ファイルの対応措置を講じる

ファイルの停止と検疫、またはファイルのブロックによって検出された攻撃に迅速に対応します。 ファイルに対してアクションを実行した後、アクション センターでアクティビティの詳細をチェックできます。

応答アクションは、ファイルの詳細なプロファイル ページで使用できます。 このページが表示されたら、新しい [ファイル] ページを切り替えることで、 新しいページ レイアウトと古いページ レイアウトを切り替えることができます。 以降のセクションでは、新しいページ レイアウトについて説明します。

応答アクションは、ファイル ページの上部に沿って実行され、次のものが含まれます。

• ファイルを停止して隔離
• インジケーターの管理
• ファイルをダウンロードする
• ファイルを収集
• Defender エキスパートに質問する
• 手動アクション
• 探しに行く
• 詳細分析

ファイルを送信して詳細な分析を行い、セキュリティで保護されたクラウド サンドボックスでファイルを実行することもできます。 分析が完了すると、ファイルの動作に関する情報を提供する詳細なレポートが表示されます。 ディープ 分析アクションを 選択すると、ディープ分析のためにファイルを送信し、過去のレポートを読み取ることができます。

一部のアクションでは、特定のアクセス許可が必要です。 次の表では、移植可能な実行可能ファイル (PE) ファイルと PE 以外のファイルに対して特定のアクセス許可が実行できるアクションについて説明します。

ロールの詳細については、「 ロールベースのアクセス制御のロールを作成および管理する」を参照してください。

ネットワーク内のファイルを停止して検疫する

悪意のあるプロセスを停止し、それが観測されたファイルを隔離することで、組織内での攻撃を封じ込めることができます。

[ ファイルの停止と検疫] アクションには、実行中のプロセスの停止、ファイルの検疫、レジストリ キーなどの永続的なデータの削除が含まれます。

[ファイルの停止と検疫] アクションは、Windows 10バージョン 1703 以降、Windows 11および Windows Server 2012 R2 以降を持つデバイスで有効になります。この場合、ファイルは過去 30 日間に観察されました。

ファイルを停止して隔離

1. 停止するファイルを選択し、検疫します。 次のいずれかのビューからファイルを選択するか、[検索] ボックスを使用できます。

   • アラート - アラート ストーリー タイムラインの [説明] または [詳細] から対応するリンクを選択します
   • 検索ボックス - ドロップダウン メニューから [ファイル ] を選択し、ファイル名を入力します

   注:

   ファイルの停止と検疫のアクションは、最大 1,000 台のデバイスに制限されています。 多数のデバイスでファイルを停止するには、「 ファイルをブロックまたは許可するインジケーターを追加する」を参照してください。
   [停止と検疫] アクションの最大タイムアウト期間は 3 日です。 対象のデバイスが、アクションの開始後もこの期間を超えてオフラインのままである場合、アクションはそのデバイスに配信されません。
   タイムアウトを超えて、またはアクションが完了した後もファイルがブロックされたままになるように、ファイルを明示的にブロックするインジケーターを作成することをお勧めします。

2. 上部のバーに移動し、[ 停止と検疫ファイル] を選択します。

   

3. 理由を指定し、[確認] を選択 します。

   

   アクション センターには、送信情報が表示されます。

   

   • [送信時刻 ] - アクションが送信されたタイミングを示します。
   • 成功 - ファイルが停止および検疫されたデバイスの数を示します。
   • 失敗 - アクションが失敗したデバイスの数と、失敗に関する詳細を表示します。
   • [保留中] - ファイルがまだ停止および検疫されていないデバイスの数を示します。 これは、デバイスがオフラインであるか、ネットワークに接続されていない場合に時間がかかる場合があります。

