関する記事を参照してください。

見落としている資産があることに気付いた場合や、組織に明確に関連付けられたインフラストラクチャからは検出されない可能性のある、管理対象の他のエンティティがある場合は、カスタム検出を実行して、こうした例外的な資産を検出できます。

検出をカスタマイズ

カスタム検出は、プライマリシード資産にすぐにリンクされない可能性があるインフラストラクチャをより深く可視化する必要がある組織に最適です。検出シードとして動作する既知の資産のより大きなリストを送信することで、検出エンジンは資産のより広いプールを返します。カスタム検出は、組織が独立したビジネスユニットや取得した企業に関連する可能性があるさまざまなインフラストラクチャを見つけるのにも役立ちます。

検出グループ

カスタム検出結果は Discovery グループに整理されます。これらは独立したシードクラスターであり、単一の検出実行を構成し、独自の繰り返しスケジュールに基づいて動作します。ユーザーは、探索グループを整理して、会社とワークフローに最適な方法で資産を説明できます。一般的なオプションとしては、責任あるチーム/部署、ブランド、または子会社による整理が含まれます。

検出グループを作成する

左側のナビゲーション列の [管理] セクションの下にある [検出] パネルを選択します。
この [検出] ページには、既定で探索グループの一覧が表示されます。この一覧は、プラットフォームに初めてアクセスするときに空になります。最初の検出を実行するには、[ 探索グループの追加] をクリックします。
まず、新しい検出グループに名前を付け、説明を追加します。 [ 定期的な頻度 ] フィールドを使用すると、このグループの検出実行をスケジュールし、指定されたシードに関連する新しい資産を継続的にスキャンできます。既定の繰り返しの選択は [週単位] です。Microsoft では、organizationの資産が定期的に監視および更新されるように、この間隔をお勧めします。 1 回限りの検出実行の場合は、[なし] を選択 します。ただし、ユーザーは 週単位 の既定の周期を保持し、後で定期的な検出実行を中止する場合は、検出グループ設定内の履歴監視をオフにすることをお勧めします。

[次へ: シード] >を選択します
次に、この探索グループに使用するシードを選択します。シードは、お客様の組織に属する既知の資産です。Defender EASM プラットフォームはこれらのエンティティをスキャンし、他のオンラインインフラストラクチャとの関連性をマッピングして、お客様のアタックサーフェスを作成します。

クイックスタート オプションでは、事前設定済みのアタックサーフェスの一覧から組織を検索できます。 organizationに属する既知の資産に基づいて、探索グループをすばやく作成できます。

または、ユーザーが自分のシードを手動で入力することもできます。 Defender EASMは、ドメイン、IP ブロック、ホスト、電子メール連絡先、ASN、WhoIs 組織をシード値として受け入れます。また、検出された場合にインベントリに追加されないように、資産検出から除外するエンティティを指定することもできます。たとえば、これは、その組織の中核インフラに接続される見込みがあるものの、自社の組織には属していない子会社を持つ組織にとって有用です。

シードを選択したら、[ 確認と作成] を選択します。
グループ情報とシードリストを確認し、[ 作成] & [実行] を選択します。