転送プロキシの背後で発生する接続イベントの調査

  • 適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Defender for Endpoint では、さまざまなレベルのネットワーク スタックからのネットワーク接続監視がサポートされています。 困難なケースは、ネットワークがインターネットへのゲートウェイとして転送プロキシを使用する場合です。

プロキシは、ターゲット エンドポイントであるかのように機能します。 転送プロキシがターゲット エンドポイントとして機能する場合、単純なネットワーク接続モニターは、正しいが調査値が低いプロキシとの接続を監査します。

Defender for Endpoint では、ネットワーク保護による高度な HTTP レベルの監視がサポートされています。 ネットワーク保護を有効にすると、実際のターゲット ドメイン名を公開する新しい種類のイベントが表示されます。

ネットワーク保護を使用して、転送プロキシまたはファイアウォールの背後にある接続を監視する

転送プロキシの背後にあるネットワーク接続の監視は、ネットワーク保護から発生する他のネットワーク イベントが原因で発生する可能性があります。 デバイスのタイムラインでこれらのネットワーク イベントを表示するには、ネットワーク保護を有効にします (少なくとも監査モード)。

ネットワーク保護は、次のモードを使用して制御できます。

  • ブロック: ユーザーまたはアプリは危険なドメインへの接続をブロックされます。 このアクティビティは、Defender ポータルで確認できます。
  • 監査: ユーザーまたはアプリが危険なドメインへの接続をブロックされることはありません。 ただし、Defender ポータルには引き続きこのアクティビティが表示されます。

ネットワーク保護をオフにした場合、ユーザーまたはアプリは危険なドメインへの接続をブロックされません。 Microsoft Defender XDRにネットワーク アクティビティは表示されません。

構成しない場合、ネットワーク ブロッキングは既定でオフになります。

詳細については、「 ネットワーク保護を有効にする」を参照してください。

ネットワーク保護によって転送プロキシの背後にある実際のターゲットが明らかにされるしくみ

ネットワーク保護を有効にすると、デバイスのタイムラインにプロキシ IP アドレスが表示され、実際のターゲット アドレスも表示されます。

デバイスのタイムライン上のネットワーク イベント

プロキシの背後にある場合でも、実際のドメイン名を表示するために、追加のネットワーク保護接続イベントを使用できます。

イベントの情報:

1 つのネットワーク イベントの URL

高度なハンティングで接続イベントを検索する

ネットワーク保護接続イベントは、高度なハンティングを通じても利用できます。 これらのプロパティは、 ConnectionSuccess アクションの種類の DeviceNetworkEvents テーブルにあります。

次のクエリは、関連するすべての ConnectionSuccess イベントを返します。

DeviceNetworkEvents
| where ActionType == "ConnectionSuccess"
| take 10

高度なハンティング クエリ

プロキシ自体への接続に関連するイベントを除外することもできます。

プロキシへの接続を除外するには、次のクエリを使用します。

DeviceNetworkEvents
| where ActionType == "ConnectionSuccess" and RemoteIP != "ProxyIP"
| take 10
  • Last updated on