カスタム検出を使用すると、侵害の疑いのあるアクティビティや正しく構成されていないエンドポイントなど、さまざまなイベントやシステム状態を事前に監視して対応できます。 カスタム検出は、アラートと応答アクションを自動的にトリガーするカスタマイズ可能な検出ルールです。
カスタム検出は 高度なハンティングで機能します。これにより、ネットワークからの広範なイベントとシステム情報をカバーする強力で柔軟なクエリ言語が提供されます。 一定の間隔で実行し、アラートを生成しながら一致するたびに応答アクションを実行するように設定できます。 カスタム検出ルールは、高度なハンティング クエリ エディターから作成することも、カスタム検出ルールの一覧から直接作成することもできます。
カスタム検出では、次の機能が提供されます。
- 高度なハンティング クエリから構築されたルール ベースの検出に関するアラート
- 自動応答アクション
カスタム検出ルールでクエリを最適化することは、タイムアウトを回避し、効率を確保する上で重要です。 高度なハンティング クエリのベスト プラクティスでクエリの最適化に関するガイダンスを提供するリソースがいくつかあります。
カスタム検出をコードとして管理する (プレビュー)
Microsoft Security BICEP 拡張機能を使用して、GitHubまたはAzure DevOps リポジトリのコードとしてカスタム検出ルールを管理できます。 自動同期のために Microsoft Sentinel リポジトリを通じてカスタム検出をデプロイするか、カスタム パイプラインに BICEP CLI を使用します。 詳細については、「 カスタム検出ルールをコードとしてデプロイする」を参照してください。
関連項目
- カスタム検出ルールの作成と管理
- 高度な捜索クエリのベスト プラクティス
- 高度なハンティング クエリをMicrosoft Defender for Endpointから移行する
- カスタム検出用の Microsoft Graph セキュリティ API
ヒント
もっと詳しく知りたいですか？ Tech Community 内の Microsoft Security コミュニティにご参加ください: 「Microsoft Defender XDR Tech Community」。