ID を調査する

Microsoft Defenderでは、ID はorganization内の人物またはエンティティを表します。 多くの場合、ユーザーは、オンプレミスの Active Directory、Microsoft Entra ID、SaaS アプリケーション、その他の IDP などのプロバイダー間で複数のアカウントを持っています。 Defender は、これらのアカウントを 1 つの ID に関連付ける。

各 ID にはプライマリ アカウントがあります。 複数のアカウントが ID に関連付けられている場合、Microsoft Defenderは 1 つのアカウントをプライマリとして指定し、ID レベルのプロファイルの詳細に使用します。

[ID] ページには、リンクされたアカウント間の ID の詳細、監視されたアクティビティ、アラート、公開が統合されているため、セキュリティ チームはリスクをすばやく評価し、侵害の可能性を判断し、環境全体の ID のアクセスを理解し、修復アクションで対応できます。 [ID] ページを開くには、Microsoft Defender ポータルの複数の領域から ID を選択します。

• ID インベントリ
• アラート キュー
• 個々のアラート ページ
• インシデントまたはデバイス
• 高度なハンティング結果
• アクティビティ ログ
• アクション センター

[ID] ページは、上部のセクションと一連のタブに編成されています。 上部のセクションには、組織の情報やタグなどの ID コンテキストが表示され、[ アクション] メニューが含まれています。 タブを使用して、概要の詳細、関連するアラート、およびより詳細な調査ビューを確認します。

• 組織情報: ID の役職、部署など。
• アカウント タグ: ID に関連付けられている Active Directory タグ

ID アクション

[ 概要 ] ページで、[ アクション] メニューを使用して、ID に対する修復アクションをトリガーします。 アクションは、ID に関連付けられているアカウントに適用され、オンプレミスの Active Directory、Microsoft Entra ID、ID およびアクセス管理 (IAM) システム、SaaS アプリにまたがる、有効になっているコネクタによって異なります。 使用可能なアクションには、アカウントの無効化または有効化、セッションの取り消し、パスワードの変更の強制、ユーザーの侵害のマークなどがあります。 その ID のアカウント設定を表示することもできます。

修復アクションと、それらをサポートする ID プロバイダーと接続されているアプリの完全な一覧については、「Microsoft Defender for Identityの修復アクション」を参照してください。

[概要] タブ

[概要] タブには、アナリストがリスクをすばやく評価し、より深い調査が必要かどうかを判断するのに役立つ高度なスナップショットが用意されています。

[概要] タブには、次のセクションが含まれています。

• エンティティの詳細
• インシデントと警告
• 関連付けられている対話型ログオン デバイス

エンティティの詳細

[エンティティの詳細] パネルには、次のような主要な ID 情報と調査シグナルが要約されています。

• Microsoft Entra ID属性と連絡先情報
• 保護とユーザーの脅威の兆候
• 最初に表示されたタイムスタンプと最後に表示されたタイムスタンプ
• ID がサインインしたデバイスの数
• リンクされたユーザー アカウント、デバイス、およびグループ メンバーシップ
• 重大度別にグループ化された関連アラートとインシデント

その他の詳細は、有効なサービスと機能に応じて表示されます。 例:

• Microsoft Defender for Identityがある環境では、次の情報を確認できます。
  • Active Directory アカウント制御フラグ (パスワードの有効期限切れなし、アカウント ロック状態など)
  • ID の報告階層における位置を示す組織ツリー。
• (プレビュー)Microsoft Purview インサイダー リスク管理環境では、ユーザーのインサイダー リスクの重大度を確認し、ユーザー ページでユーザーの疑わしいアクティビティに関する分析情報を得ることができます。 インサイダー リスクの重大度を選択して、ユーザーに関するリスク分析情報を表示します。
• (プレビュー)Microsoft Sentinel User and Entity Behavior Analytics (UEBA) を備えた環境では、次を確認できます:
  • 過去 30 日間のユーザーの上位 3 つの UEBA 異常。
  • 事前構築された高度なハンティング クエリを起動し、[Microsoft Sentinel イベント] タブでユーザーに関連するすべての異常な動作を表示するためのリンク。

[インシデントとアラート] タブ

[ インシデントとアラート ] タブには、サポートされている保持期間内に ID に関連するすべてのアラートとインシデントが一覧表示されます。 特定のアイテムの詳細な説明については、インシデント ページまたはアラート ページを参照してください。

