Microsoft Sentinel (レガシ) を使用してインシデントを調査する

この記事は、Microsoft Sentinelの従来のインシデント調査エクスペリエンスを使用するのに役立ちます。 新しいバージョンのインターフェイスを使用している場合は、そのエクスペリエンスに一致する手順については、Microsoft Sentinelのインシデントの移動と調査に関するページを参照してください。

データ ソースをMicrosoft Sentinelに接続した後、疑わしいことが発生したときに通知を受け取る必要があります。 これらの通知を受け取るために、Microsoft Sentinelは高度な分析ルールを作成してインシデントを生成し、それを割り当てて調査できるようにします。

インシデントには、複数のアラートを含めることができます。 これは、特定の調査に関連するすべての証拠の集計です。 インシデントは、[ 分析 ] ページで作成した分析ルールに基づいて作成されます。 重大度や状態などのアラートに関連するプロパティは、インシデント レベルで設定されます。 探している脅威の種類と検出方法をMicrosoft Sentinelに知らせると、インシデントを調査して検出された脅威を監視できます。

前提条件

インシデントを調査または割り当てる前に、次の前提条件が満たされていることを確認します。

• 分析ルールを設定するときにエンティティ マッピング フィールドを使用した場合にのみ、インシデントを調査できます。 調査グラフでは、元のインシデントにエンティティが含まれている必要があります。

• インシデントを割り当てる必要があるゲスト ユーザーがある場合は、Microsoft Entra テナントでディレクトリ閲覧者ロールを割り当てる必要があります。 通常の (非ゲスト) ユーザーには、既定でこのロールが割り当てられます。

インシデントを調査する方法

インシデントを確認して調査するには、次の手順を実行します。

1. インシデント を選択します。 [ インシデント ] ページでは、持っているインシデントの数と、インシデントが新規、 アクティブ、またはクローズのどちらであるかを確認できます。 インシデントごとに、発生した時刻とインシデントの状態を確認できます。 重大度を調べ、最初に処理するインシデントを決定します。

   

2. 状態や重大度など、必要に応じてインシデントをフィルター処理できます。 詳細については、「 インシデントの検索」を参照してください。

3. 調査を開始するには、特定のインシデントを選択します。 右側には、その深刻さ、関与するエンティティ数の概要、このインシデントを引き起こした生のイベント、インシデントの固有のID、そしてマッピングされたMITRE AT&CKの戦術や手法などの詳細な情報が見られます。

4. インシデント内のアラートとエンティティの詳細を表示するには、[インシデント] ページで [ 完全な詳細の表示 ] を選択し、インシデント情報を要約する関連タブを確認します。

   

   • 現在新しいエクスペリエンスを使用している場合は、インシデントの詳細ページの右上でオフに切り替えて、代わりにレガシ エクスペリエンスを使用します。

   • [タイムライン] タブで、インシデント内のアラートとブックマークのタイムラインを確認します。これは、攻撃者のアクティビティのタイムラインを再構築するのに役立ちます。

   • [ 類似インシデント (プレビュー)] タブには、現在のインシデントに最も近い最大 20 件の他のインシデントのコレクションが表示されます。 同様のインシデントを表示すると、より大きなコンテキストでインシデントを理解し、調査を指示するのに役立ちます。 詳細については、「 類似インシデント (プレビュー)」を参照してください。

   • [ アラート ] タブで、このインシデントに含まれるアラートを確認します。 アラートに関するすべての関連情報 (生成された分析ルール、アラートごとに返された結果の数、アラートでプレイブックを実行する機能) が表示されます。 インシデントをさらにドリルダウンするには、[イベント] の数を選択 します。 これにより、結果を生成したクエリと、Log Analytics でアラートをトリガーしたイベントが開きます。

   • [ ブックマーク ] タブには、自分または他の調査担当者がこのインシデントにリンクしたブックマークが表示されます。 詳細については、「Microsoft Sentinelのブックマーク」を参照してください。

   • エンティティタブでは、アラートルールの定義の一部としてデータフィールドをエンティティにマッピングするすべてのエンティティを見ることができます。 これらは、ユーザー、デバイス、アドレス、ファイル、 またはその他のサポートされているエンティティの種類に関係なく、インシデントで役割を果たしたオブジェクトです。

   • 最後に、[ コメント ] タブで、調査に関するコメントを追加し、他のアナリストや調査担当者が行ったコメントを表示できます。 詳細については、「 インシデントに関するコメント」を参照してください。

5. インシデントを積極的に調査している場合は、インシデントを閉じるまでインシデントの状態を [アクティブ] に設定することをお勧めします。

6. インシデントは、特定のユーザーまたはグループに割り当てることができます。 インシデントごとに、[ 所有者] フィールド を設定して所有者を割り当てることができます。 すべてのインシデントは、開始時点では未割り当ての状態です。 また、調査した内容とインシデントに関する懸念事項を他のアナリストが理解できるように、コメントを追加することもできます。

