セキュリティ アラートの表示と管理

アラート キューには、ネットワーク内の ID からフラグが設定されたアラートの一覧が表示されます。 既定では、キューには、グループ化されたビューの過去 7 日間に表示されたアラートが表示されます。 最新のアラートが一覧の上部に表示されるため、最新のアラートを最初に確認できます。

この記事では、Microsoft Defender for Identityでセキュリティ アラートを表示、フィルター処理、調査、分類、管理する方法について説明します。

アラート キューを表示する

Microsoft Defender ポータルで、[インシデント] & [アラート] に移動し、[アラート] に移動します。

過去 7 日間のアラートは、次の情報と共に表示されます。

• アラート名
• タグ
• 重大度
• 調査の状態
• 状態
• カテゴリ
• 検出ソース
• 影響を受ける資産
• 最初のアクティビティ
• [最後のアクティビティ]

アラート キューのビューをカスタマイズする

アラート キューのビューは、いくつかの方法でカスタマイズできます。 ページの上部にあるツールを使用すると、次のことができます。

• ビューをカスタマイズして列を追加または削除します。
• フィルターの適用。
• 期間をカスタマイズします。 1 日、3 日、1 週間、30 日、6 か月など、特定の期間のアラートを表示します。
• 分析のために詳細な Excel レポートをエクスポートします。

アラート ビューをフィルター処理する

次のフィルターを適用して、アラートのより焦点を絞ったビューを取得できます。

アラートを表示する

次のいずれかのアラート名を選択することで、複数の場所から個々のアラートにアクセスできます。

• [ アラート] ページ
• インシデント ページ
• ID ページ
• 個々のデバイスのページ
• 高度なハンティング ページ

アラートページを理解する

[アラート] ページでは、選択したアラートに関連する攻撃シグナルとアラートを組み合わせてアラートにコンテキストを提供し、詳細なアラート ストーリーを構築します。 [アラート] ページは、アラートのトリアージ、調査、および効果的なアクションの実行をすばやく行うのに役立ちます。

Defender for Identity と Defender XDRの両方からアラートを表示するには、[フィルター] を選択し、[サービス ソース] で [Microsoft Defender for IdentityとDefender XDRを選択し、[適用] を選択します。

Microsoft Defender for Identity のアラート

ページの上部には、アラートの アカウント、 宛先ホスト、 およびソース ホスト のセクションがあります。 アラートによっては、追加のホスト、アカウント、IP アドレス、ドメイン、セキュリティ グループの詳細が表示される場合があります。 関係する事業体の詳細を得るには、任意のリスト企業を選択してください。

• [ アラート ストーリー ] セクションには、アラートの詳細を含む完全なストーリーを提供するための情報が表示されます。 アラート ストーリーは、次の 2 つのセクションに分かれています。
  • 発生した内容には、アラートのタイムラインと、アラートに関連するエンティティが含まれます。
  • アラート グラフ には、アラートに関連するエンティティとそのリレーションシップなど、アラートの視覚的な表現が表示されます。 このグラフは、エンティティがどのように接続されているか、およびそれらがアラートにどのように関連しているかを理解するのに役立ちます。
• 重要な情報 は、アラート調査をサポートする技術的なコンテキストを提供します。 この情報を使用して、そのアクティビティが想定どおりのものか不審なものかを確認し、インシデントを封じ込めるための対応を取るか、エスカレーションするかを判断できます。
• アクティビティの詳細 は、タイムスタンプ、基本オブジェクト、検索スコープ、アラートに関するその他の詳細など、詳細情報を提供します。
• ページの右側にある 詳細ウィンドウ には、アラートの詳細、コメント & 履歴など、 アラートに関する追加情報 が表示されます。 詳細ウィンドウには、次のような追加のオプションも表示されます。
  • アラートの管理
  • アラートのエクスポート
  • アラートを別のインシデントに移動する
  • アラートを分類する

Microsoft Defender XDR アラート

ページの上部には、アラートの アカウント、 宛先ホスト、 およびソース ホスト のセクションがあります。 アラートによっては、追加のホスト、アカウント、IP アドレス、ドメイン、セキュリティ グループの詳細を示すボタンが表示される場合があります。 関係する事業体の詳細を得るには、これらの団体のいずれかを選択してください。

