Microsoft Defender for Identityセキュリティ アラートとは
Microsoft Defender for Identityセキュリティ アラートは、Defender for Identity によって検出された疑わしいアクティビティと、各脅威に関与するアクターとコンピューターに関する情報を提供します。 警告エビデンス リストには、関与しているユーザーとコンピューターへの直接リンクが含まれており、調査が簡単で直接的になります。
注:
Defender for Identity は、センサーがインストールされているサーバー上のすべての操作またはアクティビティをキャプチャする監査またはログ 記録ソリューションとして機能するように設計されていません。 検出と推奨メカニズムに必要なデータのみをキャプチャします。
[ID アラート] ページでは、クロスドメインシグナルエンリッチメントと自動 ID 応答機能が提供されます。 Microsoft Defenderを使用してアラートを調査する利点は、Microsoft Defender for Identityアラートがスイート内の他の各製品から取得した情報と関連付けられるということです。 これらの強化されたアラートは、Microsoft Defender for Office 365およびMicrosoft Defender for Endpointから発生する他のMicrosoft Defenderアラート形式と一致します。
ID トリガーのDefenderから発生したアラートMicrosoft Defender自動調査と応答 (AIR) 機能 (アラートの自動修復、疑わしいアクティビティに寄与する可能性のあるツールとプロセスの軽減など) です。
Microsoft Defender for Identityアラートは現在、Microsoft Defender ポータルの 2 つの異なるレイアウトに表示されます。 アラート ビューにはさまざまな情報が表示されることがありますが、すべてのアラートは Defender for Identity センサーからの検出に基づいています。 表示されるレイアウトと情報の違いは、Microsoft Defender製品全体で統合されたアラート エクスペリエンスへの継続的な移行の一部です。
注:
ClassicやDefender形式のアラートはセンサーバージョンに紐づいていません。 v2.xまたはv3.xセンサーは、アラートに表示される 検出源 に応じて、いずれの形式でもアラートにデータを提供できます。
Defender形式のアラート体験への移行中、一部の検出がクラシックアラートリストとDefender形式のアラートリストの両方に異なる名前で現れることがあります。 Detectionソースを使って、どの形式がアラートを生成したかを確認してください。
チューニングはフォーマットごとに異なります。 設定>Identities>Excludedエンティティの設定は、Identity検出除外のためDefenderに適用されます。 Defender形式のアラートは、Microsoft Defenderのアラート調整ルールで調整する必要があります。
すべての Defender for Identity セキュリティ アラートの構造と一般的なコンポーネントを理解する方法の詳細については、「アラートの 表示と管理」を参照してください。
真陽性 (TP)、良性真陽性 (B-TP)、偽陽性 (FP) の詳細については、「セキュリティ アラートの分類」を参照してください。
アラート カテゴリ
アラートは、一般的なサイバー攻撃キル チェーンで見られるフェーズに基づいてカテゴリに分けられます。 カテゴリは、アラートの発生元がクラシック Microsoft Defender for Identity アラートか、Microsoft Defenderかによって若干異なります。 違いは、Microsoft Defender製品全体で統合されたアラート エクスペリエンスへの継続的な移行の一部です。
たとえば、次のカテゴリがあります。
- 偵察と検出アラート
- 永続化と特権のエスカレーション アラート
- 資格情報アクセス アラート
- 横移動アラート
各アラートの詳細については、次を参照してください。