   

   最近選択したユーザーとグループが、図のドロップダウン リストの上部に表示されます。

7. [ 調査] を選択して、調査マップを表示します。

調査グラフを使用して詳細を確認する

調査グラフを使用すると、アナリストは調査ごとに適切な質問をすることができます。 調査グラフは、関連するデータを関連エンティティと関連付けることで、潜在的なセキュリティ上の脅威の範囲を理解し、根本原因を特定するのに役立ちます。 グラフに表示されるエンティティをさらに詳しく調べるには、エンティティを選択し、さまざまな展開オプションを選択します。

調査グラフには、次のものが表示されます。

• 生データからのビジュアル コンテキスト: ライブのビジュアル グラフには、生データから自動的に抽出されたエンティティリレーションシップが表示されます。 これにより、さまざまなデータ ソース間の接続を簡単に確認できます。

• 完全な調査範囲の検出: 組み込みの探索クエリを使用して調査範囲を拡張し、侵害の完全な範囲を表示します。

• 組み込みの調査手順: 定義済みの探索オプションを使用して、脅威に直面した際に適切な質問をしていることを確認します。

調査グラフを使用するには:

1. インシデントを選択し、[ 調査] を選択します。 これにより、調査グラフに移動します。 このグラフは、アラートに直接接続されたエンティティと、さらに接続された各リソースの説明図を提供します。

   

   重要

   • 分析ルールを設定するときにエンティティ マッピング フィールドを使用した場合にのみ、インシデントを調査できます。 調査グラフでは、元のインシデントにエンティティが含まれている必要があります。

   • Microsoft Sentinelは現在、30 日までのインシデントの調査をサポートしています。

2. エンティティを選択して [ エンティティ ] ウィンドウを開き、そのエンティティに関する情報を確認できるようにします。

   

3. 各エンティティにカーソルを合わせて調査を拡大し、調査を深めるためにエンティティの種類ごとにセキュリティエキスパートとアナリストによって設計された質問の一覧を明らかにします。 これらのオプション 探索クエリを呼び出します。

   

   たとえば、関連するアラートを要求できます。 探索クエリを選択すると、結果のエンティティがグラフに再度追加されます。 この例では、[ 関連するアラート ] を選択すると、次のアラートがグラフに返されました。

   

   グラフでは、関連するアラートが点線でエンティティに接続されて表示されます。

4. 探索クエリごとに、 [イベント] を選択して、生のイベントの結果と Log Analytics で使用されるクエリを開くオプションを選択できます>。

5. インシデントを理解するために、グラフは並列タイムラインを提供します。

   

6. タイムラインにカーソルを合わせると、グラフのどの時点で発生したかを確認できます。

   

調査に集中する

インシデントにアラートを追加するか、インシデントからアラートを削除することで、調査の範囲を広げたり絞り込んだりする方法について説明します。

類似インシデント (プレビュー)

セキュリティ運用アナリストとして、インシデントを調査するときは、その大きなコンテキストに注意を払う必要があります。 たとえば、このような他のインシデントが以前に発生したか、現在発生しているかどうかを確認する必要があります。

• 同じ大規模な攻撃戦略の一部である可能性のある同時インシデントを特定したい場合があります。

• 過去に類似したインシデントを特定し、現在の調査の参照ポイントとして使用することもできます。

• 過去の類似インシデントの所有者を特定し、より多くのコンテキストを提供できる SOC 内のユーザーを見つけたり、調査をエスカレートできるユーザーを見つけたりすることもできます。

[インシデントの詳細] ページの [類似 インシデント] タブには、現在のインシデントと最も似た最大 20 件のインシデントが表示されます。 類似性は内部Microsoft Sentinelアルゴリズムによって計算され、インシデントは類似性の降順で並べ替えられて表示されます。

類似度の計算方法

類似性が決定される基準は 3 つあります。

• 類似エンティティ:同じ エンティティを含むインシデントは、他のインシデントと類似しているとみなされます。 2 つのインシデントに共通するエンティティが多いほど、類似していると見なされます。

• 類似ルール:同じ 分析ルールによって作成されたインシデントは、他のインシデントと類似しているとみなされます。

• 類似アラートの詳細:同じタイトル、製品名、カスタム 詳細を共有するインシデントは、他のインシデントと類似しているとみなされます。

インシデントが類似インシデントの一覧に表示される理由は、[ 類似性の理由 ] 列に表示されます。 情報アイコンにマウス ポインターを合わせると、一般的な項目 (エンティティ、ルール名、または詳細) が表示されます。

類似性タイムフレームの仕組み

インシデントの類似性は、インシデントの最後のアクティビティの 14 日前のデータに基づいて計算されます。インシデントの最新のアラートの終了時刻として定義されます。