• [ アラート ストーリー ] セクションには、アラートの詳細を含む完全なストーリーを提供するための情報が表示されます。 アラート ストーリーは、次の 2 つのセクションに分かれています。
  • 発生した内容には、アラートのタイムラインと、アラートに関連するエンティティが含まれます。
• ページの右側にある 詳細ウィンドウ には、アラートの詳細、コメント & 履歴など、 アラートに関する追加情報 が表示されます。 詳細ウィンドウには、次のような追加のオプションも表示されます。
  • アラートの管理
  • アラートを別のインシデントに移動する
  • アラートを分類する

セキュリティ アラートの管理

アラートを選択すると、[アラート管理] ウィンドウが開き、次のアクションを実行できます。

• アラートの状態を変更する
• アラートを別の事件に移す
• アラートを割り当てる
• アラートにコメントを追加する
• セキュリティアラートを分類する
• チューニングアラート

アラートの状態を変更する

調査の進行状況に応じて状態を変更することで、アラートを新規、進行中、または解決済みとして分類できます。 これにより、チームがアラートに応答する方法を整理および管理できます。 たとえば、チーム リーダーはすべての新しいアラートを確認し、さらに分析するために進行中キューに割り当てることを決定できます。 チーム リーダーは、アラートが問題ないことがわかっている場合、または無関係なデバイス (セキュリティ管理者に属するデバイスなど) から送信された場合、または以前のアラートで対処されている場合、解決済みキューにアラートを割り当てることができます。

アラートを別のインシデントに移動する

アラートから新しいインシデントを作成したり、既存のインシデントにリンクしたりできます。

アラートを割り当てる

アラートがまだ割り当てられていない場合は、[自分に割り当てる] を選択してアラートを自分に割り当てることができます。

アラートにコメントを追加する

アラートにコメントを追加して、追加のコンテキストまたは情報を提供できます。 コメントを追加することは、チームと洞察を共有したり、調査過程を記録したりするのに役立ちます。 アラートに変更またはコメントが加えられた場合は常に、[コメントと履歴] セクションに記録されます。

セキュリティ アラートを分類する

Defender for Identityのセキュリティアラートは、真陽性、良性真陽性、偽陽性に分類されます。 これらの分類はこのセクション全体でTP、B-TP、FPと略されています。 各アラートについて、次の質問をしてアラートの分類を決定し、次に何を行うかを決定します。

1. セキュリティ アラートは TP、B-TP、または FP ですか?
2. 環境内のこの特定のセキュリティ アラートはどのくらい一般的ですか?
3. アラートは、同じ種類のコンピューターまたはユーザーによってトリガーされましたか? たとえば、同じロールを持つサーバーや、同じグループ/部署のユーザーなどです。 コンピューターまたはユーザーが似ている場合は、今後の FP アラートを回避するために、このアラートの種類を除外することができます。

適切な調査の後、すべての Defender for Identity セキュリティ アラートは、次のいずれかのアクティビティの種類として分類できます。

• 真陽性 (TP): Defender for Identity によって検出された悪意のあるアクション。

• 無害な真陽性 (B-TP): Defender for Identity によって検出された、実際に発生したものの悪意はないアクションです。たとえば、侵入テストや、承認済みアプリケーションによって生成される既知のアクティビティなどが該当します。

• 誤検知 (FP): 誤報。つまり、アクティビティが発生しなかったことを意味します。

セキュリティアラートのチューニング

アラートを調整・最適化することで、誤検知を減らします。 アラートチューニングにより、SOCチームは優先度の高いアラートに集中し、システム内の脅威検知カバレッジを向上させることができます。 Microsoft Defenderでは、証拠タイプに基づくルール条件を作成し、その条件に合致する任意のルールタイプにルールを適用します。

詳細については、「 アラートの調整」を参照してください。

関連コンテンツ

アラートの調査の詳細については、次の記事を参照してください。

• ユーザー アカウントを調査する
• コンピューターを調査する