Microsoft Defender for Office 365 セキュリティ運用ガイド

ヒント

Microsoft Defender for Office 365 プラン 2 の機能を無料で試すことができることをご存知でしたか? Microsoft Defender ポータル試用版ハブで、90 日間の Defender for Office 365 試用版を使用します。 サインアップできるユーザーと試用版の条件については、「Microsoft Defender for Office 365 を試す」を参照してください。

この記事では、organizationでOffice 365のMicrosoft Defenderを正常に運用するための要件とタスクの概要について説明します。 これらのタスクは、セキュリティ オペレーション センター (SOC) が、メールやコラボレーション関連のセキュリティ上の脅威を保護、検出、対応するための高品質で信頼性の高いアプローチを確実に提供するのに役立ちます。

このガイドの残りの部分では、SecOps 担当者に必要なアクティビティについて説明します。 アクティビティは、規範的な毎日、週単位、月単位、アドホック タスクにグループ化されます。

このガイドのコンパニオン記事では、Defender for Office 365インシデントとアラートを管理するための概要について説明します。

Microsoft Defender XDRセキュリティ運用ガイドには、計画と開発に使用できる追加情報が含まれています。

Defender for Office 365 の SecOps 要件とタスクに関するビデオについては、https://youtu.be/eQanpq9N1Ps を参照してください。

毎日のアクティビティ

Microsoft Defender XDR インシデント キューを監視する

のMicrosoft Defender ポータルの [https://security.microsoft.com/incidents] ページ (インシデント キューとも呼ばれます) を使用すると、Defender for Office 365の次のソースからのイベントを管理および監視できます。

Incidents キューの詳細については、「Microsoft Defender XDRでのインシデントの優先順位付け」を参照してください。

インシデント キューを監視するためのトリアージ 計画では、インシデントに対して次の優先順位を使用する必要があります。

  1. 悪意のある可能性のある URL のクリックが検出されました。
  2. 電子メールの送信を制限されたユーザー。
  3. 疑わしいメール送信パターンが検出されました。
  4. Emailユーザーによってマルウェアまたはフィッシングとして報告され、複数のユーザーが電子メールをマルウェアまたはフィッシングとして報告しました。
  5. 配信後に削除された悪意のあるファイルを含むメッセージEmail、配信後に削除された悪意のある URL を含むメッセージをEmailし、配信後に削除されたキャンペーンからメッセージをEmailします。
  6. ETR オーバーライドが原因で配信されたフィッシング、 ユーザーの迷惑メール フォルダーが無効になっているために配信されたフィッシング、 IP 許可ポリシーが原因で配信されたフィッシング
  7. ZAP が無効になっているため、マルウェアは削除されませんでした と ZAP が無効になっているため、フィッシングは削除されませんでした。

インシデント キュー管理と責任あるペルソナを次の表に示します。

アクティビティ 頻度 説明 ペルソナ
https://security.microsoft.com/incidentsのインシデント キュー内のインシデントをトリアージします。 毎日 Defender for Office 365のすべての中および高重大度インシデントがトリアージされていることを確認します。 セキュリティ運用チーム
インシデントに対する対応アクションを調査して実行します。 毎日 すべてのインシデントを調査し、推奨または手動の対応アクションを積極的に実行します。 セキュリティ運用チーム
インシデントを解決します。 毎日 インシデントが修復された場合は、インシデントを解決します。 インシデントを解決すると、リンクされたすべてのアクティブなアラートが解決されます。 セキュリティ運用チーム
インシデントを分類します。 毎日 インシデントを true または false として分類します。 真のアラートの場合は、脅威の種類を指定します。 インシデントとアラートを分類すると、セキュリティ チームは脅威パターンを確認し、組織を脅威から守ることができます。 セキュリティ運用チーム

誤検知と検知漏れを管理する

ヒント

Defender for Office 365では、次の場所で誤検知 (無効としてマークされた良好なメール) と偽陰性 (無効なメールが許可されている) を管理します。

