検出とは

Microsoft Defender 外部攻撃面管理 (Defender EASM) では、Microsoft 独自の検出テクノロジを使用して、organization固有のインターネットで公開される攻撃領域を継続的に定義します。 Defender EASM検出機能は、organizationが所有する既知の資産をスキャンして、以前は不明で監視されていないプロパティを明らかにします。 検出された資産は、お客様の組織のインベントリにインデックス登録されます。 Defender EASMを使用すると、organizationの管理下にある Web アプリケーション、サードパーティの依存関係、Web インフラストラクチャの動的なレコード システムが 1 つのビューで提供されます。

Defender EASM検出プロセスを通じて、organizationは絶えず変化するデジタル攻撃面を積極的に監視できます。 発生したリスクとポリシー違反を特定できます。

多くの脆弱性プログラムでは、ファイアウォールの外側に可視性がありません。 データ侵害の主な原因である外部のリスクと脅威を認識しません。

同時に、デジタルの成長は、エンタープライズ セキュリティ チームの保護能力を上回り続けます。 デジタル イニシアチブと一般的過ぎの "シャドウ IT" は、ファイアウォールの外側に拡大する攻撃面につながります。 このペースでは、コントロール、保護、コンプライアンスの要件を検証することはほぼ不可能です。

Defender EASMがないと、脆弱性を特定して削除することはほぼ不可能であり、スキャナーがファイアウォールを越えて到達して完全な攻撃面を評価することはできません。

メカニズム

組織の攻撃対象領域の包括的なマッピングを作成するために、Defender EASM はまず既知の資産（シード）を取り込みます。 検出シードは再帰的にスキャンされ、シードへの接続を通じてより多くのエンティティを検出します。

最初のシードは、Microsoft によってインデックスが作成された次のいずれかの種類の Web インフラストラクチャである場合があります。

• ドメイン
• IP アドレス ブロック
• ホスト
• メール連絡先
• 自律システム名 (ASN)
• Whois組織情報

シードを起点に、システムは他のオンライン インフラストラクチャ項目との関連を特定し、組織が所有する他の資産を発見します。 このプロセスにより、最終的に攻撃面全体のインベントリが作成されます。 検出プロセスでは、探索シードが中央ノードとして使用されます。 その後、攻撃面の周囲に向かって外側に分岐します。 シードに直接接続されているすべてのインフラストラクチャ項目を識別し、最初の接続セット内の各項目に関連するすべての項目を識別します。 このプロセスは、組織の管理責任が及ぶ範囲の境界に達するまで、繰り返されながら広がっていきます。

たとえば、Contoso のインフラストラクチャ内のすべての項目を検出するには、ドメイン contoso.comを初期キーストーン シードとして使用します。 このシードから、次のソースを参照し、次のリレーションシップを派生させることができます。

この一連の最初のレベルの接続を使用することで、調査する全く新しい資産セットをすばやく派生させることができます。 Defender EASMより多くの再帰を実行する前に、検出されたエンティティを確認済みインベントリとして自動的に追加するのに十分な接続が確立されているかどうかを判断します。 これらの各資産について、検出システムは、使用可能なすべての属性に基づいて自動化された再帰的な検索を実行して、第 2 レベルおよび第 3 レベルの接続を検索します。 この反復的なプロセスにより、組織のオンラインインフラに関するより多くの情報が得られ、その結果、そうでなければ発見されて監視されることのない可能性がある散在する資産を発見できます。

自動攻撃面とカスタマイズされた攻撃面

Defender EASMを初めて使用するときは、organizationの事前構築済みインベントリにアクセスして、ワークフローをすばやく開始できます。 [はじめに] ウィンドウで、ユーザーは自分のorganizationを検索して、Defender EASMによって既に識別されている資産接続に基づいてインベントリをすばやく設定できます。 すべてのユーザーがカスタム インベントリを作成する前に、organizationの事前構築済みの攻撃面インベントリを検索することをお勧めします。

カスタマイズされたインベントリを構築するために、ユーザーは探索グループを作成して、検出の実行時に使用するシードを整理および管理できます。 ユーザーは、個別の検出グループを使用して、検出プロセスを自動化し、シード リストを構成し、繰り返し実行スケジュールを設定できます。

確認済み在庫と候補資産

検出エンジンが潜在的な資産と初期シードの間の強力な接続を検出すると、資産に状態 が [確認済みインベントリ] と自動的にラベル付けされます。 このシードへの接続が反復的にスキャンされ、第 3 レベルまたは第 4 レベルの接続が検出されると、新しく検出された資産の所有権に対するシステムの信頼度が低下します。 同様に、システムは、お客様の組織に関連しているものの、お客様が直接所有しているわけではない資産を検出することがあります。

このような理由から、新しく検出された資産には、次のいずれかの状態のラベルが付けられます。

資産を確認するときは、[ 調査が必要] というラベルの資産から開始することをお勧めします。 資産の詳細は、資産の状態とリレーションシップの正確なマップを維持し、新しく作成された資産を明らかにするために、時間の経過と伴って継続的に更新されます。 検出プロセスは、繰り返し実行するようにスケジュールできる検出グループにシードを配置することによって管理されます。 インベントリが設定されると、Defender EASM システムは、Microsoft 仮想ユーザー テクノロジを使用して資産を継続的にスキャンし、各資産に関する新しい詳細なデータを明らかにします。 このプロセスでは、該当するサイトの各ページのコンテンツと動作を調べて、脆弱性、コンプライアンスの問題、その他の潜在的なリスクを特定するために使用できる堅牢な情報をorganizationに提供します。

関連コンテンツ

• Defender EASM Azure リソースをデプロイする
• 検出の使用と管理
• 資産の詳細を理解する