セキュリティ アラートの管理と対応

Microsoft Defender for Cloudは、Azure、ハイブリッド、マルチクラウドのリソース、ネットワーク、ファイアウォールやエンドポイントエージェントなどの接続パートナーソリューションからログデータを収集、分析、統合します。 Defender for Cloud では、ログ データを使用して実際の脅威を検出し、誤検知を減らします。 Defender for Cloudは優先度の高いセキュリティアラートのリストと、問題を迅速に調査するために必要な情報、攻撃を解決するための手順を表示します。

Defender for Cloudでセキュリティアラートを閲覧、調査、応答

この記事では、Defender for Cloud のアラートを表示および処理し、リソースを保護する方法について説明します。

セキュリティアラートをトリアージする際は、その警告の重大度に基づいて優先順位をつけてください。 まずはより深刻なアラートに対処しましょう。 詳しくは、 アラートの分類方法をご覧ください。

Prerequisites

前提条件と要件については、「 Defender for Cloud のサポート マトリックス」を参照してください。

セキュリティ アラートを管理する

次の手順に従います。

1. Azure portal にサインインする

2. Microsoft Defender for Cloud>Security alerts に移動します。

   

3. (省略可能)関連するフィルターを使用してアラートの一覧をフィルター処理します。 「 フィルターを追加」を選択して追加のフィルターを追加してください。

   

   アラートは選択したフィルターに応じて更新されます。 例えば、過去24時間以内に発生したセキュリティアラートに対応し、システムの潜在的な侵害を調査したい場合などです。

セキュリティ アラートを調査する

各アラートには、調査に役立つ情報が含まれています。

セキュリティ アラートを調査するには:

1. アラートを選択します。 ペインが開き、アラートの説明と影響を受けるすべてのリソースが表示されます。

   

2. セキュリティ アラートに関する概要情報を確認します。

   • アラートの重大度、状態、アクティビティ時間
   • 検出された正確なアクティビティを説明する説明
   • 影響を受けるリソース
   • 該当する場合、MITRE ATT&CKマトリックスにおける活動のキルチェーン上の目的

3. [View full details]\(完全な詳細を表示\) を選択します。

   右側のペインには 「アラート詳細 」タブがあり、IPアドレス、ファイル、プロセスなどの詳細情報が掲載されています。

   

   右側のペインには「 行動を取る」 タブも含まれています。このタブを使って、セキュリティアラートに関するさらなるアクションを取ってください。例えば:

   • リソースコンテキストを検査:セキュリティアラートをサポートするリソースのアクティビティログに移動します。
   • 脅威を軽減する:このセキュリティアラートに対して手動で修正手順を提供します。
   • 将来の攻撃防止:攻撃面を減らし、セキュリティ体制を強化し、将来の攻撃を防ぐためのセキュリティ推奨を提供します。
   • 自動応答トリガー:このセキュリティアラートに対してロジックアプリをトリガーするオプションを提供します。
   • 類似アラートを抑制:組織に関連しない場合、同様の特徴を持つ将来のアラートを抑制するオプションを提供します。

   

   アラートについて詳しく知りたい場合は、検出された活動が誤検知かどうかを確認するためにリソース所有者に連絡してください。 攻撃を受けたリソースで生成された生ログを調査することもできます。

複数のセキュリティ アラートの状態を一度に変更する

アラートの一覧にはチェックボックスが含まれているため、一度に複数のアラートを処理できます。 たとえば、トリアージの目的で、特定のリソースのすべての情報アラートを無視することを決定できます。

1. 一括処理するアラートに従ってフィルター処理します。

   この例では、リソースInformationalのアラートのうち、重大度がASC-AKS-CLOUD-TALKのものが選択されています。

   

2. チェックボックスを使って処理するアラートを選択してください。

   この例では、すべてのアラートを選択します。 [ 状態の変更 ] ボタンが使用できるようになりました。

   

3. [状態の変更] オプションを使用して、目的の状態を設定します。

   

   セキュリティアラートページに表示されるアラートの状態を選択した値に変更してください。

セキュリティ アラートに応答する

セキュリティ アラートを調査した後、Microsoft Defender for Cloud 内からアラートに応答できます。

セキュリティアラートへの対応:

1. [ アクションの実行 ] タブを開いて、推奨される応答を表示します。

   

2. 問題を 軽減 するために必要な手動の調査手順については、「脅威の軽減」セクションを確認してください。

3. リソースを強化し、この種の将来の攻撃を防ぐには、「 今後の攻撃を防ぐ 」セクションのセキュリティに関する推奨事項を修復します。

4. 自動応答ステップを使用してロジック アプリをトリガーするには、[ 自動応答のトリガー ] セクションを使用し、[ ロジック アプリのトリガー] を選択します。

5. 検出された活動が悪意で なければ 、「 類似アラート抑制 」セクションの「抑制ルール を作成」を選択することで、今後同様のアラートを抑制できます。

6. このサブスクリプションのセキュリティアラートに関するメールを受け取る人を見るには 、「メール通知設定の設定」 を選択してください。 メール設定の設定はサブスクリプション所有者に連絡してください。

7. アラートの調査を完了し適切な対応をしたら、ステータスを 「却下」に変更してください。

   

   アラートは、メインのアラートの一覧から削除されます。 アラートの一覧ページのフィルターを使用すると、 状態が無視 されたすべてのアラートを表示できます。

8. アラートに関するフィードバックを Microsoft に提供することをお勧めします。

   1. 「 これは役に立ったのか?」では、 はい か いいえを選択してください。
   2. 理由を選択し、コメントを追加します。

   

アラートの種類について学ぶには、 セキュリティアラート - 参考ガイドをご覧ください。

Defender for Cloudがどのように脅威を検出し対応するかについては、「Microsoft Defender for Cloudがどのように脅威を検出し応答するか」をご覧ください。

エージェントレス スキャンの結果を確認する

エージェントベースとエージェントレススキャナーの両方の結果は 、セキュリティアラート ページで確認できます。

関連するコンテンツ

• アラート抑制ルールを構成する
• セキュリティ アラート - リファレンス ガイド

次のステップ