偽陽性と偽陰性の管理と責任あるペルソナを次の表に示します。

アクティビティ 頻度 説明 ペルソナ
誤検知と偽陰性を https://security.microsoft.com/reportsubmission から Microsoft に送信してください。 毎日 正しくないメール、URL、およびファイル検出を報告して、Microsoft にシグナルを提供します。 セキュリティ運用チーム
管理者の申請の詳細を分析します。 毎日 Microsoft への提出に関する次の要因について説明します。
  • 誤検知または偽陰性の原因。
  • 送信時の Defender for Office 365構成の状態。
  • Defender for Office 365構成を変更する必要があるかどうか。
 セキュリティ運用チーム

セキュリティ管理
https://security.microsoft.com/tenantAllowBlockListのテナント許可/ブロック 一覧にブロック エントリを追加します。 毎日 必要に応じて、テナント許可/ブロック リストを使用して、偽の負の URL、ファイル、または送信者の検出のブロック エントリを追加します。 セキュリティ運用チーム
偽陽性を隔離から解除します。 毎日 受信者がメッセージが誤って検疫されたことを確認したら、ユーザーに対するリリース要求をリリースまたは承認できます。

独自の検疫済みメッセージ (リリースや要求のリリースを含む) に対してユーザーが実行できる操作を制御するには、「 検疫ポリシー」を参照してください。		 セキュリティ運用チーム

メッセージング チーム

配信されたメールが発生したフィッシングとマルウェアのキャンペーンを確認する

メールが配信されたフィッシングとマルウェアのキャンペーンを確認し、ユーザー のメールボックスから悪意のあるメッセージを削除するアクションを実行します。

アクティビティ 頻度 説明 ペルソナ
メール キャンペーンを確認します。 毎日 組織を対象としたメール キャンペーンを確認しますhttps://security.microsoft.com/campaignsで。 メッセージが受信者に配信されたキャンペーンに焦点を当てます。

ユーザー メールボックスに存在するキャンペーンからメッセージを削除します。 キャンペーンからのメッセージの削除は、インシデントからのアクション、 0 時間の自動消去 (ZAP)、または手動修復によってまだ修復されていないメールがキャンペーンに含まれている場合にのみ必要です。		 セキュリティ運用チーム

毎週のアクティビティ

Defender for Office 365では、次のレポートを使用して、organizationの電子メール検出の傾向を確認できます。

アクティビティ 頻度 説明 ペルソナ
電子メール検出レポートを確認する: 毎週 適切なメールと比較して、マルウェア、フィッシング、スパムの電子メール検出の傾向を確認します。 時間の経過に伴う監視により、脅威パターンを確認し、Office 365 ポリシーに対して Defender を調整する必要があるかどうかを判断できます。 セキュリティ管理

セキュリティ運用チーム

脅威分析を使用して新たな脅威を追跡して対応する

脅威分析を使用して、アクティブなトレンドの脅威を確認します。

アクティビティ 頻度 説明 ペルソナ
https://security.microsoft.com/threatanalytics3の脅威分析で脅威を確認します。 毎週 脅威分析では、次の項目を含む詳細な分析が提供されます。
  • IOCs。
  • 活動中の脅威アクターとそのキャンペーンを調査するためのクエリ。
  • 人気のある新しい攻撃手法。
  • 重大な脆弱性。
  • 一般的な攻撃対象領域。
  • 一般的なマルウェア。
 セキュリティ運用チーム

脅威ハンティング チーム

上位の対象ユーザーのマルウェアとフィッシングを確認する

[脅威] エクスプローラーの [すべてのメール]、[マルウェア]、[フィッシング] ビューの詳細領域にある [上位の対象ユーザー] タブ (表示) を使用して、マルウェアとフィッシングメールの上位ターゲットであるユーザーを検出または確認します。

アクティビティ 頻度 説明 ペルソナ
の脅威エクスプローラーで https://security.microsoft.com/threatexplorer タブを確認します。 毎週 上位の対象ユーザー データを使用して、特定されたユーザーのポリシーまたは保護を調整する必要があるかどうかを判断します。 影響を受けるユーザーを Priority アカウント に追加して、次の利点を得ることができます。
  • インシデントがそれらに影響を与える場合の追加の可視性。
  • エグゼクティブ メール フロー パターン (優先アカウント保護) に合わせて調整されたヒューリスティック。
  • 優先度アカウント レポートのEmailの問題
 セキュリティ管理

