Microsoft Defender for Office 365 セキュリティ運用ガイド

この記事では、組織内で Microsoft Defender for Office 365 を正常に運用するための要件とタスクの概要について説明します。 これらのタスクは、セキュリティ オペレーション センター (SOC) が、メールやコラボレーション関連のセキュリティ上の脅威を保護、検出、対応するための高品質で信頼性の高いアプローチを確実に提供するのに役立ちます。

このガイドの残りの部分では、SecOps 担当者に必要なアクティビティについて説明します。 アクティビティは、規範的な毎日、週単位、月単位、アドホック タスクにグループ化されます。

このガイドのコンパニオン記事では、 Microsoft Defender ポータルの [インシデント] ページで Defender for Office 365 からのインシデントとアラートを管理するための概要について説明します。

Microsoft Defender XDR セキュリティ操作ガイドには、計画と開発に使用できる追加情報が含まれています。

この情報に関するビデオについては、「 https://youtu.be/eQanpq9N1Ps」を参照してください。

毎日のアクティビティ

Microsoft Defender XDR インシデント キューを監視する

https://security.microsoft.com/incidents-queueの Microsoft Defender ポータルの [インシデント] ページ (インシデント キューとも呼ばれます) を使用すると、Defender for Office 365 の次のソースからイベントを管理および監視できます。

• アラート。
• 自動調査と対応 (AIR)。

インシデント キューの詳細については、「 Microsoft Defender XDR でのインシデントの優先順位付け」を参照してください。

インシデント キューを監視するためのトリアージ 計画では、インシデントに対して次の優先順位を使用する必要があります。

1. 悪意のある可能性のある URL のクリックが検出されました。
2. 電子メールの送信を制限されたユーザー。
3. 疑わしいメール送信パターンが検出されました。
4. ユーザーがマルウェアまたはフィッシングとして報告した電子メール、 および複数のユーザーがマルウェアまたはフィッシングとして電子メールを報告しました。
5. 配信後に削除された悪意のあるファイルを含むメール メッセージ、 配信後に削除された悪意のある URL を含むメール メッセージ、配信後に 削除されたキャンペーンからのメール メッセージ。
6. ETR オーバーライドが原因で配信されたフィッシング、 ユーザーの迷惑メール フォルダーが無効になっているために配信されたフィッシング、 IP 許可ポリシーが原因で配信されたフィッシング
7. ZAP が無効になっており、ZAP が無効になっているためにフィッシングがザップされていないため、マルウェアがザップされていません。

インシデント キュー管理と責任あるペルソナを次の表に示します。

誤検知と誤検知の検出を管理する

Defender for Office 365 では、次の場所で誤検知 (無効としてマークされた良好なメール) と偽陰性 (無効なメールが許可されている) を管理します。

• [申請] ページ (管理者の申請)。
• テナントの許可/ブロックの一覧
• 脅威エクスプローラー

詳細については、この記事の後半の 「誤検知と誤検知の管理 」セクションを参照してください。

偽陽性と偽陰性の管理と責任あるペルソナを次の表に示します。

配信されたメールが発生したフィッシングとマルウェアのキャンペーンを確認する

毎週のアクティビティ

Defender for Office 365 レポートの電子メール検出の傾向を確認する

Defender for Office 365 では、次のレポートを使用して、組織内の電子メール検出の傾向を確認できます。

• メールフローの状態レポート
• 脅威保護の状態レポート

脅威分析を使用して新たな脅威を追跡して対応する

脅威分析を使用して、アクティブなトレンドの脅威を確認します。

上位の対象ユーザーのマルウェアとフィッシングを確認する

脅威エクスプローラーの [すべてのメール]、[マルウェア]、[フィッシング] ビューの詳細領域にある [上位の対象ユーザー] タブ (ビュー) を使用して、マルウェアとフィッシングメールの上位のターゲットであるユーザーを検出または確認します。

組織を対象とする上位のマルウェアとフィッシング キャンペーンを確認する

キャンペーン ビューでは、組織に対するマルウェア攻撃とフィッシング攻撃が表示されます。 詳細については、「Office 365 ATP のキャンペーン ビュー」を参照してください。

