Microsoft Defenderのエンティティ ページで脅威インテリジェンスを表示する (プレビュー)

Microsoft Defenderは、Microsoft脅威インテリジェンスからの脅威インテリジェンス データを使用してエンティティ ページを強化するため、アナリストは調査中にコンテキスト内インテリジェンスを取得します。 個別のツールを切り替える代わりに、Microsoft Defender ポータルのエンティティ ページで、評判データ、脅威アクターの属性、インフラストラクチャリレーションシップ、およびその他のインテリジェンスに直接アクセスできます。

エンティティ エンリッチメントは、グローバルに観察された脅威インテリジェンスを調査ワークフローに取り込みます。 インシデント内の IP アドレス、ドメイン、URL、またはファイルを調査すると、エンティティ ページには関連するインテリジェンスが表示されます。これにより、リスクを評価し、より迅速かつ情報に基づいた意思決定を行うことができます。

前提条件

すべてのMicrosoft Defender XDRのお客様は、追加コストなしで、パブリックに利用可能なMicrosoft脅威インテリジェンス データを使用してエンティティ エンリッチメントにアクセスできます。

サポートされているエンティティ型

次のエンティティ型のエンティティ エンリッチメントを取得できます。 エンティティの種類ごとに、関連性に応じて異なるインテリジェンス データが表示されます。

エンティティ エンリッチメントにアクセスする方法

強化されたエンティティ ページには、Microsoft Defender ポータル内のいくつかのエントリ ポイントからアクセスできます。

• インシデント調査 - インシデント の証拠またはアラートの詳細からエンティティ (IP、ドメイン、URL、またはファイル) を選択して、エンリッチされたエンティティ ページを開きます。
• グローバル検索 - Defender ポータルの検索バーで IP アドレス、ドメイン、URL、またはファイル ハッシュを検索して、エンティティ ページに直接移動します。
• 高度なハンティング - 高度なハンティング クエリの結果でエンティティ値を選択して、エンティティ ページを開きます。
• 直接ナビゲーション - ポータル内の任意のリンクからエンティティ ページに直接移動します。

脅威インテリジェンス分析情報タブ

エンティティ ページ の [Threat Intelligence Insights ] タブは、エンリッチメント データの主要な画面です。 このタブでは、Microsoft脅威インテリジェンスからの脅威インテリジェンスを 1 つのビューに統合します。エンティティの種類に応じて、次のセクションにまとめられます。

評価

評判セクションでは、Microsoftの検出ルールとインテリジェンスに基づいてエンティティのリスク評価を行います。 評判スコアは、企業が悪意、疑わしい、中立、未知のいずれかに分類され、過去に悪意のある活動があったかどうかを迅速に判断するのに役立ちます。

評判は0から100までの数値スコアとして表示されます。 Microsoftは、トップレベルドメイン、ホスティングプロバイダー、ネームサーバー、レジストラ、TLS証明書の特徴などの要素を評価する独自のデータおよび機械学習ルール(それぞれに高、中、低の重度が割り当てられています)からスコアを導き出しています。 これらの要因を全体的に評価してください。単一の指標ではなく、複数の指標の組み合わせが、企業が悪意を持っている可能性を予測します。 ホスト、ドメイン、IPアドレスは、そのスコアに基づいて以下のカテゴリに分類されます。

属性付き脅威レポート

Microsoftエンティティを既知の脅威アクターまたはキャンペーンにリンクすると、属性付き脅威レポート セクションに関連する脅威分析レポートが表示されます。 これらのレポートは、脅威アクターの戦術、手法、手順 (TCP) に関するコンテキストを提供し、アナリストが広範な脅威の状況を理解するのに役立ちます。

インフラストラクチャの関係 (IP アドレスとドメイン)

IPアドレスおよびドメインエンティティについては、インフラ関係セクションでは、パッシブDNS(PDNS)、ポートスキャン、ウェブクロールインフラを通じて収集されたMicrosoftのインターネットデータを利用して、接続されたインフラを明らかにし、インフラ解析を支援します。 このセクションには、次が含まれます。

• DNSレコード - 過去および現在のDNS解決データ(リバースDNSを含む)で、どのドメインがIPアドレスに解決されたか、またその逆が時間経過で示されます。
• WHOIS 情報 - 登録者、日付、レジストラーを含むドメイン登録の詳細。
• ホスト ペア - Web コンテンツ内の観察された接続に基づくホスト間のリレーションシップ。
• サブドメイン - ドメインに関連付けられている既知のサブドメイン。
• TLS/SSL 証明書 - 発行者、有効性、サブジェクトの別名などの証明書の詳細。
• サービス - インフラストラクチャで実行されているネットワーク サービスが検出されました。
• コンポーネント - インフラストラクチャで識別される Web テクノロジとフレームワーク。
• トラッカー - インフラストラクチャで観察された Web 分析と追跡コード。
• Cookie - インフラストラクチャからの応答で観察された Cookie 名。

サンドボックス分析 (URL とファイル)

URL およびファイル エンティティの場合、サンドボックス分析では、エンティティが制御された環境で実行されたときに観察された動作インジケーターを示すデトネーション結果が提供されます。

調査ワークフロー

エンティティ エンリッチメントは、Microsoft Defenderのインシデント調査ワークフローに直接統合されます。 一般的な調査フローには、次のものが含まれます。

• Microsoft Defender ポータルでインシデントを開き、インシデントの証拠を確認します。
• エンティティ (IP アドレス、ドメイン、URL、またはファイル) を選択して、エンティティ ページを開きます。
• エンティティに関する重要な詳細については、[ 概要 ] タブを確認します。
• Microsoft Threat Intelligence からのエンリッチメント データを表示するには、Threat Intelligence Insights タブを選択します。
• インテリジェンスを使用してリスクを評価し、脅威アクターの属性を特定し、インフラストラクチャの関係を理解します。
• 関連するエンティティやレポートに切り替えて、調査を続行してください。

関連するコンテンツ

• Microsoft Defender の IP アドレス エンティティ ページ
• Microsoft Defender XDR の Microsoft Threat Intelligence
• Microsoft Defender XDR でインシデントを調査する