セキュリティ運用チーム

organizationを対象とする上位のマルウェアとフィッシング キャンペーンを確認する

キャンペーン ビューでは、組織に対するマルウェア攻撃やフィッシング攻撃が表示されます。 詳細については、「Microsoft Defender for Office 365 のキャンペーン ビュー」を参照してください。

アクティビティ 頻度 説明 ペルソナ
の https://security.microsoft.com/campaigns を使用して、お客様に影響するマルウェアやフィッシング攻撃を確認します。 毎週 攻撃と手法、および Defender for Office 365が識別およびブロックできた内容について説明します。

キャンペーンの詳細情報を確認するには、キャンペーン ビューで 脅威レポートをダウンロード を使用します。		 セキュリティ運用チーム

アドホック アクティビティ

ヒント

Office 365のMicrosoft Defenderの電子メール メッセージを調査する方法の概要については、この短いビデオ「https://youtu.be/5hA7VfaMvqs」をチェックします。

電子メールの手動調査と削除

必要に応じて、次のアクティビティを使用して、悪意のあるメールを手動で調査および削除します。

アクティビティ 頻度 説明 ペルソナ
ユーザーの要求に基づいて、https://security.microsoft.com/threatexplorerの Threat エクスプローラー で不適切なメールを調査して削除します。 アドホック 脅威エクスプローラーの 調査のトリガー アクションを使用して、過去 30 日間のすべての Email で自動調査と応答プレイブックを開始します。 調査を手動でトリガーすると、次のような時間と労力が一元的に節約されます。
  • 根本原因調査。
  • 脅威を特定して関連付ける手順。
  • これらの脅威を軽減するための推奨アクション。

詳細については、「例: ユーザーが報告したフィッシング メッセージが調査プレイブックを起動する」を参照してください。

または、Threat エクスプローラー を使用して、強力な検索機能とフィルター処理機能を使用して電子メールを手動で調査し、同じ場所から直接手動応答アクションを実行できます。 使用可能な手動アクション:
  • 受信トレイに移動
  • 迷惑メールに移動する
  • 削除済みアイテムに移動する
  • 論理的な削除
  • 完全削除。
 セキュリティ運用チーム

積極的に脅威を捜索する

次のアクティビティを使用して、Defender for Office 365 ツール全体で脅威を事前に検出します。

アクティビティ 頻度 説明 ペルソナ
脅威に対する定期的でプロアクティブなハンティング: . アドホック 脅威のエクスプローラーと高度なハンティングを使用して脅威を検索します。 セキュリティ運用チーム

脅威ハンティング チーム
ハンティング クエリを共有する。 アドホック 頻繁に使用される便利なクエリをセキュリティ チーム内で積極的に共有し、手動による脅威の検出と修復を迅速化します。

高度なハンティング で脅威トラッカー と 共有クエリを使用します。		 セキュリティ運用チーム

脅威ハンティング チーム
https://security.microsoft.com/custom_detectionでカスタム検出ルールを作成します。 アドホック 高度なハンティングのDefender for Office 365 データに基づいて、イベント、パターン、脅威を事前に監視するカスタム検出ルールを作成します。 検出ルールには、一致する条件に基づいてアラートを生成する高度なハンティング クエリが含まれています。 セキュリティ運用チーム

脅威ハンティング チーム

Defender for Office 365 のポリシーの構成を確認する

組織のセキュリティ体制を維持するために、次のポリシー構成アクティビティを確認します。

アクティビティ 頻度 説明 ペルソナ
https://security.microsoft.com/configurationAnalyzerで、Office 365 ポリシーの Defender の構成を確認します。 アドホック

毎月		 構成アナライザーを使用して、既存のポリシー設定を、Office 365の Defender の推奨Standardまたは Strict 値と比較します。 構成アナライザーは、organizationのセキュリティ体制を低下する可能性がある偶発的または悪意のある変更を識別します。

または、PowerShell ベースの ORCA ツールを使用することもできます。		 セキュリティ管理

メッセージング チーム
https://security.microsoft.com/reports/TPSMessageOverrideReportATPで Defender for Office 365での検出のオーバーライドを確認する アドホック