4. アクションの詳細を表示するには、いずれかの状態インジケーターを選択します。 たとえば、[ 失敗 ] を選択して、アクションが失敗した場所を確認します。

デバイス ユーザーに対する通知

ファイルがデバイスから削除されると、次の通知が表示されます。

デバイス タイムラインでは、ファイルが停止され検疫されたデバイスごとに新しいイベントが追加されます。

organization全体で広く使用されているファイルに対してアクションが実装される前に警告が表示されます。 この警告は、操作が意図されていることを検証するのに役立ちます。

検疫からファイルを復元する

調査後にファイルがクリーンであると判断した場合は、ファイルをロールバックして検疫から削除できます。 ファイルが検疫された各デバイスで次のコマンドを実行します。

管理者特権のコマンド プロンプト ([ 管理者として実行] を選択して開いたコマンド プロンプト ウィンドウ) で、次のコマンドを実行します。

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Restore -Name EUS:Win32/CustomEnterpriseBlock -All

MpCmdRun の詳細については、「MpCmdRun コマンド ライン ツールを使用してMicrosoft Defenderウイルス対策を構成および管理する」を参照してください。

ファイルをダウンロードまたは収集する

応答アクションから [ファイルのダウンロード ] を選択すると、ファイルを含むローカルのパスワードで保護された .zip アーカイブをダウンロードできます。 ポップアップが表示され、ファイルをダウンロードする理由を記録し、パスワードを設定できます。

既定では、検疫中のファイルをダウンロードできます。

[ ファイルのダウンロード ] ボタンの状態は次のとおりです。

• [アクティブ] - ファイルを収集できます。

• 無効 - アクティブなコレクションの試行中にボタンが淡色表示または無効になっている場合は、ファイルを収集するための適切な RBAC アクセス許可がない可能性があります。 以下の許可が必要です。

  • Microsoft Defender統合ロールベースのアクセス制御 (RBAC):
    • Microsoft Defender 統合 (RBAC) でファイル コレクションのアクセス許可を追加する
  • Microsoft Defender for Endpoint のロールベースのアクセス制御 (RBAC):
    • ポータブル実行可能ファイル (.exe、.sys、.dll など):
      • セキュリティ管理者または高度なライブ応答またはアラート
    • 移植不可能な実行可能ファイル (.txt、.docx など):
      • セキュリティ管理者または高度なライブ応答
      • ロールベースのアクセス制御（RBAC）のアクセス許可が有効になっているテナント

検疫済みファイルをダウンロードする

Microsoft Defender ウイルス対策またはセキュリティ チームによって隔離されたファイルは、サンプル送信の構成に従って、準拠した方法で保存されます。 セキュリティ チームは、[ファイルのダウンロード] ボタンを使用して、ファイルの詳細ページから直接ファイルをダウンロードできます。 既定では、[ファイルのダウンロード] 機能が有効になっています。

場所は、organizationの geo 設定 (EU、英国、または米国) によって異なります。 検疫されたファイルは、organizationごとに 1 回だけ収集されます。 Microsoft のデータ保護の詳細については、 https://aka.ms/STPの Service Trust Portal を参照してください。

[検疫済みファイルのダウンロード] 設定をオンにすると、セキュリティ チームは、潜在的に悪いファイルを調査し、インシデントを迅速かつリスクの低い方法で調査するのに役立ちます。 ただし、この設定をオフにする必要がある場合は、設定>Endpoints>詳細機能>検疫されたファイルをダウンロード に移動して設定を調整します。 詳細については、「 高度な機能」を参照してください。

検疫済みファイルのバックアップ

サンプルの送信構成によっては、検疫されたファイルをバックアップする前に明示的な同意を求めるメッセージが表示される場合があります。

サンプルの送信がオフになっている場合、 検疫済みファイルのダウンロード 機能は機能しません。 自動サンプル送信がユーザーにアクセス許可を要求するように設定されている場合、ユーザーが送信することに同意したサンプルのみが収集されます。

ファイルを収集する

ファイルがまだMicrosoft Defender for Endpointによって保存されていない場合は、ダウンロードできません。 代わりに、同じ場所に [ファイルの収集 ] ボタンが表示されます。

