ファイルの対応措置を講じる

適用対象:

• Microsoft Defender for Endpoint Plan 2

Defender for Endpoint を試す場合は、 無料試用版にサインアップしてください。

ファイルの停止と検疫、またはファイルのブロックによって検出された攻撃に迅速に対応します。 ファイルに対してアクションを実行した後、アクション センターでアクティビティの詳細をチェックできます。

応答アクションは、ファイルの詳細なプロファイル ページで使用できます。 このページが表示されたら、新しい [ファイル] ページを切り替えることで、 新しいページ レイアウトと古いページ レイアウトを切り替えることができます。 この記事の残りの部分では、新しいページ レイアウトについて説明します。

応答アクションは、ファイル ページの上部に沿って実行され、次のものが含まれます。

• ファイルの停止と検疫
• インジケーターの管理
• ファイルをダウンロードする
• ファイルの収集
• Defender エキスパートに質問する
• 手動アクション
• 検出する
• 詳細分析

ファイルを送信して詳細な分析を行い、セキュリティで保護されたクラウド サンドボックスでファイルを実行することもできます。 分析が完了すると、ファイルの動作に関する情報を提供する詳細なレポートが表示されます。 ディープ 分析アクションを 選択すると、ディープ分析のためにファイルを送信し、過去のレポートを読み取ることができます。

一部のアクションでは、特定のアクセス許可が必要です。 次の表では、移植可能な実行可能ファイル (PE) ファイルと PE 以外のファイルに対して特定のアクセス許可が実行できるアクションについて説明します。

ロールの詳細については、「 ロールベースのアクセス制御のロールを作成および管理する」を参照してください。

ネットワーク内のファイルを停止して検疫する

悪意のあるプロセスを停止し、検出されたファイルを検疫することで、organizationに攻撃を含めることができます。

[ ファイルの停止と検疫] アクションには、実行中のプロセスの停止、ファイルの検疫、レジストリ キーなどの永続的なデータの削除が含まれます。

このアクションは、Windows 10バージョン 1703 以降、Windows 11および Windows Server 2012 R2 以降のデバイスで有効になります。この場合、ファイルは過去 30 日間に監視されました。

ファイルの停止と検疫

1. 停止するファイルを選択し、検疫します。 次のいずれかのビューからファイルを選択するか、[検索] ボックスを使用できます。

   • アラート - アラート ストーリー タイムラインの [説明] または [詳細] から対応するリンクを選択します
   • 検索ボックス - ドロップダウン メニューから [ファイル ] を選択し、ファイル名を入力します

   注:

   ファイルの停止と検疫のアクションは、最大 1,000 台のデバイスに制限されています。 多数のデバイスでファイルを停止するには、「 ファイルをブロックまたは許可するインジケーターを追加する」を参照してください。

2. 上部のバーに移動し、[ 停止と検疫ファイル] を選択します。

   

3. 理由を指定し、[確認] を選択 します。

   

   アクション センターには、送信情報が表示されます。

   

   • [送信時刻 ] - アクションが送信されたタイミングを示します。
   • 成功 - ファイルが停止および検疫されたデバイスの数を示します。
   • 失敗 - アクションが失敗したデバイスの数と、失敗に関する詳細を表示します。
   • [保留中] - ファイルがまだ停止および検疫されていないデバイスの数を示します。 これは、デバイスがオフラインであるか、ネットワークに接続されていない場合に時間がかかる場合があります。

4. アクションの詳細を表示するには、いずれかの状態インジケーターを選択します。 たとえば、[ 失敗 ] を選択して、アクションが失敗した場所を確認します。

デバイス ユーザーに対する通知

ファイルがデバイスから削除されると、次の通知が表示されます。

デバイス タイムラインでは、ファイルが停止され検疫されたデバイスごとに新しいイベントが追加されます。

organization全体で広く使用されているファイルに対してアクションが実装される前に警告が表示されます。 これは、操作が意図されていることを検証することです。

検疫からファイルを復元する

調査後にファイルがクリーンであると判断した場合は、ファイルをロールバックして検疫から削除できます。 ファイルが検疫された各デバイスで次のコマンドを実行します。

1. デバイスで管理者特権のコマンド ライン プロンプトを開きます。

   1. [スタート] をクリックし、「cmd」と入力します。

   2. [コマンド プロンプト] を右クリックして [管理者として実行] を選択します。

2. 次のコマンドを入力して、Enter キーを押します。

   "%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Restore -Name EUS:Win32/CustomEnterpriseBlock -All
   

   注:

   一部のシナリオでは、 ThreatName が EUS:Win32/CustomEnterpriseBlock!cl として表示されることがあります。

   Defender for Endpoint は、過去 30 日間にこのデバイスで検疫され、カスタム ブロックされたすべてのファイルを復元します。

ファイルをダウンロードまたは収集する

応答アクションから [ファイルのダウンロード ] を選択すると、ファイルを含むローカルのパスワードで保護された .zip アーカイブをダウンロードできます。 ポップアップが表示され、ファイルをダウンロードする理由を記録し、パスワードを設定できます。

