Defender EASM検出の使用と管理

Microsoft Defender 外部攻撃面管理 (Defender EASM) は、独自の検出テクノロジに依存して、organization固有のインターネットで公開される攻撃領域を継続的に定義します。 Discovery は、組織が所有する資産をインターネット上でスキャンし、これまで把握されておらず監視もされていなかった資産を明らかにします。

検出された資産はインベントリに登録されます。これにより、組織が管理する Web アプリケーション、サードパーティの依存関係、Web インフラストラクチャの最新情報を、単一の画面で一元的に把握できます。

この記事では、自動化された攻撃面へのアクセス方法、カスタム発見の設定と実行、発見結果のレビュー方法を説明します。

カスタム検出を実行する前に、「 検出とは」 を参照して、ここで説明する主要な概念を理解してください。

自動化されたアタックサーフェスにアクセスする

Microsoft は、既知の資産に接続されているインフラストラクチャを検出することで、多くの組織の攻撃対象領域を事前に構成し、初期攻撃面をマッピングしました。

カスタム アタック サーフェスを作成して他の探索を実行する前に、組織のアタック サーフェスを検索することをお勧めします。 まず既存の攻撃対象領域を検索することで、Defender EASM がデータを更新し、攻撃対象領域にさらに多くの資産と最新のコンテキストを追加している間も、インベントリにすばやくアクセスできます。

Defender EASM インスタンスに初めてアクセスする際は、全般 セクションで はじめに を選択し、自動検出された攻撃対象領域の一覧で組織を検索します。 次に、一覧から組織を選択し、アタックサーフェスを構築 を選択します。

[Build my Attack Surface] を選択すると、検出はバックグラウンドで実行されます。 使用可能な組織の一覧から構成済みの攻撃対象領域を選択した場合は、ダッシュボードの概要画面にリダイレクトされ、プレビュー モードでorganizationのインフラストラクチャに関する分析情報を表示できます。

これらのダッシュボードの分析情報を確認して、より多くの資産が検出され、インベントリに設定されるのを待つ間、攻撃対象領域について理解を深めます。 これらのダッシュボードから分析情報を導き出す方法の詳細については、「ダッシュボード について」を参照してください。

カスタマイズされた検出を実行して、外れ値の資産を検出できます。 たとえば、資産が見つからない場合があります。 あるいは、組織と明確にひも付けられたインフラからは検出できない、管理対象の他のエンティティが存在する場合もあります。

検出をカスタマイズ

カスタム検出は、組織が主要なシード資産にすぐには関連付けられない可能性のあるインフラストラクチャをより詳細に可視化する必要がある場合に最適です。 シード資産(またはディスカバリーシード)は、Defender EASMが発見の出発点として使用する既知のドメイン、ホスト、IP範囲、またはその他の識別子のことです。 検出シードとして動作する既知の資産のより大きなリストを送信することで、検出エンジンは資産のより広いプールを返します。 カスタム検出は、独立したビジネスユニットや買収した企業に関連している可能性がある分散したインフラストラクチャを、組織が見つけるのにも役立ちます。

検出グループ

カスタム検出は検出グループに分類されます。 これらは独立したシード クラスターであり、単一の検出実行を構成し、独自の繰り返しスケジュールに基づいて動作します。 検出グループを整理して、会社とワークフローに最適な方法で資産を説明します。 一般的なオプションには、責任あるチームまたは部署、ブランド、または子会社による整理が含まれます。

検出グループを作成する

探索グループを作成するには、次の手順に従います。

1. 左端のウィンドウの [ 管理] で、[ 検出] を選択します。

   

2. [ 検出 ] ページには、既定で検出グループの一覧が表示されます。 この一覧は、プラットフォームに初めてアクセスするときに空です。 最初の検出を実行するには、[ 検出グループの追加] を選択します。

   

3. 新しい検出グループに名前を付け、説明を追加します。 [ 定期的な頻度 ] フィールドを使用すると、指定されたシードに関連する新しい資産を継続的にスキャンすることで、このグループの検出実行をスケジュールできます。 既定の繰り返しの選択は [週単位] です。 組織の資産が定期的に監視および更新されるようにするには、 週単位 の周期を使用することをお勧めします。

   1 回限りの検出実行の場合は、[なし] を選択 します。 検出は既知のインフラストラクチャに関連する新しい資産を継続的に検出するように設計されているため、 週単位 の既定の頻度を保持することをお勧めします。 後で[検出グループの詳細] ページから [編集] オプションを選択して、繰り返しの頻度を編集できます。