毎月		 >で、システム オーバーライド別にデータを表示理由ビュー別のグラフの内訳を使用して、フィッシングとして検出されたものの、ポリシーまたはユーザーのオーバーライド設定により配信されたメールを確認します。

悪意があると判断されたメールの配信を回避するために、オーバーライドを積極的に調査、削除、または微調整します。		 セキュリティ管理

メッセージング チーム

なりすましと偽装の検出を確認する

スプーフィングと偽装の検出を確認し、必要に応じてフィルター処理を調整するには、次のアクティビティを使用します。

アクティビティ 頻度 説明 ペルソナ
スプーフ インテリジェンスのインサイトとなりすまし検出のインサイトを確認する. アドホック

毎月		 なりすましインテリジェンス分析情報と偽装分析情報を使用して、なりすましと偽装の検出のフィルター処理を調整します。 セキュリティ管理

メッセージング チーム

優先アカウント メンバーシップを確認する

優先度アカウントのメンバーシップを定期的に確認して、組織の変更に合わせて保護を維持します。

アクティビティ 頻度 説明 ペルソナ
https://security.microsoft.com/securitysettings/userTagsで優先度アカウントとして定義されているユーザーを確認します。 アドホック 優先度アカウントのメンバーシップを組織の変更に合わせて最新の状態に保ち、これらのユーザーに次の利点を得ます。
  • レポートの可視性の向上。
  • インシデントとアラートのフィルター処理。
  • エグゼクティブ メール フロー パターン (優先アカウント保護) に合わせて調整されたヒューリスティック。

他のユーザー向けにカスタムuser tagsを使用して取得します:
  • レポートの可視性の向上。
  • インシデントとアラートのフィルター処理。
 セキュリティ運用チーム

付録: Defender for Office 365 ツール、アクセス許可、SIEM/SOAR 統合

Office 365ツールとプロセスのMicrosoft Defenderについて説明します

セキュリティ運用と対応チーム メンバーは、Defender for Office 365 ツールと機能を既存の調査と対応プロセスに統合する必要があります。 新しいツールと機能については時間がかかる場合がありますが、オンボーディング プロセスの重要な部分です。 SecOps とメール セキュリティ チーム メンバーが Defender for Office 365について学習する最も簡単な方法は、https://aka.ms/mdoninjaの Ninja トレーニング コンテンツの一部として利用できるトレーニング コンテンツを使用することです。

Ninja のトレーニング コンテンツは、レベルごとに複数のモジュールを持つさまざまな知識レベル (基礎、中級、上級) 用に構成されています。

特定のタスクの短いビデオは、Office 365 YouTube チャンネルのMicrosoft Defenderでも利用できます。

Office 365アクティビティとタスクに対する Defender のアクセス許可

Microsoft Defender ポータルと PowerShell で Defender for Office 365を管理するためのアクセス許可は、ロールベースのアクセス制御 (RBAC) アクセス許可モデルに基づいています。 RBAC は、ほとんどの Microsoft 365 サービスで使用されているのと同じアクセス許可モデルです。 詳細については、「Microsoft Defender ポータルのアクセス許可」を参照してください。

注:

Microsoft Entra IDのPrivileged Identity Management (PIM) は、SecOps 担当者に必要なアクセス許可を割り当てる方法でもあります。 詳細については、Privileged Identity Management (PIM) と、Office 365のMicrosoft Defenderで使用する理由に関するページを参照してください。

Defender for Office 365では、次のアクセス許可 (ロールとロール グループ) を使用でき、セキュリティ チーム メンバーへのアクセスを許可するために使用できます。

  • Microsoft Defender統合ロールベースのアクセス制御 (RBAC): 管理者がさまざまなセキュリティ ソリューションにわたってユーザーのアクセス許可を制御するための 1 つの中央の場所を提供する 1 つのアクセス許可管理エクスペリエンス。 詳細については、「Microsoft Defender の統合 RBAC」を参照してください。 Defender for Office 365固有のアクセス許可については、「Defender for Office 365の統合 RBAC アクセス許可」を参照してください。 詳細な構成については、「Defender for Office 365の統合 RBAC を構成する方法」を参照してください。