既定では、検疫中のファイルをダウンロードできます。

[ ファイルのダウンロード ] ボタンの状態は次のとおりです。

• [アクティブ] - ファイルを収集できます。

• 無効 - アクティブなコレクションの試行中にボタンが淡色表示または無効になっている場合は、ファイルを収集するための適切な RBAC アクセス許可がない可能性があります。

  以下の許可が必要です。

  Microsoft Defender XDR統合ロールベースのアクセス制御 (RBAC) の場合:

  • Microsoft Defender XDR Unified (RBAC) にファイル コレクションアクセス許可を追加する

  ロールベースMicrosoft Defender for Endpointアクセス制御 (RBAC) の場合:

  ポータブル実行可能ファイル (.exe、.sys、.dll など) の場合

  • セキュリティ管理者または高度なライブ応答またはアラート

  移植不可能な実行可能ファイル (.txt、.docx など)

  • セキュリティ管理者または高度なライブ応答
  • ロールベースのアクセス (RBAC) アクセス許可が有効になっているテナント

検疫済みファイルをダウンロードする

Microsoft Defenderウイルス対策またはセキュリティ チームによって検疫されたファイルは、サンプル送信構成に従って準拠した方法で保存されます。 セキュリティ チームは、[ファイルのダウンロード] ボタンを使用して、ファイルの詳細ページから直接ファイルをダウンロードできます。 この機能は既定で [オン] になっています。

場所は、organizationの geo 設定 (EU、英国、または米国) によって異なります。 検疫されたファイルは、organizationごとに 1 回だけ収集されます。 Microsoft のデータ保護の詳細については、 https://aka.ms/STPの Service Trust Portal を参照してください。

この設定を有効にすると、セキュリティ チームは、潜在的に悪いファイルを調査し、インシデントを迅速かつリスクの低い方法で調査するのに役立ちます。 ただし、この設定をオフにする必要がある場合は、[設定>Endpoints>Advanced 機能>検疫されたファイルをダウンロードして設定を調整します。 高度な機能の詳細

検疫済みファイルのバックアップ

サンプルの送信構成によっては、検疫されたファイルをバックアップする前に明示的な同意を求めるメッセージが表示される場合があります。

サンプルの送信がオフになっている場合、この機能は機能しません。 自動サンプル送信がユーザーにアクセス許可を要求するように設定されている場合、ユーザーが送信することに同意したサンプルのみが収集されます。

ファイルを収集する

ファイルがまだMicrosoft Defender for Endpointによって保存されていない場合は、ダウンロードできません。 代わりに、同じ場所に [ファイルの収集 ] ボタンが表示されます。

[ ファイルの収集 ] ボタンの状態は次のとおりです。

• [アクティブ] - ファイルを収集できます。

• 無効 - アクティブなコレクションの試行中にボタンが淡色表示または無効になっている場合は、ファイルを収集するための適切な RBAC アクセス許可がない可能性があります。

  以下の許可が必要です。

  ポータブル実行可能ファイル (.exe、.sys、.dll など) の場合

  • セキュリティ管理者または高度なライブ応答またはアラート

  移植不可能な実行可能ファイル (.txt、.docx など)

  • セキュリティ管理者または高度なライブ応答

過去 30 日間にファイルがorganizationに表示されていない場合、ファイルの収集は無効になります。

ファイルをブロックまたは許可するインジケーターを追加する

悪意のある可能性のあるファイルやマルウェアの疑いを禁止することで、organizationでの攻撃の伝播を防ぎます。 悪意のある可能性のあるポータブル実行可能ファイル (PE) ファイルがわかっている場合は、それをブロックできます。 この操作により、organization内のデバイスで読み取り、書き込み、または実行されるのを防ぐことができます。

ブロック ファイル機能を有効にする

ファイルのブロックを開始するには、まず[設定] で [ブロックまたは許可] 機能をオンにする必要があります。

ファイルを許可またはブロックする

ファイルのインジケーター ハッシュを追加する場合は、organization内のデバイスがファイルの実行を試みるたびに、アラートを発生させ、ファイルをブロックすることができます。

インジケーターによって自動的にブロックされたファイルは、ファイルのアクション センターには表示されませんが、アラートは引き続きアラート キューに表示されます。

ファイル に対するアラートの ブロックと発生の詳細については、インジケーターの管理に関するページを参照してください。

ファイルのブロックを停止するには、インジケーターを削除します。 これを行うには、ファイルのプロファイル ページの [インジケーターの編集] アクションを使用します。 このアクションは、インジケーターを追加する前に、[ インジケーターの追加] アクションと同じ位置に表示されます。

インジケーターは 、[設定] ページの [ ルール>Indicators] で編集することもできます。 インジケーターは、ファイルのハッシュによってこの領域に一覧表示されます。