[ ファイルの収集 ] ボタンの状態は次のとおりです。

• [アクティブ] - ファイルを収集できます。

• 無効 - アクティブなコレクションの試行中にボタンが淡色表示または無効になっている場合は、ファイルを収集するための適切な RBAC アクセス許可がない可能性があります。

  以下の許可が必要です。

  ポータブル実行可能ファイル (.exe、.sys、.dll など) の場合

  • セキュリティ管理者または高度なライブ応答またはアラート

  移植不可能な実行可能ファイル (.txt、.docx など)

  • セキュリティ管理者または高度なライブ応答

過去 30 日間にファイルがorganizationに表示されていない場合、ファイルの収集は無効になります。

ファイルをブロックまたは許可するインジケーターを追加する

悪意のある可能性があるファイルやマルウェアが疑われるファイルをブロックすることで、組織内で攻撃がさらに拡散するのを防ぎます。 悪意のある可能性のあるポータブル実行可能ファイル (PE) ファイルがわかっている場合は、それをブロックできます。 ファイルをブロックすると、組織内のデバイスでファイルの読み取り、書き込み、または実行ができなくなります。

ブロック ファイル機能を有効にする

ファイルのブロックを開始するには、まず[設定] で [ブロックまたは許可] 機能をオンにする必要があります。

ファイルを許可またはブロックする

ファイルのインジケーター ハッシュを追加する場合は、organization内のデバイスがファイルの実行を試みるたびに、アラートを発生させ、ファイルをブロックすることができます。

インジケーターによって自動的にブロックされるFilesは、ファイルのアクション センターには表示されませんが、アラートは引き続きアラート キューに表示されます。

ファイルのブロックとアラートの生成の詳細については、インジケーターの概要を参照してください。

ファイルのブロックを停止するには、インジケーターを削除します。 このインジケーターは、ファイルのプロファイル ページの [インジケーターの編集] アクションを使用して削除できます。 インジケーターの編集アクションは、インジケーターを追加する前に、インジケーターの追加アクションと同じ位置に表示されます。

インジケーターは 、[設定] ページの [ ルール>Indicators] で編集することもできます。 インジケーターは、ファイルのハッシュによって [ルール>Indicators ] ページに一覧表示されます。

アクション センターでアクティビティの詳細を確認する

アクション センターは、デバイスまたはファイルで実行されたアクションに関する情報を提供します。 次の詳細を表示できます。

• 調査パッケージの収集
• ウイルス対策スキャン
• アプリの制限
• デバイスの分離

送信日時、ユーザーの送信、アクションが成功または失敗した場合など、他のすべての関連する詳細も表示されます。

詳細分析

サイバー セキュリティ調査は通常、アラートによってトリガーされます。 アラートは、多くの場合、新しいファイルまたは不明な 1 つ以上の監視されたファイルに関連しています。 ファイルを選択すると、ファイルのメタデータを確認できるファイル ビューに移動します。 ファイルに関連するデータをエンリッチするには、ファイルを送信して詳細な分析を行うことができます。

ディープ分析機能は、セキュリティで保護された完全にインストルメント化されたクラウド環境でファイルを実行します。 詳細な分析結果は、ファイルのアクティビティ、観察された動作、および関連する成果物 (ドロップされたファイル、レジストリの変更、IP との通信など) を示します。 ディープ分析では、ポータブル実行可能ファイル (PE) ファイル (.exeファイルや .dll ファイルを含む) の広範な分析 が サポートされています。

ファイルの詳細な分析には数分かかります。 ファイル分析が完了すると、[ディープ分析] タブが更新され、利用可能な最新の結果の概要と日時が表示されます。

詳細な分析の概要には、観察された 動作の一覧が含まれています。その一部は、悪意のあるアクティビティや、接続された IP やディスク上に作成されたファイルなど、 監視可能な動作を示します。 何も見つからなかった場合は、[ビヘイビアー] セクションと [Observables] セクションに簡単なメッセージが表示されます。

