攻撃シミュレーション トレーニングのレポート

ヒント

Microsoft Defender for Office 365 プラン 2 の機能を無料で試すことができることをご存知でしたか? Microsoft Defender ポータル試用版ハブで、90 日間の Defender for Office 365 試用版を使用します。 サインアップできるユーザーと試用版の条件については、「Microsoft Defender for Office 365 を試す」を参照してください。

Office 365 Plan 2 または Microsoft 365 E5 の Microsoft Defender の攻撃シミュレーション トレーニングで、Microsoft はシミュレーションの結果と対応するトレーニングに基づくレポートを提供します。 この情報により、ユーザーの脅威対策の準備状況の進捗を把握でき、今後の攻撃に対してユーザーをより適切に準備するための次の手順が推奨されます。

レポートは、Microsoft Defender ポータルの 攻撃シミュレーション トレーニング ページの次の場所で使用できます。

この記事の残りの部分では、攻撃シミュレーション トレーニングで利用できるレポートについて説明します。

攻撃シミュレーション トレーニングを開始するには、「攻撃シミュレーション トレーニングの使用を始める」を参照してください。

攻撃シミュレーション トレーニングの [概要] タブと [レポート] タブのレポートの概要

[概要] タブに移動するには、https://security.microsoft.comで Microsoft Defender ポータルを開き、[Email & コラボレーション]>[攻撃シミュレーション トレーニング]: に移動します

タブのレポートの概要の分布については、次の表で説明します。

レポート 概要タブ [レポート] タブ
最近のシミュレーションカード ✔
推奨事項カード ✔
シミュレーション カバレッジ カード ✔ ✔
トレーニング完了カード ✔ ✔
再犯者カード ✔ ✔
動作がcompromise rate cardに与える影響 ✔ ✔

このセクションの残りの部分では、攻撃シミュレーション トレーニングの [概要] タブと [レポート] タブで使用できる情報について説明します。

最近のシミュレーションカード

[最近のシミュレーション] カードは、[概要] タブにあり、組織で作成または実行した最後の 3 つのシミュレーションが表示されます。

シミュレーションを選択して詳細を表示できます。

[ すべてのシミュレーションを表示 ] を選択すると、[ シミュレーション ] タブに移動します。

[シミュレーションの起動] を選択すると、新しいシミュレーション ウィザードが起動します。 詳細については、「Defender for Office 365でのフィッシング攻撃のシミュレート」を参照してください。

[最近のシミュレーション] カードは、Microsoft Defender ポータルの攻撃シミュレーション トレーニングの [概要] タブにあります。

推奨事項カード

[概要] タブの [推奨事項] カードでは、実行するさまざまな種類のシミュレーションが提案されます。

[起動] を選択すると、指定したシミュレーションの種類が [手法の選択] ページで自動的に選択された新しいシミュレーション ウィザードが開始されます。 詳細については、「Defender for Office 365でのフィッシング攻撃のシミュレート」を参照してください。

Microsoft Defender ポータルの攻撃シミュレーション トレーニングの [概要] タブの [推奨事項] カード。

シミュレーション カバレッジ カード

シミュレーション カバレッジ カードは、概要 タブと レポート タブにあり、組織内でシミュレーションを受け取ったユーザー (シミュレートされたユーザー) の割合と、シミュレーションを受け取らなかったユーザー (シミュレートされていないユーザー) の割合を表示します。 グラフ内のセクションにカーソルを合わせると、各カテゴリの実際のユーザー数を確認できます。

[ シミュレーション カバレッジ レポートの表示 ] を選択すると、 攻撃シミュレーション レポートの [ユーザー カバレッジ] タブに移動します。

シミュレートされていないユーザーに対して [シミュレーションの起動] を選択すると、新しいシミュレーション ウィザードが開始され、シミュレーションの対象ではなかったユーザーが [ターゲット ユーザー] ページで自動的に選択されます。 詳細については、「Defender for Office 365でのフィッシング攻撃のシミュレート」を参照してください。

Microsoft Defender ポータルの攻撃シミュレーション トレーニングの [概要] タブにあるシミュレーション カバレッジ カード。

トレーニング完了カード

[概要] タブと [レポート] タブの トレーニング完了 カードは、シミュレーションの結果に基づいてトレーニングを受けたユーザーの割合を次のカテゴリに分類します。