    • 電子メールと Teams メッセージ ヘッダーの読み取りアクセス: セキュリティ操作/未加工データ (電子メール & コラボレーション)/Email &コラボレーション メタデータ (読み取り)。
    • 電子メール メッセージのプレビューとダウンロード: セキュリティ操作/生データ (電子メール & コラボレーション)/Email &コラボレーション コンテンツ (読み取り)。
    • 悪意のあるメールを修復する: セキュリティ操作/セキュリティ データ/Email &コラボレーションの高度なアクション (管理)。

  • Microsoft Entra ID: Defender for Office 365を含むすべての Microsoft 365 サービスにアクセス許可を割り当てる一元化されたロール。 Microsoft Defender ポータルでは、Microsoft Entraロールと割り当てられたユーザーを表示できますが、直接管理することはできません。 代わりに、https://aad.portal.azure.com/#view/Microsoft_AAD_IAM/RolesManagementMenuBlade/~/AllRoles/adminUnitObjectId//resourceScope/%2FでMicrosoft Entraロールとメンバーを管理します。 セキュリティ チームで使用される最も頻繁なロールは次のとおりです。

  • Exchange OnlineとEmail &コラボレーション: Office 365のMicrosoft Defenderに固有のアクセス許可を付与するロールとロール グループ。 次のロールはMicrosoft Entra IDでは使用できませんが、セキュリティ チームにとって重要な場合があります。

    • プレビュー 役割(メールおよびコラボレーション):調査活動の一環としてメールのプレビューやダウンロードが必要なチームメンバーにこの役割を割り当てます。 ユーザーは、Threat エクスプローラー (エクスプローラー) またはリアルタイム検出とEmailエンティティ ページを使用して、クラウド メールボックスから電子メール メッセージをプレビューおよびダウンロードできます。

      既定では、 プレビュー ロールは次の役割グループにのみ割り当てられます。

      • データ調査員
      • eDiscovery マネージャー

      これらの役割グループにユーザーを追加することも、プレビュー ロールが割り当てられた新しいロール グループを作成して、カスタム ロール グループにユーザーを追加することもできます。

    • 検索およびパージ の役割(メールおよびコラボレーション):AIRの推奨により悪意のあるメッセージの削除を承認するか、Threat Explorerのようなハンティング体験でメッセージに対して手動で対応を行います。

      既定では、 Search ロールと Purge ロールは次のロール グループにのみ割り当てられます。

      • データ調査員
      • 組織の管理

      これらの役割グループにユーザーを追加することも、検索ロールと消去ロールが割り当てられた新しい役割グループを作成し、ユーザーをカスタム ロール グループに追加することもできます。

    • テナント許可ブロックリストマネージャー(Exchange Online):テナント許可/ブロックリスト内の許可およびブロックエントリを管理します。 URL、ファイル (ファイル ハッシュを使用) または送信者をブロックすることは、配信された悪意のあるメールを調査するときに実行する便利な応答アクションです。

      既定では、このロールはMicrosoft Entra IDではなく、Exchange Onlineの Security Operator ロール グループにのみ割り当てられます。 Microsoft Entra IDの Security Operator ロールのメンバーシップでは、テナント許可/ブロック リストのエントリを管理することはできません。

      Microsoft Entra IDのセキュリティ管理者または組織の管理ロールのメンバー、またはExchange Online内の対応するロール グループのメンバーは、テナント許可/ブロック リストのエントリを管理できます。

SIEM/SOAR 統合

Defender for Office 365は、プログラムによる API のセットを介してそのデータの大部分を公開します。 これらの API は、ワークフローを自動化し、Defender for Office 365機能を最大限に活用するのに役立ちます。 データはMicrosoft Defender API を介して使用でき、Defender for Office 365を既存の SIEM/SOAR ソリューションに統合するために使用できます。

  • インシデント API: Defender for Office 365アラートと自動調査は、Microsoft Defenderのインシデントのアクティブな部分です。 セキュリティ チームは、攻撃範囲全体と影響を受けたすべての資産をグループ化することで、重要な点に集中できます。

  • イベント ストリーミング API: リアルタイムのイベントとアラートを、発生した場合に 1 つのデータ ストリームに配信できます。 Defender for Office 365でサポートされているイベントの種類は次のとおりです。