アクション センターでアクティビティの詳細を確認する

アクション センターは、デバイスまたはファイルで実行されたアクションに関する情報を提供します。 次の詳細を表示できます。

• 調査パッケージのコレクション
• ウイルス対策スキャン
• アプリの制限
• デバイスの分離

送信日時、ユーザーの送信、アクションが成功または失敗した場合など、他のすべての関連する詳細も表示されます。

詳細分析

サイバー セキュリティ調査は通常、アラートによってトリガーされます。 アラートは、多くの場合、新しいファイルまたは不明な 1 つ以上の監視されたファイルに関連しています。 ファイルを選択すると、ファイルのメタデータを確認できるファイル ビューに移動します。 ファイルに関連するデータをエンリッチするには、ファイルを送信して詳細な分析を行うことができます。

ディープ分析機能は、セキュリティで保護された完全にインストルメント化されたクラウド環境でファイルを実行します。 詳細な分析結果は、ファイルのアクティビティ、観察された動作、および関連する成果物 (ドロップされたファイル、レジストリの変更、IP との通信など) を示します。 ディープ分析では、現在、ポータブル実行可能ファイル (PE) ファイル (.exeファイルや .dll ファイルを含む) の広範な分析 が サポートされています。

ファイルの詳細な分析には数分かかります。 ファイル分析が完了すると、[ディープ分析] タブが更新され、利用可能な最新の結果の概要と日時が表示されます。

詳細な分析の概要には、観察された 動作の一覧が含まれています。その一部は、悪意のあるアクティビティや、接続された IP やディスク上に作成されたファイルなど、 監視可能な動作を示します。 何も見つからなかった場合、これらのセクションには簡単なメッセージが表示されます。

詳細な分析の結果は脅威インテリジェンスと照合され、一致すると適切なアラートが生成されます。

ディープ分析機能を使用して、通常はアラートの調査中、または悪意のある動作が疑われるその他の理由で、ファイルの詳細を調査します。 この機能は、ファイルのページの上部にあります。 ディープ分析アクションにアクセスするには、3 つのドットを選択します。

詳細な分析については、次のビデオを参照してください。

詳細分析の送信は、ファイルが Defender for Endpoint バックエンド サンプル コレクションで使用できる場合、またはディープ分析への送信をサポートするWindows 10 デバイスで検出された場合に有効になります。

Windows 10 デバイス (または Windows 11 または Windows Server 2012 R2 以降) でファイルが観察されなかった場合は、Microsoft Defender ポータルからサンプルを送信し、[詳細な分析の送信] ボタンが使用可能になるまで待機することもできます。

詳細な分析のためにファイルを送信する

1. 詳細な分析のために送信するファイルを選択します。 次のいずれかのビューからファイルを選択または検索できます。

   • [アラート] - [アラート ストーリー] タイムラインの [説明] または [詳細] からファイル リンクを選択します
   • [デバイス] の一覧 - [デバイス] セクションの [説明] または [詳細] からファイル リンクorganization選択します
   • 検索ボックス - ドロップダウン メニューから [ファイル ] を選択し、ファイル名を入力します

2. ファイル ビューの [ ディープ分析 ] タブで、[送信] を選択 します。

   

   注:

   .exe ファイルや .dll ファイルなど、PE ファイルのみがサポートされています。

   進行状況バーが表示され、分析のさまざまなステージに関する情報が提供されます。 その後、分析が完了したときにレポートを表示できます。

詳細な分析レポートを表示する

提供された詳細な分析レポートを表示して、送信したファイルに関する詳細な分析情報を確認します。 この機能は、ファイル ビュー コンテキストで使用できます。

次のセクションの詳細を提供する包括的なレポートを表示できます。

• Behaviors
• オブザーバブル

提供される詳細は、潜在的な攻撃の兆候があるかどうかを調査するのに役立ちます。

1. 詳細な分析のために送信したファイルを選択します。

2. [ ディープ分析 ] タブを選択します。以前のレポートがある場合は、このタブにレポートの概要が表示されます。

   

詳細な分析のトラブルシューティング

ファイルを送信しようとしたときに問題が発生した場合は、次のトラブルシューティング手順をそれぞれ試してください。

1. 問題のファイルが PE ファイルであることを確認します。 PEファイルは通常、 .exe または .dll 拡張子(実行可能プログラムまたはアプリケーション)を持っています。

2. サービスがファイルにアクセスできることを確認し、ファイルがまだ存在し、破損または変更されていないことを確認します。

3. しばらく待ってから、ファイルをもう一度送信してみてください。 キューがいっぱいであるか、一時的な接続または通信エラーが発生している可能性があります。

4. サンプル コレクション ポリシーが構成されていない場合、既定の動作はサンプルコレクションを許可することです。 構成されている場合は、ファイルをもう一度送信する前に、ポリシー設定でサンプル収集が許可されていることを確認します。 サンプル コレクションが構成されている場合は、次のレジストリ値をチェックします。

   Path: HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
   Name: AllowSampleCollection
   Type: DWORD
   Hexadecimal value :
     Value = 0 - block sample collection
     Value = 1 - allow sample collection
   

5. グループ ポリシーを使用して組織単位を変更します。 詳細については、「グループ ポリシーを使用して構成する」を参照してください。

6. これらの手順で問題が解決しない場合は、サポートにお問い合わせください。

関連記事

• デバイスの対応措置を講じる
• ファイルの調査
• Microsoft Defender for Endpointプラン 1 での手動応答アクション