  • 完了
  • 処理中
  • 不完全

グラフ内のセクションにカーソルを合わせると、各カテゴリの実際のユーザー数を確認できます。

[ トレーニング完了レポートの表示 ] を選択すると、 攻撃シミュレーション レポートの [トレーニング完了] タブに移動します。

Microsoft Defender ポータルの攻撃シミュレーション トレーニングの [概要] タブの [トレーニングの完了] カード。

再犯者カード

[概要] タブと [レポート] タブの [繰り返し違反者] カードには、繰り返し違反者に関する情報が表示されます。 再度侵害を受けたユーザーは、連続するシミュレーションによって侵害を受けたユーザーです。 連続するシミュレーションの既定の数は 2 ですが、https://security.microsoft.com/attacksimulator?viewid=setting の攻撃シミュレーション トレーニングの 設定 タブで値を変更できます。 詳細については、「 繰り返し違反者のしきい値を構成する」を参照してください。

グラフは、 シミュレーションの種類別に繰り返し違反データを整理します。

  • すべて
  • マルウェアの添付ファイル
  • マルウェアへのリンク
  • 資格情報の収集
  • 添付ファイル内のリンク
  • ドライブバイ攻撃 URL

[ 再度侵害したユーザー レポートの表示 ] を選択すると、攻撃シミュレーション レポートの [再度侵害したユーザー] タブに移動します。

Microsoft Defender ポータルの攻撃シミュレーション トレーニングの [概要] タブの [繰り返し違反者] カード

侵害発生率一覧に対する挙動の影響

[概要] タブと [レポート] タブの [侵害率に対する動作の影響] カードは、ユーザーが Microsoft 365 の履歴データと比較してシミュレーションにどのように応答したかを示します。 この情報を使用すると、同じユーザー グループに対して複数のシミュレーションを実行することで、ユーザーの脅威への準備状況の進行状況を追跡できます。

グラフ データには、次の情報が表示されます。

  • 実際の侵害率: シミュレーションによって実際に侵害されたユーザーの割合 (実際に侵害されたユーザー数 / シミュレーションを受けた組織内の全ユーザー数)。
  • 予測される侵害率: Microsoft 365 全体の履歴データに基づいて、このシミュレーションによって侵害されるユーザーの割合を予測します。 予測された侵害率 (PCR) の詳細については、「 予測された侵害率」を参照してください。

グラフ内のデータ ポイントにカーソルを合わせると、実際のパーセンテージ値が表示されます。

詳細なレポートを表示するには、[ シミュレーションとトレーニング効果レポートの表示] を選択します。 このレポートについては、 この記事の後半で説明します。

Microsoft Defender ポータルの攻撃シミュレーション トレーニングの [概要] タブにある [侵害される割合に対する動作の影響] カード。

攻撃シミュレーション レポート

攻撃シミュレーション レポートは、この記事で説明する 概要 タブと レポート タブの一部のカードで使用できる ... レポートの表示 アクションを選択して、概要 タブから開くことができます。 攻撃シミュレーション レポート ページに直接移動するには、https://security.microsoft.com/attacksimulationreport を使用します。

攻撃シミュレーション レポートの [トレーニング効果] タブ

攻撃シミュレーション レポート ページでは、[トレーニングの有効性] タブが既定で選択されています。 このタブには、侵害率に対する動作の影響カードで使用できるのと同じ情報が、シミュレーション自体に関するより詳しいコンテキストとともに表示されます。

Microsoft Defender ポータルの攻撃シミュレーション レポートの [トレーニングの有効性] タブ。

グラフには、[ 実際の侵害率 ] と [ 予測された侵害率 ] が表示されます。 グラフ内のセクションにカーソルを合わせると、各セクションの実際のパーセンテージ値が表示されます。

グラフの下の詳細表は、次の情報を示しています。 使用可能な列ヘッダーをクリックすると、シミュレーションを並べ替えることができます。 表示される列を変更するには、[列のカスタマイズ] を選択します。 既定では、使用可能なすべての列が選択されます。

  • シミュレーション名
  • シミュレーション手法
  • シミュレーション戦術
  • 侵害される率の予測
  • 実際の侵害率
  • 対象となるユーザーの総数
  • クリックしたユーザー数

[ 検索 ] ボックスを使用して、 シミュレーション名 または シミュレーション手法で結果をフィルター処理します。 ワイルドカードはサポートされていません。

[レポートの エクスポート ] ボタンを使用して、情報を CSV ファイルに保存します。 既定のファイル名は攻撃シミュレーション レポート - Microsoft Defender.csv で、既定の場所はローカルのダウンロード フォルダーです。 エクスポートされたレポートがその場所に既に存在する場合、ファイル名はインクリメントされます (たとえば、攻撃シミュレーション レポート - Microsoft Defender (1).csv)。