    イベントには、過去 30 日間のすべての電子メール (組織内メッセージを含む) の処理からのデータが含まれます。

  • 高度なハンティング API: 製品間の脅威ハンティングを許可します。

  • Threat Assessment API: スパム、フィッシング URL、またはマルウェアの添付ファイルを Microsoft に直接報告するために使用できます。

Defender for Office 365 インシデントと生データをMicrosoft Sentinelに接続するには、Microsoft Defender XDR (M365D) コネクタを使用します

次の "Hello World" の例を使用して、Microsoft Defender API への API アクセスをテストできます: Microsoft Defender XDR REST API の Hello World。

SIEM ツールの統合の詳細については、「SIEM ツールとMicrosoft Defender XDRの統合」を参照してください。

Defender for Office 365で誤検知と偽陰性に対処する

ユーザーが報告したメッセージと電子メール メッセージの管理者からの送信は、機械学習検出システムにとって重要な肯定的な強化シグナルです。 報告は、攻撃を確認し、トリアージし、迅速に把握して、被害を軽減するのに役立ちます。 誤検知と検知漏れを積極的に報告することは、検出時に誤りが発生した場合に Defender for Office 365 にフィードバックを提供するための重要な取り組みです。

組織には、ユーザーが報告したメッセージを構成するための複数のオプションがあります。 構成によっては、ユーザーが Microsoft に誤検知または偽陰性を送信するときに、セキュリティ チームがより積極的に関与する場合があります。

  • ユーザーが報告した設定が次のいずれかの設定で構成されている場合、 ユーザーが報告した メッセージは分析のために Microsoft に送信されます。

    • 報告されたメッセージの送信先: Microsoft のみ。
    • 報告されたメッセージをMicrosoft と自分のレポート メールボックスに送信します。

    セキュリティ チームのメンバーは、運用チームがユーザーによって報告されなかった誤検知または偽陰性を検出したときに、アドホック 管理者の申請 を行う必要があります。

  • ユーザーが報告したメッセージが、organizationのメールボックスにのみメッセージを送信するように構成されている場合、セキュリティ チームは、管理者の申請を介して、ユーザーから報告された誤検知と偽陰性を Microsoft に積極的に送信する必要があります。

ユーザーがメッセージをフィッシングとして報告すると、Defender for Office 365によってアラートが生成され、アラートによって AIR プレイブックがトリガーされます。 インシデント ロジックは、この情報を可能な限り他のアラートやイベントに関連付けます。 この情報の統合は、セキュリティ チームがユーザーから報告されたメッセージのトリアージ、調査、応答に役立ちます。

ヒント

Defender for Office 365 Plan 2 とSecurity Copilotを持つ組織では、フィッシングトリアージ エージェントは、ユーザーが報告したフィッシングメールを大規模に自律的にトリアージして分類し、反復的な調査作業を減らし、対応を加速させることができます。

サービスの申請パイプラインは、ユーザー レポート メッセージと管理者がメッセージを送信するときに、緊密に統合されたプロセスに従います。 通常、このプロセスには次のものが含まれます。

  • ノイズリダクション。
  • 自動トリアージ。
  • セキュリティ アナリストと人間が提携する機械学習ベースのソリューションによる採点。

詳細については、「Office 365 ブログのMicrosoft Defender - Defender for Office 365で電子メールを報告する」を参照してください。

セキュリティ チーム メンバーは、https://security.microsoft.comのMicrosoft Defender ポータルで複数の場所から申請を行うことができます。

  • 管理者による送信: Microsoft に疑わしいスパム、フィッシング、URL、ファイルを送信するには、送信ページを使用します。

  • 次のいずれかのメッセージ アクションを使用して、Threat エクスプローラーから直接アクセスします。

    • クリーンの報告
    • フィッシング詐欺の報告
    • マルウェアの報告
    • スパムを報告する

    一括送信を実行するには、最大 10 個のメッセージを選択できます。 これらのメソッドを使用して作成された管理申請は、[申請] ページの各タブに表示されます。

偽陰性の短期的な軽減策として、セキュリティ チームは、ファイル、URL、ドメインまたはメール アドレスのブロック エントリを テナント許可/ブロック リストで直接管理できます。