アドホック アクティビティ

電子メールの手動調査と削除

積極的に脅威を捜索する

Defender for Office 365 ポリシー構成を確認する

なりすましと偽装の検出を確認する

優先アカウント メンバーシップを確認する

付録

Microsoft Defender for Office 365 のツールとプロセスについて説明します

セキュリティ操作と対応チーム メンバーは、Defender for Office 365 のツールと機能を既存の調査と対応プロセスに統合する必要があります。 新しいツールと機能については時間がかかる場合がありますが、オンボーディング プロセスの重要な部分です。 SecOps とメール セキュリティ チーム メンバーが Defender for Office 365 について学習する最も簡単な方法は、 https://aka.ms/mdoninjaの Ninja トレーニング コンテンツの一部として利用できるトレーニング コンテンツを使用することです。

コンテンツは、レベルごとに複数のモジュールを使用して、さまざまなナレッジ レベル (基礎、中間、および高度) 用に構成されています。

特定のタスクの短いビデオは、 Microsoft Defender for Office 365 YouTube チャネルでも利用できます。

Defender for Office 365 のアクティビティとタスクのアクセス許可

Microsoft Defender ポータルと PowerShell で Defender for Office 365 を管理するためのアクセス許可は、ロールベースのアクセス制御 (RBAC) アクセス許可モデルに基づいています。 RBAC は、ほとんどの Microsoft 365 サービスで使用されているのと同じアクセス許可モデルです。 詳細については、「 Microsoft Defender ポータルのアクセス許可」を参照してください。

Defender for Office 365 では、次のアクセス許可 (ロールと役割グループ) を使用でき、セキュリティ チーム メンバーへのアクセスを許可するために使用できます。

• Microsoft Entra ID: Defender for Office 365 を含 むすべての Microsoft 365 サービスにアクセス許可を割り当てる一元化されたロール。 Microsoft Defender ポータルでは、Microsoft Entra ロールと割り当てられたユーザーを表示できますが、そこで直接管理することはできません。 代わりに、 https://aad.portal.azure.com/#view/Microsoft_AAD_IAM/RolesManagementMenuBlade/~/AllRoles/adminUnitObjectId//resourceScope/%2Fで Microsoft Entra のロールとメンバーを管理します。 セキュリティ チームで使用される最も頻繁なロールは次のとおりです。

  • セキュリティ管理者
  • セキュリティ閲覧者

• Exchange Online と 電子メール & コラボレーション: Microsoft Defender for Office 365 に固有のアクセス許可を付与するロールと役割グループ。 次のロールは Microsoft Entra ID では使用できませんが、セキュリティ チームにとって重要な場合があります。

  • プレビュー ロール (電子メール & コラボレーション): 調査アクティビティの一部として電子メール メッセージをプレビューまたはダウンロードする必要があるチーム メンバーにこのロールを割り当てます。 脅威エクスプローラー (エクスプローラー) またはリアルタイム検出と電子メール エンティティ ページを使用して、クラウド メールボックスから電子メール メッセージをプレビューおよびダウンロードできます。

    既定では、 プレビュー ロールは次の役割グループにのみ割り当てられます。

    • データ調査員
    • 電子情報開示マネージャー

    これらの役割グループにユーザーを追加することも、プレビュー ロールが割り当てられた新しいロール グループを作成して、カスタム ロール グループにユーザーを追加することもできます。

  • 検索と消去 の役割 (電子メール & コラボレーション): AIR によって推奨される悪意のあるメッセージの削除を承認するか、脅威エクスプローラーなどのハンティング エクスペリエンスでメッセージに対して手動でアクションを実行します。

    既定では、 Search ロールと Purge ロールは次のロール グループにのみ割り当てられます。

    • データ調査員
    • 組織の管理

    これらの役割グループにユーザーを追加することも、検索ロールと消去ロールが割り当てられた新しい役割グループを作成し、ユーザーをカスタム ロール グループに追加することもできます。

  • Tenant AllowBlockList Manager (Exchange Online): テナント許可/ブロック リストの許可エントリとブロック エントリを管理します。 URL、ファイル (ファイル ハッシュを使用) または送信者をブロックすることは、配信された悪意のあるメールを調査するときに実行する便利な応答アクションです。