攻撃シミュレーション レポートの [ユーザー カバレッジ] タブ

[ ユーザー カバレッジ ] タブのグラフには、[ シミュレートされたユーザー ] と [ シミュレートされていないユーザー ] が表示されます。 グラフ内のデータ ポイントにカーソルを合わせると、実際の値が表示されます。

Microsoft Defender ポータルの攻撃シミュレーション レポートの [ユーザー カバレッジ] タブ。

グラフの下の詳細表は、次の情報を示しています。 情報を並べ替えるには、表示されている列ヘッダーをクリックします。 表示される列を変更するには、[列のカスタマイズ] を選択します。 既定では、使用可能なすべての列が選択されます。

  • Username
  • メールアドレス
  • シミュレーションに含まれています
  • 前回のシミュレーションの日付
  • 最後のシミュレーション結果
  • クリックされた数
  • 侵害を受けた件数

[検索] ボックスを使用して、ユーザー名またはEmailアドレスで結果をフィルター処理します。 ワイルドカードはサポートされていません。

[レポートの エクスポート ] ボタンを使用して、情報を CSV ファイルに保存します。 既定のファイル名は攻撃シミュレーション レポート - Microsoft Defender.csv で、既定の場所はローカルのダウンロード フォルダーです。 エクスポートされたレポートがその場所に既に存在する場合、ファイル名はインクリメントされます (たとえば、攻撃シミュレーション レポート - Microsoft Defender (1).csv)。

攻撃シミュレーション レポートの [トレーニング完了] タブ

[ トレーニング完了 ] タブのグラフには、[ 完了]、[ 進行中]、[ 未完了 シミュレーション] の数が表示されます。 グラフ内のセクションにカーソルを合わせると、実際の値が表示されます。

Microsoft Defender ポータルの攻撃シミュレーション レポートの [トレーニング完了] タブ。

グラフの下の詳細表は、次の情報を示しています。 情報を並べ替えるには、使用可能な列ヘッダーをクリックします。 表示される列を変更するには、[列のカスタマイズ] を選択します。 既定では、使用可能なすべての列が選択されます。

  • Username
  • 電子メール アドレス
  • シミュレーションに含まれています
  • 前回のシミュレーションの日付
  • 最後のシミュレーション結果
  • 完了した最新のトレーニングの名前
  • 完了日
  • すべてのトレーニング

Filter を選択して、トレーニングの状態（完了、進行中、またはすべて）でグラフと詳細テーブルをフィルター処理します。

フィルターの構成が完了したら、[適用]、[キャンセル]、または [クリア フィルター] を選択します。

[検索] ボックスを使用して、ユーザー名またはEmailアドレスで結果をフィルター処理します。 ワイルドカードはサポートされていません。

[レポートのエクスポート] ボタンを選択すると、レポート生成の進行状況が完了の割合として表示されます。 表示されたダイアログで、.csv ファイルを開き、.csv ファイルを保存し、選択内容を覚えておくことができます。

攻撃シミュレーション レポートの [再発者] タブ

再発ユーザーは、連続するシミュレーションによって侵害を受けたユーザーです。 連続するシミュレーションの既定の数は 2 ですが、攻撃シミュレーション トレーニングの 設定 タブで値を変更できますhttps://security.microsoft.com/attacksimulator?viewid=setting。 詳細については、「繰り返し違反者のしきい値を設定する」を参照してください。

[ 繰り返し違反者 ] タブのグラフには、 繰り返し違反者ユーザー と シミュレートされたユーザーの数が表示されます。

Microsoft Defender ポータルの攻撃シミュレーション レポートの [繰り返し対象者] タブ。

グラフ内のデータ ポイントにカーソルを合わせると、実際の値が表示されます。

グラフの下の詳細表は、次の情報を示しています。 情報を並べ替えるには、利用可能な列ヘッダーをクリックします。 表示される列を変更するには、[列のカスタマイズ] を選択します。 既定では、使用可能なすべての列が選択されます。

  • ユーザー: ユーザーの名前。

  • シミュレーションの種類: ユーザーが関与したシミュレーションの種別を示します。

  • シミュレーション: ユーザーが関与していたシミュレーションの名前。

  • Emailアドレス: ユーザーのメールアドレス。

  • 最新の繰り返し回数: 繰り返し違反者として分類されたユーザーの侵害件数の最新数。 たとえば、反復対象ユーザーのしきい値が 3 に設定され、ユーザーが 3 回連続のシミュレーションで侵害された場合、直近の反復回数は 3 です。 ユーザーが 4 つの連続したシミュレーションで侵害を受けた場合、最新の繰り返し数は 4 です。 ユーザーが2回連続のシミュレーションで侵害された場合、値は N/A です。 最新の繰り返し回数は、再受験者フラグがリセットされるたびに 0 (N/A) に設定されます (ユーザーがシミュレーションに合格することを意味します)。