組織タブで確認できます

組織内での観測 タブには、環境全体のどこにどのように ID が現れるかが表示され、アナリストが影響範囲と潜在的なラテラル ムーブメントを把握するのに役立ちます。

このタブには、次のものが含まれます。

プライマリ アカウント

各 ID には、異なる ID プロバイダーの複数の関連アカウントを含めることができます。 Microsoft Defenderは、1 つのアカウントをプライマリ アカウントとして識別し、そのアカウントのプロファイル値を表示名や役職などの ID レベルのフィールドに使用します。

Microsoft Defenderでは、内部相関ロジックを使用してプライマリ アカウントを決定します。

アカウントテーブルでは、プライマリアカウントは表示名の隣にあるプライマリアカウントのアイコンで識別されます。

[リスク スコア] タブ

[ リスク スコア ] タブには、アラート アクティビティと、ロールの割り当てや秘密度分類などの ID 属性を組み合わせることで、ID のリスク レベルが要約されます。 このタブを使用して、ID のリスク スコアを理解し、要因を特定し、調査の優先順位を付けます。

安全確認アクションには、アイデンティティリスクスコアとMicrosoft Entraリスクレベルの両方のリセットリスクが含まれています。 詳細については、「Microsoft Defender for Identityの修復アクション」を参照してください。

[タイムライン] タブ

タイムラインタブは、環境全体でIDに関連する活動やアラートを時系列で、オンプレミスの Active Directory、Microsoft Entra ID、IAMやその他のアイデンティティプロバイダー、SaaSアプリケーション、クラウド、エンドポイントなどで、アイデンティティ中心の活動やアラートを時系列で提供します。 Microsoft Defender for Identity、Microsoft Defender for Endpoint、Microsoft Defender for Cloud Appsなど、統合されたMicrosoftセキュリティ製品からのデータを集約します。Microsoft Sentinel。

タイムラインはサインイン、監査イベント、リスクシグナル、適用された管理、条件付きアクセス評価とすべての作業負荷活動をまとめており、調査中の活動の順序を再構築し、イベントを関連付けることができます。 活動はアイデンティティレベルで相関しているため、タイムラインにはアイデンティティがアクターまたはターゲットであるイベントも含まれます。 これは、手動アカウントやポリシーベースの(カスタム)相関アカウントを含む、アイデンティティに紐づくすべてのアカウントをカバーしています。 重複イベントは削除されるため、同じ活動が二度表示されないようにします。例えば、サインインがEntra IDとクラウドアプリの両方のデータに表示されている場合、タイムラインはEntra IDのソースを優先します。

タイムラインに表示されるアクティビティの種類

タイムラインでは、次のデータ型を使用できます。

• ユーザーが影響を受けたアラート
• Active DirectoryおよびMicrosoft Entra IDのアクティビティ、Microsoft EntraのサインインやMicrosoft Graphのアクティビティ(監査)イベントが含まれます
• Microsoft Entra IDのリスクシグナルと条件付きアクセス評価結果(インライン内)
• クラウド アプリ イベント
• デバイス ログオン イベント
• ディレクトリ サービスの変更
• カスタム(手動またはポリシーベース)相関アカウントに関連する活動

タイムラインに集計された表

このタイムラインは複数の高度な狩猟テーブルから引き出し、それらを一つのスキーマに正規化しています。 以下の表が識別式タイムラインの作成に用いられます。

• AlertInfo
• IdentityLogonEvents
• IdentityQueryEvents
• IdentityDirectoryEvents
• CloudAppEvents
• DeviceLogonEvents
• EntraIdSignInEvents
• GraphApiAuditEvents

タイムラインスキーマ

タイムラインは異なるソーステーブルのイベントを統一されたスキーマに正規化します。 一部の列はデフォルトで表示されます。その他は カスタマイズ列から追加できます。 次の列を使用できます。

イベント詳細ペイン

タイムラインでイベントを選択すると、イベントの詳細が表示されたサイドペインを開きます。 このパネルは情報をタブに整理します。 Microsoft Entra IDのサインインイベントでは、サインイン時に評価された条件付きアクセスポリシー(各ポリシー名、付与コントロール、結果(例:成功、未適用、ブロック)を表示する条件付きアクセスタブがあります。 これらの評価結果を確認することで、調査中に適用される管理策を理解するのに役立ちます。

[セキュリティに関する推奨事項] タブ

セキュリティの推奨事項 タブには、Identity Security Posture Management（ISPM）によって特定された、ID に関連するセキュリティ体制評価が表示されます。 これらの推奨事項では、ID のアカウント全体の構成ミスや危険な設定が強調表示され、推奨事項を選択すると、修復ガイダンスの Microsoft セキュア スコア の詳細が開きます。