    既定では、このロールは、Microsoft Entra ID ではなく 、Exchange Online のセキュリティ オペレーター ロール グループにのみ割り当てられます。 Microsoft Entra ID の Security Operator ロールのメンバーシップでは、テナント許可/ブロック リストのエントリを管理することはできません。

    Microsoft Entra ID の セキュリティ管理者 または 組織の管理 ロールのメンバー、または Exchange Online の対応する役割グループ は、 テナント許可/ブロック リストのエントリを管理できます。

SIEM/SOAR 統合

Defender for Office 365 は、一連のプログラム API を通じて、そのデータの大部分を公開します。 これらの API は、ワークフローを自動化し、Defender for Office 365 機能を最大限に活用するのに役立ちます。 データは Microsoft Defender XDR API を 通じて利用でき、Defender for Office 365 を既存の SIEM/SOAR ソリューションに統合するために使用できます。

• インシデント API: Defender for Office 365 アラートと自動調査は、Microsoft Defender XDR のインシデントのアクティブな部分です。 セキュリティ チームは、攻撃範囲全体と影響を受けたすべての資産をグループ化することで、重要な点に集中できます。

• イベント ストリーミング API: リアルタイムのイベントとアラートを、発生した場合に 1 つのデータ ストリームに配信できます。 Defender for Office 365 でサポートされているイベントの種類は次のとおりです。

  • EmailAttachmentInfo
  • EmailEvents
  • EmailPostDeliveryEvents
  • EmailUrlInfo

  イベントには、過去 30 日間のすべての電子メール (組織内メッセージを含む) の処理からのデータが含まれます。

• 高度なハンティング API: 製品間の脅威ハンティングを許可します。

• Threat Assessment API: スパム、フィッシング URL、またはマルウェアの添付ファイルを Microsoft に直接報告するために使用できます。

Defender for Office 365 インシデントと生データを Microsoft Sentinel に接続するには、Microsoft Defender XDR (M365D) コネクタを使用します

次の "Hello World" の例を使用して、Microsoft Defender API への API アクセスをテストできます。 Hello World for Microsoft Defender XDR REST API。

SIEM ツールの統合の詳細については、「 SIEM ツールと Microsoft Defender XDR の統合」を参照してください。

Defender for Office 365 で誤検知と偽陰性に対処する

ユーザーが報告したメッセージと電子メール メッセージの管理者からの送信は、機械学習検出システムにとって重要な肯定的な強化シグナルです。 提出は、攻撃のレビュー、トリアージ、迅速な学習、軽減に役立ちます。 誤検知と誤検知を積極的に報告することは、検出中に間違いが発生したときに Defender for Office 365 にフィードバックを提供する重要なアクティビティです。

組織には、ユーザーが報告したメッセージを構成するための複数のオプションがあります。 構成によっては、ユーザーが Microsoft に誤検知または偽陰性を送信するときに、セキュリティ チームがより積極的に関与する場合があります。

• ユーザーが報告した設定が次のいずれかの設定で構成されている場合、 ユーザーが報告した メッセージは分析のために Microsoft に送信されます。

  • 報告されたメッセージの送信先: Microsoft のみ。
  • 報告されたメッセージをMicrosoft と自分のレポート メールボックスに送信します。

  セキュリティ チームのメンバーは、運用チームがユーザーによって報告されなかった誤検知または偽陰性を検出したときに、アドホック 管理者の申請 を行う必要があります。

• ユーザーが報告したメッセージが組織のメールボックスにのみメッセージを送信するように構成されている場合、セキュリティ チームは、管理者の申請を通じて、ユーザーから報告された誤検知と偽陰性を Microsoft に積極的に送信する必要があります。

ユーザーがメッセージをフィッシングとして報告すると、Defender for Office 365 によってアラートが生成され、アラートによって AIR プレイブックがトリガーされます。 インシデント ロジックは、この情報を可能な限り他のアラートやイベントに関連付けます。 この情報の統合は、セキュリティ チームがユーザーから報告されたメッセージのトリアージ、調査、応答に役立ちます。