  • 繰り返しの違反: ユーザーが繰り返し違反者として分類された回数が含まれます。 例:

    • ユーザーは、最初のいくつかのシミュレーションで再発ユーザーとして分類されました（3回連続で侵害され、しきい値は2です）。
    • ユーザーは、シミュレーションに合格した後、"クリーン" として分類されました。
    • ユーザーは、次のいくつかのシミュレーションで再犯者として分類されました（4回連続で侵害を受けており、再犯者のしきい値は2です）。

    このような場合、再違反回数は 2 に設定されます。 カウントは、ユーザーが繰り返し違反者と見なされるたびに更新されます。

  • 最後のシミュレーション名

  • 最後のシミュレーション結果

  • 最後に割り当てられたトレーニング

  • 前回のトレーニングの状態

フィルター を選択して、グラフと詳細テーブルを 1 つ以上のシミュレーションの種類の値でフィルター処理します。

  • 資格情報の収集
  • マルウェア添付ファイル
  • 添付ファイル内のリンク
  • マルウェアへのリンク

フィルターの構成が完了したら、[ 適用]、[ キャンセル]、または [ クリア フィルター] を選択します。

[ 検索 ] ボックスを使用して、列の値のいずれかで結果をフィルター処理します。 ワイルドカードはサポートされていません。

[レポートの エクスポート ] ボタンを使用して、情報を CSV ファイルに保存します。 既定のファイル名は攻撃シミュレーション レポート - Microsoft Defender.csv で、既定の場所はローカルのダウンロード フォルダーです。 エクスポートされたレポートがその場所に既に存在する場合、ファイル名はインクリメントされます (たとえば、攻撃シミュレーション レポート - Microsoft Defender (1).csv)。

ヒント

Microsoft Entra ID でユーザーの Department プロパティに値が設定されている場合は、このレポートから情報をエクスポートして、完了したフィッシング シミュレーションに対して最も脆弱だった部門を特定できます。

攻撃シミュレーショントレーニングのシミュレーション レポート

シミュレーション レポートには、進行中または完了したシミュレーションの詳細が表示されます ( [状態] の値は [進行中] または [完了] です)。 シミュレーション レポートを表示するには、次のいずれかの方法を使用します。

開いたレポート ページには、シミュレーションに関する情報を含む レポート、ユーザー、および 詳細 タブが含まれています。 このセクションの残りの部分では、レポートタブで使用できる情報について説明します。

シミュレーションの [ レポート ] タブのセクションについては、次のサブセクションで説明します。

[ユーザー] タブと [詳細] タブの詳細については、次のリンクを参照してください。

  • シミュレーション:

    • [ユーザー] タブ

      ヒント

      Microsoft Entra ID でユーザーの Department プロパティに値が設定されている場合は、[ユーザー] タブから情報をエクスポートして、実施済みのフィッシング シミュレーションに対して最も脆弱だった部門を特定できます。

    • [詳細] タブ

  • トレーニング キャンペーン:

QRコードシミュレーションのレポート

シミュレーションで使用する QR コード ペイロードを選択できます。 QR コードは、シミュレーション電子メール メッセージで使用されるペイロードとして、フィッシング URL に置き換わります。 詳細については、「 QR コード ペイロード」を参照してください。

QR コードは異なる種類のフィッシング URL であるため、読み取り、削除、侵害済み、およびクリック イベントに関するユーザー イベントは変わりません。 たとえば、QR コードをスキャンするとフィッシング URL が開き、イベントはクリック イベントとして追跡されます。 侵害状態、削除、およびレポート イベントを追跡するための既存のメカニズムは変わりません。

シミュレーション レポートを CSV ファイルにエクスポートする場合、EmailLinkClicked_ClickSource列では次の値を使用できます。

  • PhishingURL: ユーザーは、シミュレーション電子メール メッセージのフィッシング リンクをクリックしました。
  • QRCode: ユーザーはシミュレーション電子メール メッセージで QR コードをスキャンしました。

読み取り、侵害された項目、削除、報告されたメッセージなどのその他のメトリックは、他の更新なしで追跡され続けます。 詳細は、この記事の後半にある付録セクションを参照してください。