インシデントの類似性は、インシデントの詳細ページに入るたびに再計算されるため、新しいインシデントが作成または更新された場合、結果はセッションによって異なる場合があります。

インシデントに関するコメント

セキュリティ運用アナリストとして、インシデントを調査するときは、管理への正確なレポートを確保し、同僚間のシームレスな協力とコラボレーションを可能にするために、実行する手順を徹底的に文書化する必要があります。 Microsoft Sentinelは、これを実現するのに役立つ豊富なコメント環境を提供します。

コメントを使ってできるもう 1 つの重要なことは、インシデント情報を自動的に拡充することです。 外部ソースから関連情報をフェッチするインシデントでプレイブックを実行する場合 (たとえば、VirusTotal でマルウェアのファイルをチェックする)、プレイブックに外部ソースの応答と、定義したその他の情報をインシデントのコメントに配置できます。

コメントは簡単に使用できます。 インシデントの詳細ページの [ コメント ] タブからアクセスします。

インシデントコメントに関してよく寄せられる質問

これらのよくある質問は、インシデントコメントを使用する際の重要な考慮事項を説明しています。

どのような種類の入力がサポートされていますか?

コメントでは、次の種類の入力がサポートされています。

• テキスト:Microsoft Sentinelのコメントはプレーンテキスト、基本的なHTML、Markdownのテキスト入力をサポートします。 また、コピーしたテキスト、HTML、Markdown をコメント ウィンドウに貼り付けることもできます。

• 画像:コメント欄に画像へのリンクを挿入すれば、画像はインラインに表示されますが、画像はDropbox、OneDrive、Google Driveなど公開されている場所にすでにホストされている必要があります。 画像をコメントに直接アップロードすることはできません。

コメントにサイズ制限はありますか?

Yes. インシデント コメントには、次の制限が適用されます。

• コメントあたり:1つのコメントには最大 30,000文字まで含まれます。

• インシデントごと:1つのインシデントには最大 100件のコメントを含めることができます。

  注:

  Log Analytics の SecurityIncident テーブル内の 1 つのインシデント レコードのサイズ制限は 64 KB です。 64KBのレコードサイズ制限を超えると、コメント(最も早いものから)が切り詰められ、 高度なインシデント検索 結果に表示されるコメントに影響が出る可能性があります。

  インシデント データベース内の実際のインシデント レコードは影響を受けません。

コメントを編集または削除できるのは誰ですか？

コメントの編集と削除には、次のアクセス許可が適用されます。

• 編集:コメントの作者のみが編集の許可を持っています。

• 削除:コメントを削除する権限を持つのはMicrosoft Sentinel Contributorの役割を持つユーザーだけです。 コメントを削除するには、コメントの作成者もこのロールを持っている必要があります。

インシデントを閉じる

特定のインシデントを解決したら(例えば調査が終了した時)、そのインシデントのステータスを「 クローズド」に設定してください。 そうすると、インシデントを閉じる理由を指定して、インシデントを分類するように求められます。 この手順は必須です。 [ 分類の選択] を 選択し、ドロップダウン リストから次のいずれかを選択します。

• 真の陽性:不審な活動
• 良性陽性:疑わしいが予想通りです
• 誤検知:誤ったアラートロジック
• 誤検知:誤ったデータ
• 未定義

誤検知と良性陽性の詳細については、「Microsoft Sentinelでの誤検知の処理」を参照してください。

適切な分類を選択した後、[ コメント ] フィールドに説明テキストを追加します。 説明的なコメントを追加すると、このインシデントを参照する必要がある場合に便利です。 作業完了後に 「適用 」を選択し、インシデントは終了します。

インシデントを検索する

特定のインシデントをすばやく見つけるには、インシデント グリッドの上にある検索ボックスに検索文字列を入力し、 Enter キーを押して、それに応じて表示されるインシデントの一覧を変更します。 インシデントが結果に含まれていない場合は、 高度な検索 オプションを使用して検索を絞り込む必要があります。

検索パラメーターを変更するには、[ 検索 ] ボタンを選択し、検索を実行するパラメーターを選択します。

例:

既定では、インシデント検索はインシデント ID、 タイトル、 タグ、 所有者、 製品名 の値でのみ実行されます。 検索ウィンドウで、一覧を下にスクロールして検索する他のパラメーターを 1 つ以上選択し、[ 適用 ] を選択して検索パラメーターを更新します。 [ 既定値に設定] を 選択すると、選択したパラメーターが既定のオプションにリセットされます。

高度な検索オプションを使用すると、次のように検索動作が変更されます。

関連コンテンツ

• チュートリアル:UEBAデータを用いたインシデント調査
• Microsoft Sentinelでの自動化: セキュリティ オーケストレーション、自動化、応答 (SOAR)