[攻撃パス] タブ

攻撃経路 タブでは、その ID が関与する、あるいはその ID につながる可能性のある横方向の移動経路を視覚化します。 これらの分析情報は、セキュリティ チームが悪用可能な関係を理解し、ID ベースの攻撃対象領域を減らすのに役立ちます。

[ポリシー] タブ

[ ポリシー] タブには、ID に関連する ID 関連のセキュリティ ポリシーが、その属性、ロール、および監視されるアクティビティに基づいて表示されます。

このビューでは、ID に適用されるポリシーと、それらがアクセスまたはリスク評価にどのように影響するかを示すことで、調査コンテキストを提供します。 ポリシーは他の場所で管理されます。このタブは、アナリストがポリシーの適用をサインイン、アラート、調査結果と関連付けるのに役立ちます。

[ID エクスプローラー] タブ (プレビュー)

[ID エクスプローラー] タブでは、ハンティング グラフを使用して、ID 攻撃パスと公開シナリオを対話型グラフとして視覚化します。 グラフには現在の ID が事前にシードされているため、ID が環境内の他のエンティティとどのように関連しているかをすぐに確認できます。

ID エクスプローラーを使用して、ID に関連する横移動パス、特権エスカレーション ルート、資格情報アクセス リスクを検出します。

定義済みのシナリオを使用した検索

[ 定義済みのシナリオで検索 ] を選択して、ID に焦点を当てたクエリを実行します。 各シナリオは、1 つ以上の MITRE ATT&CK 手法に対応付けられており、特定の種類の ID リスクに焦点を当てています。

次の表では、ID エクスプローラーで使用できる定義済みの ID シナリオについて説明します。

ハンティング グラフとその機能の詳細については、「ハンティング グラフを 使用して脅威を探す」を参照してください。

[Microsoft Sentinel イベント] タブ

Microsoft Sentinelが Defender ポータルに接続されている場合、このタブには ID のMicrosoft Sentinel タイムラインが表示されます。 タイムラインには、ID に関連付けられたアラートが含まれます。これには、[インシデントとアラート] タブにもアラートが表示され、Microsoft Sentinelによって作成されたアラートも含まれます。 また、ID 情報、外部データ ソースからのアクティビティ イベント、Microsoft Sentinel の異常ルールによって検出された異常な動作を参照する、ブックマーク済みのハントも表示されます。

インサイト

[分析情報] セクションには、アナリストがより効率的に ID を調査できるように Microsoft セキュリティ研究者によって定義された調査クエリであるエンティティ分析情報が表示されます。 これらの分析情報は、サインイン アクティビティ、グループの変更、異常な動作などの主要なセキュリティ信号を自動的に強調表示し、結果をテーブルやグラフとして表示します。 インサイトは、Microsoft Sentinel と、それに接続されたデータ ソース（Microsoft Entra ID ログや、有効になっている場合は Microsoft Sentinel UEBA を含む）によって提供されます。

分析情報の種類

次に示す分析情報の一部を示します。

• セキュリティ グループ メンバーシップに基づくユーザー ピア
• アカウント別のアクション
• アカウントに対するアクション
• ユーザーがクリアしたイベント ログ
• グループの追加
• Office の操作回数が異常に多い
• リソース アクセス
• 異常に高いAzureサインイン結果の数
• UEBA 分析情報
• Azure サブスクリプションに対するユーザー アクセス許可
• ユーザーに関連する脅威インジケーター
• ウォッチリストの分析情報 (プレビュー)
• Windows サインイン アクティビティ

分析情報のデータ ソース

分析情報は、次のデータ ソースに基づいています。

• Syslog(Linux)
• SecurityEvent（セキュリティイベント）(Windows)
• AuditLogs (Microsoft Entra ID)
• SigninLogs (Microsoft Entra ID)
• OfficeActivity(Office 365)
• BehaviorAnalytics (Microsoft Sentinel UEBA)
• ハートビート (Azure モニター エージェント)
• CommonSecurityLog (Microsoft Sentinel)

高度なハンティングの分析情報を調べる

分析情報をさらに調べるには、分析情報に付随するリンクを選択します。 リンクは、分析情報とその生の結果の基になるクエリを含む [高度なハンティング ] ページを開きます。 クエリを変更したり、結果をドリルダウンして調査を拡張したりできます。

次の手順

• Microsoft Defenderのインシデントを調査する
• Microsoft Defenderでアラートを調査する