シミュレーション レポート

このセクションでは、( トレーニング キャンペーンではなく) 通常のシミュレーションのシミュレーション レポートの情報について説明します。

攻撃シミュレーション トレーニングのシミュレーション レポートの [レポート] タブ。

シミュレーション レポートの影響セクション

シミュレーションの [レポート] タブ ** の [シミュレーションの影響] セクションには、侵害されたユーザーとメッセージを報告したユーザーの数と割合が表示されます。

ヒント

Microsoft 以外のツールによって報告されたシミュレーション メッセージは、攻撃シミュレーション レポートにはキャプチャされません。

グラフ内のセクションにカーソルを合わせると、各カテゴリの実際の数値が表示されます。

[ 侵害されたユーザーの表示 ] を選択して、レポートの [ユーザー] タブ タブに移動します。結果は [侵害: はい] でフィルター処理されます。

レポートの [ユーザー] タブに移動するには、[報告したユーザーを表示] を選択します。結果は [報告されたメッセージ: はい] でフィルター処理されます。

シミュレーション レポートの [レポート] タブにある [シミュレーションの影響] セクション。

シミュレーションのレポート内のすべてのユーザー アクティビティ セクション

シミュレーションの [レポート] タブ** の [すべてのユーザー アクティビティ] セクションには、シミュレーションの可能な結果の数値が表示されます。 情報は、シミュレーションの種類によって異なります。 例:

  • メッセージ リンクがクリックされた または 添付ファイル リンクがクリックされた または 添付ファイルが開かれた
  • 指定された資格情報
  • メッセージを読む
  • 削除されたメッセージ
  • メッセージに返信
  • 転送されたメッセージ
  • 不在

[ すべてのユーザーを表示 ] を選択して、結果がフィルター処理されないレポートの [ユーザー] タブ タブに移動します。

シミュレーションのシミュレーション レポートの [レポート] タブの [すべてのユーザー アクティビティ] セクション。

シミュレーションのレポートの配信状態セクション

シミュレーションの [レポート] タブ ** の [配信状態] セクションには、シミュレーション メッセージで使用可能な配信状態の数値が表示されます。 例:

  • メッセージを正常に受信しました
  • ポジティブ強化メッセージが配信されました
  • シミュレーション メッセージが配信されました

[ メッセージ配信に失敗したユーザーの表示 ] を選択すると、レポートの [ユーザー] タブ に移動し、結果が [シミュレーション メッセージ配信: 配信に失敗しました] でフィルター処理されます。

[ 除外されたユーザーまたはグループの表示 ] を選択して、シミュレーションから除外されたユーザーまたはグループを表示する [除外されたユーザーまたはグループ] フライアウトを開きます。

シミュレーションのシミュレーション レポートの [レポート] タブの [配信状態] セクション。

シミュレーションのレポートのトレーニング完了セクション

シミュレーションの詳細ページの [ トレーニングの完了 ] セクションには、シミュレーションに必要なトレーニングと、トレーニングを完了したユーザーの数が表示されます。

シミュレーションにトレーニングが含まれていない場合、このセクションにはトレーニングはこのシミュレーションの一部ではありませんでしたと表示されます。

シミュレーションのシミュレーション レポートの [レポート] タブの [トレーニング完了] セクション。

シミュレーション レポートの最初と平均のインスタンスのセクション

シミュレーションの レポート タブ** の 最初の & 平均インスタンス セクションには、シミュレーションで特定のアクションを実行するのにかかった時間に関する情報が表示されます。 例えば:

  • 最初のリンクがクリックされました
  • 平均リンククリック数
  • 最初に入力された資格情報
  • 平均資格情報入力

シミュレーションのシミュレーション レポートの [レポート] タブにある [最初と平均のインスタンス] セクション。

シミュレーション用レポートの推奨事項セクション

シミュレーションの [レポート] タブ ** の [推奨事項] セクションには、組織のセキュリティ保護に役立つ攻撃シミュレーション トレーニングを使用するための推奨事項が表示されます。

シミュレーションの [シミュレーション レポート] の [レポート] タブにある [推奨事項] セクション。

トレーニング キャンペーンのシミュレーション レポート

このセクションでは、トレーニング キャンペーン向けのシミュレーション レポートの情報について説明します（シミュレーションではなく）。

攻撃シミュレーション トレーニングのトレーニング キャンペーン レポートの [レポート] タブ。

トレーニング キャンペーンのレポートのトレーニング完了分類セクション

トレーニング キャンペーンの [レポート] タブ** の [トレーニング完了分類] セクションには、トレーニング キャンペーンで完了したトレーニング モジュールに関する情報が表示されます。