4. [ 次へ: シード] を選択します。

   

5. この検出グループに使用するシードを選択します。 シードは、組織に属する既知の資産です。 Defender EASM プラットフォームは、これらのエンティティをスキャンし、その接続を他のオンライン インフラストラクチャにマップして攻撃対象領域を作成します。 Defender EASMは外部の観点から攻撃面を監視することを目的としているため、プライベート IP アドレスを検出シードとして含めることはできません。

   

   クイック スタート オプションでは、事前登録された攻撃対象領域の一覧から組織を検索できます。 organizationに属する既知の資産に基づいて、検出グループをすばやく作成できます。

   

   

   または、シードを手動で入力することもできます。 Defender EASMは、organization名、ドメイン、IP ブロック、ホスト、電子メール連絡先、ASN、Whois 組織をシード値として受け入れます。

   また、検出された場合にインベントリに追加されないように、資産検出から除外するエンティティを指定することもできます。 たとえば、除外は、中央インフラストラクチャに接続される可能性が高いものの、その組織には属していない子会社を持つ組織にとって有用です。

   シードが選択されたら、[ 確認と作成] を選択します。

6. グループ情報とシード リストを確認し、[ Create & Run] を選択します。

   

   探索グループを表示するメインの [探索] ページに戻ります。 検出実行が完了すると、承認されたインベントリに新しい資産が追加されます。

検出グループの表示と編集

探索グループは、メインの [検出 ] ページから管理できます。 既定のビューには、すべての検出グループの一覧と、それぞれに関するいくつかの重要なデータが表示されます。 リスト ビューでは、各グループのシード数、繰り返しスケジュール、最終実行日、作成日を確認できます。

探索グループを選択して、詳細情報を表示したり、グループを編集したり、新しい探索の実行を開始したりできます。

実行履歴の表示

検出グループの詳細ページには、グループの実行履歴が含まれています。 ラン履歴セクションでは、特定のシードグループで行われた各ディスカバリーランの重要な情報が表示されます。 [状態] 列は、実行が進行中、完了、または失敗のどちらであるかを示します。 ラン履歴セクションには 、開始 ・ 完了 したタイムスタンプ、そしてそのディスカバリーラン後にインベントリに追加されたすべての新しい資産の数も含まれています。 この数には、状態や課金対象の状態に関係なく、インベントリに持ち込まれるすべての資産が含まれます。

実行履歴は、検出の実行中にスキャンされたシード資産によって整理されます。 該当するシードの一覧を表示するには、[詳細] を選択 します。 画面の右側にウィンドウが開き、すべてのシードと除外が種類と名前で一覧表示されます。

シードと除外を表示する

[検出] ページの既定値は検出グループのリスト ビューですが、このページからすべてのシードと除外されたエンティティの一覧を表示することもできます。 いずれかのタブを選択して、検出グループを強化するすべてのシードまたは除外の一覧を表示します。

検出シードを表示する

シード リスト ビューには、 Type、 Source Name、 Discovery Groups の 3 つの列を含むシード値が表示されます。 [種類] フィールドには、シード 資産のカテゴリが表示されます。 最も一般的なシードは、ドメイン、ホスト、IP ブロックです。 電子メール連絡先、ASN、証明書の共通名、Whois 組織を使用することもできます。

ソース名は、検出グループを作成したときに適切な型ボックスに入力された値です。 最後の列には、シードを使用する検出グループの一覧が表示されます。 各値はクリック可能であり、その検出グループの詳細ページに移動します。

シードを入力するときは、各エントリの適切な形式を必ず検証してください。 検出グループを保存すると、プラットフォームによって一連の検証チェックが実行され、誤って構成されたシードがアラートされます。 たとえば、IP ブロックはネットワーク アドレス (IP 範囲の開始など) で入力する必要があります。

検出の除外項目を表示する

同様に、[ 除外 ] タブを選択すると、検出グループから除外されたエンティティの一覧を表示できます。 これらの資産は、検出シードとして使用されたり、インベントリに追加されたりすることはありません。 除外は、個々の検出グループの将来の検出実行にのみ影響します。

[種類] フィールドには、除外されたエンティティのカテゴリが表示されます。 ソース名は、検出グループを作成したときに適切な型ボックスに入力された値です。 最後の列には、この除外が存在する検出グループの一覧が表示されます。 各値はクリック可能であり、その検出グループの詳細ページに移動します。

関連コンテンツ

• 攻撃面を検出する
• 資産の詳細を理解する
• ダッシュボードについて