誤検知の短期的な軽減策として、セキュリティ チームは、テナント許可/ブロック リストでドメインとメール アドレスの許可エントリを直接管理することはできません。 代わりに、 管理者の申請 を使用して、電子メール メッセージを誤検知として報告する必要があります。 手順については、「 Microsoft に適切なメールを報告する」を参照してください。

Defender for Office 365での検疫では、潜在的に危険なメッセージや不要なメッセージやファイルが保持されます。 セキュリティ チームは、すべてのユーザーのすべての種類の検疫済みメッセージを表示、解放、削除できます。 この機能を使用すると、誤検知メッセージまたはファイルが検疫されたときに、セキュリティ チームが効果的に対応できます。

Microsoft 以外のレポート ツールと Defender for Office 365 ユーザーが報告したメッセージを統合する

organizationが、ユーザーが疑わしいメールを内部的に報告できる Microsoft 以外のレポート ツールを使用している場合は、このツールを Defender for Office 365のユーザーが報告したメッセージ機能と統合できます。 Microsoft以外のレポート ツールとDefender for Office 365ユーザーから報告されたメッセージ機能を統合すると、セキュリティ チームには次の利点があります。

  • Defender for Office 365の AIR 機能との統合。
  • 簡略化されたトリアージ。
  • 調査と応答時間の短縮。

ユーザーが報告したメッセージが送信されるレポート メールボックスを、のMicrosoft Defender ポータルの [https://security.microsoft.com/securitysettings/userSubmission] ページで指定します。 詳細については、「 ユーザーが報告した設定」を参照してください。

注:

  • レポート メールボックスは、Exchange Online メールボックスである必要があります。
  • Microsoft 以外のレポート ツールでは、報告対象の元のメッセージを、報告用メールボックスに送信するメッセージに非圧縮の .EML または .MSG 添付ファイルとして含める必要があります（元のメッセージをそのまま報告用メールボックスに転送するだけではありません）。 詳細については、「 Microsoft 以外のレポート ツールのメッセージ送信形式」を参照してください。
  • レポート メールボックスには、フィルター処理や変更を行わずに不適切なメッセージを配信できるようにするための特定の前提条件が必要です。 詳細については、「 レポート メールボックスの構成要件」を参照してください。
  • Defender for Office 365 Plan 2 の攻撃シミュレーション トレーニングでは、Microsoft 以外のツールによって報告されたシミュレーション メッセージは、攻撃シミュレーション レポートにはキャプチャされません。

ユーザーが報告したメッセージがレポート メールボックスに到着すると、Defender for Office 365は、ユーザーがマルウェアまたはフィッシングとして報告Emailという名前のアラートを自動的に生成します。 ユーザーがマルウェアまたはフィッシングのアラートとして報告した電子メールは、AIR プレイブックを起動します。 プレイブックでは、一連の自動調査手順が実行されます。

  • 指定したメールに関するデータを収集します。
  • そのメールに関連する脅威と エンティティ (ファイル、URL、受信者など) に関するデータを収集します。
  • 調査結果に基づいて、SecOps チームに推奨されるアクションを提供します。

マルウェアまたはフィッシングのアラート、自動調査、および推奨されるアクションとしてユーザーによって報告された電子メールは、Microsoft Defenderのインシデントに自動的に関連付けられます。 アラート、自動調査、推奨されるアクションをインシデントに関連付けると、セキュリティ チームのトリアージと対応プロセスがさらに簡略化されます。 複数のユーザーが同じメッセージまたは類似のメッセージを報告する場合、すべてのユーザーとメッセージが同じインシデントに関連付けられます。

Defender for Office 365のアラートと調査のデータは、他のMicrosoft Defender製品のアラートや調査と自動的に比較されます。

  • Microsoft Defender for Endpoint（エンドポイント用マイクロソフトディフェンダー）
  • Microsoft Defender for Cloud Apps（クラウドアプリを守るマイクロソフトのセキュリティサービス）
  • Microsoft Defender for Identity

リレーションシップが検出された場合、システムは攻撃全体を可視化するインシデントを作成します。

関連するコンテンツ

  • Last updated on