攻撃シミュレーション トレーニングのトレーニング キャンペーン レポートの [レポート] タブの [トレーニング完了分類] セクション。

トレーニング キャンペーンのレポートのトレーニング完了の概要セクション

トレーニング キャンペーンの [レポート] タブ** の [トレーニング完了の概要] セクションでは、棒グラフを使用して、キャンペーン内のすべてのトレーニング モジュールにおける割り当てられたユーザーの進行状況（ユーザー数/ユーザー総数）を示します。

  • 完了
  • 処理中
  • 未開始
  • 完了していない
  • 以前に割り当て済み

グラフ内のセクションにカーソルを合わせると、各カテゴリの実際の割合を確認できます。

攻撃シミュレーション トレーニングのトレーニング キャンペーン レポートの [レポート] タブの [トレーニング完了の概要] セクション。

トレーニング キャンペーン レポートのすべてのユーザー アクティビティ

トレーニング キャンペーンの [レポート] タブ** の [すべてのユーザー アクティビティ] セクションでは、棒グラフを使用して、トレーニング通知を正常に受信したユーザー数（ユーザー数/ユーザー総数）を示します。

グラフ内のセクションにカーソルを合わせると、各カテゴリの実際の数値を確認できます。

攻撃シミュレーション トレーニングのトレーニング キャンペーン レポートの [レポート] タブの [すべてのユーザー アクティビティ] セクション。

付録

レポートから情報をエクスポートすると、CSV ファイルには、すべての列が表示されている場合でも、レポートに表示される情報よりも多くの情報が含まれます。 フィールドについては、次の表を参照してください。