詳細な分析の結果は脅威インテリジェンスと照合され、一致すると適切なアラートが生成されます。

ディープ分析機能を使用して、通常はアラートの調査中、または悪意のある動作が疑われるその他の理由で、ファイルの詳細を調査します。 詳細分析機能は、ファイルのページの上部にあります。 ディープ分析アクションにアクセスするには、3 つのドットを選択します。

詳細な分析については、次のビデオを参照してください。

詳細分析の送信は、ファイルが Defender for Endpoint バックエンド サンプル コレクションで使用できる場合、またはディープ分析への送信をサポートするWindows 10 デバイスで検出された場合に有効になります。

また、Windows 10デバイス(またはWindows 11、Windows Server 2012 R2+)でファイルが観察されなかった場合は、Microsoft Security Intelligence提出ポータルを通じてサンプルを提出し、「詳細な分析を提出」ボタンが利用可能になるまで待ちます。

詳細な分析のためにファイルを送信する

詳細な分析のためにファイルを送信するには、次の手順に従います。

1. 詳細な分析のために送信するファイルを選択します。 次のいずれかのビューからファイルを選択または検索できます。

   • [アラート] - [アラート ストーリー] タイムラインの [説明] または [詳細] からファイル リンクを選択します
   • デバイス一覧 - 組織内のデバイス セクションで、説明 または 詳細 のファイル リンクを選択します
   • 検索ボックス - ドロップダウン メニューから [ファイル ] を選択し、ファイル名を入力します

2. ファイル ビューの [ ディープ分析 ] タブで、[送信] を選択 します。

   

   注:

   .exe ファイルや .dll ファイルなど、PE ファイルのみがサポートされています。 また、Windows アプリストア実行可能ファイルはサポートされていません。

   進行状況バーが表示され、分析のさまざまなステージに関する情報が提供されます。 その後、分析が完了したときにレポートを表示できます。

詳細な分析レポートを表示する

提供された詳細な分析レポートを表示して、送信したファイルに関する詳細な分析情報を確認します。 詳細分析レポートは、ファイル ビュー コンテキストで使用できます。

次のセクションの詳細を提供する包括的なレポートを表示できます。

• 動作
• オブザーバブル

提供される詳細は、潜在的な攻撃の兆候があるかどうかを調査するのに役立ちます。

1. 詳細な分析のために送信したファイルを選択します。

2. [ ディープ分析 ] タブを選択します。以前のレポートがある場合は、このタブにレポートの概要が表示されます。

   

詳細分析の問題を解決する

ファイルを送信しようとしたときに問題が発生した場合は、次のトラブルシューティング手順をそれぞれ試してください。

1. 問題のファイルが PE ファイルであることを確認します。 PEファイルは通常、 .exe または .dll 拡張子(実行可能プログラムまたはアプリケーション)を持っています。

2. サービスがファイルにアクセスできることを確認し、ファイルがまだ存在し、破損または変更されていないことを確認します。

3. しばらく待ってから、ファイルをもう一度送信してみてください。 キューがいっぱいであるか、一時的な接続または通信エラーが発生している可能性があります。

4. サンプル コレクション ポリシーが構成されていない場合、既定の動作はサンプルコレクションを許可することです。 構成されている場合は、ファイルをもう一度送信する前に、ポリシー設定でサンプル収集が許可されていることを確認します。 サンプル コレクションが構成されている場合は、次のレジストリ値をチェックします。

   Path: HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
   Name: AllowSampleCollection
   Type: DWORD
   Hexadecimal value :
     Value = 0 - block sample collection
     Value = 1 - allow sample collection
   

5. グループ ポリシーを使用して組織単位を変更します。 詳細については、「グループ ポリシーを使用して構成する」を参照してください。

6. これらの手順で問題が解決しない場合は、サポートにお問い合わせください。

関連するコンテンツ

• デバイスの対応措置を講じる
• ファイルを調査する
• Microsoft Defender for Endpoint Plan 1 での手動対応アクション