サービスの申請パイプラインは、ユーザー レポート メッセージと管理者がメッセージを送信するときに、緊密に統合されたプロセスに従います。 通常、このプロセスには次のものが含まれます。

• ノイズリダクション。
• 自動トリアージ。
• セキュリティ アナリストと人間が提携する機械学習ベースのソリューションによる採点。

詳細については、「 Defender for Office 365 - Microsoft Tech Community でのメールの報告」を参照してください。

セキュリティ チーム メンバーは、Microsoft Defender ポータルの複数の場所から https://security.microsoft.comで申請を行うことができます。

• 管理者の申請: [申請] ページを 使用して、疑わしいスパム、フィッシング、URL、ファイルを Microsoft に送信します。

• 次のいずれかのメッセージ アクションを使用して、Threat Explorer から直接アクセスします。

  • レポートのクリーン
  • フィッシング詐欺の報告
  • マルウェアの報告
  • スパムを報告する

  一括送信を実行するには、最大 10 個のメッセージを選択できます。 これらのメソッドを使用して作成された管理者の申請は、[ 申請 ] ページの各タブに表示されます。

偽陰性の短期的な軽減策として、セキュリティ チームは、ファイル、URL、ドメインまたはメール アドレスのブロック エントリを テナント許可/ブロック リストで直接管理できます。

誤検知の短期的な軽減策として、セキュリティ チームは、テナント許可/ブロック リストでドメインとメール アドレスの許可エントリを直接管理することはできません。 代わりに、 管理者の申請 を使用して、電子メール メッセージを誤検知として報告する必要があります。 手順については、「 Microsoft に適切なメールを報告する」を参照してください。

Defender for Office 365 の検疫では、潜在的に危険なメッセージや不要なメッセージやファイルが保持されます。 セキュリティ チームは、すべてのユーザーのすべての種類の検疫済みメッセージを表示、解放、削除できます。 この機能を使用すると、誤検知メッセージまたはファイルが検疫されたときに、セキュリティ チームが効果的に対応できます。

サード パーティのレポート ツールと Defender for Office 365 ユーザーの報告されたメッセージの統合

組織で、ユーザーが疑わしいメールを内部的に報告できるサードパーティのレポート ツールを使用している場合は、このツールを Defender for Office 365 のユーザーが報告したメッセージ機能と統合できます。 この統合により、セキュリティ チームには次の利点があります。

• Defender for Office 365 の AIR 機能との統合。
• 簡略化されたトリアージ。
• 調査と応答時間の短縮。

https://security.microsoft.com/securitysettings/userSubmissionの Microsoft Defender ポータルの [ユーザーが報告した設定] ページで、ユーザーが報告したメッセージを送信するレポート メールボックスを指定します。 詳細については、「 ユーザーが報告した設定」を参照してください。

ユーザーが報告したメッセージがレポート メールボックスに到着すると、Defender for Office 365 は、 ユーザーがマルウェアまたはフィッシングとして報告したという名前のアラートを自動的に生成します。 このアラートは AIR プレイブックを起動します。 プレイブックでは、一連の自動調査手順が実行されます。

• 指定したメールに関するデータを収集します。
• そのメールに関連する脅威と エンティティ (ファイル、URL、受信者など) に関するデータを収集します。
• 調査結果に基づいて、SecOps チームに推奨されるアクションを提供します。

マルウェアまたはフィッシング アラート、自動調査、推奨されるアクションとしてユーザーによって報告された電子メールは、Microsoft Defender XDR のインシデントに自動的に関連付けられます。 この相関関係により、セキュリティ チームのトリアージと応答プロセスがさらに簡略化されます。 複数のユーザーが同じメッセージまたは類似のメッセージを報告する場合、すべてのユーザーとメッセージが同じインシデントに関連付けられます。

Defender for Office 365 のアラートと調査のデータは、他の Microsoft Defender XDR 製品のアラートと調査と自動的に比較されます。

• Microsoft Defender for Endpoint
• Microsoft Defender for Cloud Apps
• Microsoft Defender for Identity

リレーションシップが検出された場合、システムは攻撃全体を可視化するインシデントを作成します。