Microsoft DefenderでDefenderのID検出除外設定を設定

この記事では、Microsoft Defender for Identity の検出除外を Microsoft Defender で設定する方法について説明します。

Microsoft Defender for Identityでは、特定の IP アドレス、コンピューター、ドメイン、またはユーザーを多数の検出から除外できます。

たとえば、 DNS 偵察 アラートは、スキャン メカニズムとして DNS を使用するセキュリティ スキャナーによってトリガーされる可能性があります。 除外を作成すると、Microsoft Defender for Identity でそのようなスキャナーが無視され、誤検知を減らすことができます。

検出除外を追加する方法

検出の除外を追加するには、次の手順を実行します。

1. Microsoft Defender ポータルにサインインする

2. システム>設定を開き、次にIDを選択します。

   

3. [ 除外されたエンティティ] を選択します。 除外は、 検出ルールによる除外 と グローバル除外エンティティの 2 つの方法を使用して設定できます。

   

検出ルールによる除外

特定の検出ルールの除外を構成するには、次の手順に従います。

1. [ 検出ルールによる除外] を選択します。

   

2. 構成する検出ごとに、次の手順を実行します。

   1. 一覧から検出ルールを選択します。

   2. 検出ルールの詳細を表示します。

      

   3. 除外を追加するには、[ 除外されたエンティティ ] ボタンを選択します。

   4. 除外タイプ(ユーザー、デバイス、ドメイン、IPアドレスなど)を選択します。 各ルールは異なるエンティティタイプをサポートしています。 この例では、[ デバイスの除外] と [ IP アドレスの除外] を選択します。

      

   5. 除外の種類を選択したら、[ + ] ボタンを選択して除外を追加します。

      

   6. [ + 追加] を選択して、除外されたエンティティを一覧に追加します。

      

   7. 除外を完了するには、(この例では) [ IP アドレス の除外] を選択します。

      

   8. 除外事項を追加した後は、エクスポートまたは削除が可能です。 除外対象のボタンに戻る。 この例では、 デバイスを除外するを選択します。 リストをエクスポートするには、下矢印ボタンを選択します。

      

   9. 除外を削除するには、除外を選択し、ごみ箱アイコンを選択します。 除外を削除すると即座に削除され、関連するアラートが再開されることがあります。

      

グローバル除外エンティティ

また、 グローバル除外エンティティを使って除外を設定することもできます。 グローバル除外により、特定のエンティティ(IPアドレス、サブネット、デバイス、ドメイン)をすべてのDefender for Identity検出から除外できます。 例えば、デバイスを除外した場合、除外はデバイス識別を用いる検出にのみ適用されます。

1. [ グローバル除外エンティティ ] を選択すると、除外できるエンティティのカテゴリが表示されます。

   

2. 除外の種類を選択します。 この例では、[ドメインの 除外] を選択しました。

   

3. 除外するドメインを追加できるウィンドウが開きます。 除外するドメインを追加します。

   

4. ドメインが一覧に追加されます。 除外を完了するには 、[ドメインの除外] を選択します。

   

5. その後、すべての検出ルールから除外するエンティティの一覧にドメインが表示されます。 リストをエクスポートするか、エンティティを選択して [削除] ボタンを選択してエンティティを 削除 できます。

   

次の手順

• イベント収集を構成する
• Microsoft Defender for Identity コミュニティ フォーラム