ヒント

最大限の情報を得るには、エクスポートする前に、レポートで使用可能なすべての列が表示されていることを確認します。

Microsoft 以外のツールによって報告されたシミュレーション メッセージは、攻撃シミュレーション レポートにはキャプチャされません。

フィールド名 説明
UserName アクティビティを実行したユーザーのユーザー名。
UserMail アクティビティを実行したユーザーのメールアドレス。
侵害されました ユーザーが危殆化したかどうかを示します。 値は [はい] または [いいえ] です。
AttachmentOpened_TimeStamp マルウェア添付ファイル シミュレーションで添付ファイルペイロードが開かれた場合。
AttachmentOpened_Browser マルウェア添付ファイル シミュレーションで、添付ファイルのペイロードが Web ブラウザーで開かれた場合。 この情報は UserAgent から取得されます。
AttachmentOpened_IP マルウェア添付ファイルシミュレーションで添付ファイルペイロードが開かれた IP アドレス。 この情報は UserAgent から取得されます。
AttachmentOpened_Device マルウェア添付ファイルシミュレーションで添付ファイルペイロードが開かれたデバイス。 この情報は UserAgent から取得されます。
AttachmentLinkClicked_TimeStamp 添付ファイル内のリンク シミュレーションで、添付ファイルのリンク ペイロードがクリックされたとき。
AttachmentLinkClicked_Browser Link in Attachment シミュレーションで添付ファイル リンク ペイロードをクリックするために使用された Web ブラウザー。 この情報は UserAgent から取得されます。
AttachmentLinkClicked_IP 「Link in Attachment」シミュレーションで添付リンクのペイロードがクリックされた IP アドレス。 この情報は UserAgent から取得されます。
AttachmentLinkClicked_Device 「添付ファイル内のリンク」シミュレーションで添付ファイルのリンク ペイロードがクリックされたデバイス この情報は UserAgent から取得されます。
EmailLinkClicked_TimeStamp Credential Harvest、Link to Malware、Drive-by-url、および OAuth Consent Grant シミュレーションでリンク ペイロードがクリックされたとき。
EmailLinkClicked_Browser Credential Harvest、Link to Malware、Drive-by-url、OAuth Consent Grant シミュレーションでリンク ペイロードをクリックするために使用された Web ブラウザー。 この情報は UserAgent から取得されます。
EmailLinkClicked_IP 資格情報の収集、マルウェアへのリンク、Drive-by-url、OAuth Consent Grant シミュレーションでリンク ペイロードがクリックされた IP アドレス。 この情報は UserAgent から取得されます。
EmailLinkClicked_Device 資格情報の収集、マルウェアへのリンク、Drive-by-url、OAuth Consent Grant シミュレーションでリンク ペイロードがクリックされたデバイス。 この情報は UserAgent から取得されます。
EmailLinkClicked_ClickSource 資格情報ハーベスト、マルウェアへのリンク、Drive-by-url、および OAuth Consent Grant のシミュレーションで、URL をクリックするか QR コードをスキャンすることによってペイロード リンクが選択されたかどうか。 値は PhishingURL または QRCode。
CredSupplied_TimeStamp(Compromised) ユーザーが資格情報を入力したとき。
CredSupplied_Browser ユーザーが資格情報を入力したときに使用された Web ブラウザー。 この情報は UserAgent から取得されます。
CredSupplied_IP ユーザーが資格情報を入力した IP アドレス。 この情報は UserAgent から取得されます。
CredSupplied_Device ユーザーが認証情報を入力したデバイス。 この情報は UserAgent から取得されます。
SuccessfullyDeliveredEmail_TimeStamp シミュレーション電子メール メッセージがユーザーに配信されたとき。
MessageRead_TimeStamp シミュレーション メッセージが読み取られたとき。
MessageDeleted_TimeStamp シミュレーション メッセージが削除されたとき。
MessageReplied_TimeStamp ユーザーがシミュレーション メッセージに返信したとき。
MessageForwarded_TimeStamp ユーザーがシミュレーション メッセージを転送したとき。
OutOfOfficeDays ユーザーが不在かどうかを判断します。 この情報は、Outlook の [自動応答] 設定から取得されます。
PositiveReinforcementMessageDelivered_TimeStamp 肯定的な強化メッセージがユーザーに配信されたとき。
PositiveReinforcementMessageFailed_TimeStamp 肯定的な強化メッセージがユーザーに配信できなかった場合。
JustSimulationMessageDelivered_TimeStamp トレーニングが割り当てられていないシミュレーションの一部としてシミュレーション メッセージがユーザーに配信されたとき（新しいシミュレーション ウィザードの [トレーニングの割り当て] ページで [トレーニングなし] が選択されていた）。
JustSimulationMessageFailed_TimeStamp シミュレーション電子メール メッセージのユーザーへの配信に失敗し、シミュレーションにトレーニングが割り当てられていない場合。
TrainingAssignmentMessageDelivered_TimeStamp トレーニング割り当てメッセージがユーザーに配信されたとき。 シミュレーションでトレーニングが割り当てられていない場合、この値は空です。
TrainingAssignmentMessageFailed_TimeStamp トレーニング割り当てメッセージがユーザーに配信できなかった場合。 シミュレーションでトレーニングが割り当てられていない場合、この値は空です。
FailedToDeliverEmail_TimeStamp シミュレーション電子メール メッセージがユーザーに配信できなかった場合。
前回のシミュレーション アクティビティ ユーザーの最後のシミュレーション アクティビティ（ユーザーが成功したかだまされたか）。
割り当て済みトレーニング シミュレーションの一部としてユーザーに割り当てられたトレーニングの一覧。
修了したトレーニング シミュレーションの一部としてユーザーが完了したトレーニングの一覧。
トレーニング ステータス シミュレーションにおけるユーザー向けトレーニングの現在の状態。
フィッシングの報告済み ユーザーがシミュレーション メッセージをフィッシングとして報告したとき。
部署 シミュレーション時のMicrosoft Entra IDのユーザーの Department プロパティ値。
会社 シミュレーション時のMicrosoft Entra IDのユーザーの Company プロパティ値。
タイトル シミュレーション時のMicrosoft Entra IDのユーザーの Title プロパティ値。
Office シミュレーション時のMicrosoft Entra IDでのユーザーの Office プロパティ値。
都市 シミュレーション時のMicrosoft Entra IDでのユーザーの City プロパティ値。
国 シミュレーション時のMicrosoft Entra IDのユーザーの Country プロパティ値。
マネージャー シミュレーション時のMicrosoft Entra IDのユーザーの Manager プロパティ値。

ユーザー アクティビティ シグナル

ユーザー アクティビティシグナルのキャプチャ方法については、次の表を参照してください。

フィールド 説明 計算ロジック
添付ファイルをダウンロード ユーザーが添付ファイルをダウンロードしました。 信号はクライアントから来ます (Outlook や Word など)。
開封済みの添付ファイル ユーザーが添付ファイルを開いた。 シグナルはクライアントから来ます（たとえば、Outlook や Word など）。
メッセージを読む ユーザーはシミュレーション メッセージを読み取りました。 メッセージ読み取りシグナルでは、次のシナリオで問題が発生する可能性があります。
  • ユーザーは閲覧ウィンドウを離れずに Outlook でメッセージをフィッシングとして報告し、 閲覧ウィンドウで表示したときにアイテムを開封済みとしてマーク する (既定値) は構成されていません。
  • ユーザーは Outlook で未読メッセージをフィッシングとして報告し、メッセージは削除され、削除時にメッセージを開封済みとしてマーク は構成されておらず (既定値のまま) でした。
外出中 ユーザーが不在かどうかを判断します。 現在、Outlook の [自動応答] 設定によって計算されます。
侵害されたアカウントのユーザー ユーザー アカウントが侵害されました。 侵害のシグナルは、ソーシャル エンジニアリング手法によって異なります。
  • 資格情報の収集: ユーザーはサインイン ページで資格情報を入力しました (資格情報は Microsoft によって保存されません)。¹
  • マルウェアの添付ファイル: ユーザーがペイロードの添付ファイルを開き、保護されたビューで編集を有効にするを選択しました。
  • 添付ファイル内のリンク: ユーザーが添付ファイルを開き、ペイロード リンクをクリックした後に認証情報を入力しました。
  • マルウェアへのリンク: ユーザーがペイロード リンクをクリックし、資格情報を入力しました。
  • URL 経由: ユーザーがペイロード リンクをクリックしました（資格情報の入力は必要ありません）。¹
  • OAuth 同意付与: ユーザーはペイロード リンクをクリックし、アクセス許可を共有するためのプロンプトを受け入れた。¹
クリック済みメッセージ リンク ユーザーがシミュレーション メッセージのペイロード リンクをクリックしました。 ドライブバイ URL 手法では、クリック イベントによってシステム侵害も発生します。 シミュレーションの URL はユーザーごとに一意であり、個々のユーザー アクティビティの追跡が可能です。 セキュリティサービス、非 Microsoft のフィルタリング サービス、またはメール転送によるペイロード URL の自動検査は、誤検知につながる可能性があります。 EmailLinkClicked_IP、EmailLinkClicked_Browser、EmailLinkClicked_Device、イベント タイムスタンプを使って、可能性の高いユーザー アクティビティと自動化された検査を区別するのに役立ちます。 詳細については、「シミュレーション メッセージでリンクをクリックしなかったと主張するユーザーからのクリックまたは侵害のイベントが表示されるか、多くのユーザーに対して配信後数秒以内にクリックが表示される (誤検知)。どうなっているのですか。」を参照してください。
転送されたメッセージ ユーザーがメッセージを転送しました。
メッセージに返信しました ユーザーがメッセージに返信しました。
削除されたメッセージ ユーザーがメッセージを削除しました。 シグナルは、ユーザーの Outlook アクティビティから取得されます。 ユーザーがメッセージをフィッシングとして報告した場合、メッセージは削除済みアイテム フォルダーに移動される可能性があります。これは削除として識別されます。
付与されたアクセス許可 ユーザーはOAuth 同意付与シミュレーションでアクセス許可を共有しました。 このアクションは、セキュリティ侵害と見なされるイベントとも見なされます。

¹ クリックされたリンクは、選択したURLまたはスキャンしたQRコードである場合があります。

手法によるトレーニング割り当てトリガーの動作

シミュレーションとシミュレーションの自動化でトレーニング割り当てに トレーニング コースとモジュールを自分で選択する を選択すると、次のトリガーを使用してトレーニングを割り当てることができます。

  • すべてのユーザー
  • クリックされたペイロード
  • 侵害された

ただし、すべてのトレーニング割り当てトリガーがすべてのソーシャル エンジニアリング手法に適用されるわけではありません。 次の表は、使用可能で推奨されるトレーニング割り当てトリガーを手法別にまとめたものです。

技術 トレーニングの課題:
すべてのユーザー		 トレーニング割り当て:
クリックされたペイロード		 トレーニングの割り当て設定:
侵害された		 推奨
資格情報の収集 対応 対応 対応済み トレーニング戦略に基づいて、任意のトレーニング割り当てトリガーを使用します。
マルウェア添付ファイル 対応済み 適用されません (クリック イベントなし) 対応済み すべてのユーザーまたは侵害を受けたユーザーにトレーニングを割り当てます。 Clicked payload にトレーニングを割り当てないでください。
添付ファイル内のリンク 対応 対応済み 対応済み トレーニング戦略に基づいて、任意のトレーニング割り当てトリガーを使用します。
マルウェアへのリンク 対応 対応 対応済み トレーニング戦略に基づいて、任意のトリガー訓練の割り当てを使用します。
ドライブバイURL 対応済み 推奨されません（クリック = 侵害される） サポート対象 すべてのユーザーまたは侵害を受けたユーザーにトレーニングを割り当てます。
OAuth 同意の付与 対応 対応済み サポート対象 トレーニング戦略に基づいて、任意のトレーニング割り当てトリガーを使用します。

攻撃シミュレーション トレーニングの利用を開始する

フィッシング攻撃シミュレーションを作成する

受講者をトレーニングするためのペイロードを作成する

  • 最終更新: