Microsoft Defender ポータルでのインシデントの優先順位付け

Microsoft Defender ポータルの統合セキュリティ運用プラットフォームは、関連付け分析を適用し、関連するアラートと、さまざまな製品からの自動調査をインシデントに集計します。 また、Microsoft Sentinel と Defender XDR は、製品スイート全体の統合プラットフォームでエンドツーエンドの可視性を確保することで、悪意があるとのみ識別できるアクティビティに対する一意のアラートをトリガーします。 このビューは、セキュリティ アナリストに広範な攻撃ストーリーを提供します。これにより、組織全体の複雑な脅威をより適切に理解し、対処するのに役立ちます。

インシデント キュー

インシデント キューには、デバイス、ユーザー、メールボックス、およびその他のリソース間で作成されたインシデントのコレクションが表示されます。 インシデントを並べ替えて優先順位を付け、情報に基づいたサイバーセキュリティ対応の決定 (インシデントトリアージと呼ばれるプロセス) を作成するのに役立ちます。

インシデント キューには、Microsoft Defender ポータルのクイック 起動 & インシデント>アラートからアクセスできます。 次に例を示します。

[ 最新のインシデントとアラート ] を選択して上部セクションの展開を切り替えます。このグラフには、受信したアラートの数と過去 24 時間以内に作成されたインシデントのタイムライン グラフが表示されます。

その下の Microsoft Defender ポータルのインシデント キューには、過去 6 か月間に発生したインシデントが表示されます。 別の時間枠は、上部のドロップダウンから選択することで選択できます。 インシデントは、インシデントに対して行われた最新の自動更新または手動更新に従って配置されます。 最新の自動更新または手動更新に従ってインシデントを表示するには、[ 最終更新時刻 ] 列でインシデントを配置できます。

インシデント キューにはカスタマイズ可能な列があり、インシデントのさまざまな特性や影響を受けるエンティティを可視化できます。 このフィルター処理は、分析のためのインシデントの優先順位付けに関する情報に基づいた決定を行うのに役立ちます。 [ 列のカスタマイズ] を選択して、目的のビューに基づいて次のカスタマイズを実行します。

• インシデント キューに表示する列をオンまたはオフにします。
• 列をドラッグして、列の順序を調整します。

インシデント名

一目でわかるように、Microsoft Defender XDR では、影響を受けるエンドポイントの数、影響を受けるユーザー、検出ソース、カテゴリなどのアラート属性に基づいて、インシデント名が自動的に生成されます。 この特定の名前付けにより、インシデントのスコープをすばやく理解できます。

たとえば、 複数のソースによって報告された複数のエンドポイントに対するマルチステージ インシデント。

Microsoft Sentinel を統合セキュリティ運用プラットフォームにオンボードした場合、Microsoft Sentinel から送信されたアラートとインシデントは、(オンボードの前後に作成されたかどうかに関係なく) 名前が変更される可能性があります。

自動化ルールをトリガーするための条件としてインシデント名を使用しないことをお勧めします。 インシデント名が条件であり、インシデント名が変更された場合、ルールはトリガーされません。

フィルター

インシデント キューには複数のフィルターオプションも用意されています。このオプションを適用すると、環境内のすべての既存のインシデントを広範に実行したり、特定のシナリオや脅威に焦点を当てることを決定したりできます。 インシデント キューにフィルターを適用すると、すぐに注意が必要なインシデントを特定できます。

インシデントの一覧の上にある [フィルター] リストには、現在適用されているフィルターが表示されます。

既定のインシデント キューから [ フィルターの追加] を選択すると、[ フィルターの追加] ドロップダウンが表示され、そこからインシデント キューに適用するフィルターを指定して、表示されるインシデントのセットを制限できます。 次に例を示します。

使用するフィルターを選択し、一覧の下部にある [ 追加] を選択して使用できるようにします。

これで、選択したフィルターが、既存の適用されたフィルターと共に表示されます。 新しいフィルターを選択して、条件を指定します。 たとえば、"サービス/検出ソース" フィルターを選択した場合は、そのフィルターを選択して、一覧をフィルター処理するソースを選択します。

[ フィルター ] ウィンドウは、インシデントの一覧の上にある [フィルター] ボックスの一覧で フィルター のいずれかを選択して表示することもできます。

次の表に、使用可能なフィルター名の一覧を示します。

既定のフィルターでは、すべてのアラートとインシデントが表示され、状態が [新規 ] と [進行中] で、重大度が [高]、[ 中]、または [ 低] になります。

フィルターの一覧でフィルターの名前で [X] を選択すると、フィルターをすばやく削除できます。

[保存されたフィルター クエリ] > [フィルター セットの作成] を選択して、インシデント ページ内にフィルター セットを作成することもできます。 フィルター セットが作成されていない場合は、[ 保存] を選択して作成します。

カスタム フィルターを URL として保存する

インシデント キューで便利なフィルターを構成したら、ブラウザー タブの URL をブックマークするか、Web ページ、Word 文書、または任意の場所にリンクとして保存できます。 ブックマークを使用すると、次のようなインシデント キューのキー ビューにシングル クリックでアクセスできます。

• 新しいインシデント
• 重大度の高いインシデント
• 割り当てられていないインシデント
• 重大度が高く、割り当てられていないインシデント
• 自分に割り当てられたインシデント
• Microsoft Defender for Endpoint に割り当てられたインシデント
• 特定のタグまたはタグを持つインシデント
• 特定の脅威カテゴリを持つインシデント
• 特定の脅威が関連付けられたインシデント
• 特定のアクターを含むインシデント

便利なフィルター ビューの一覧を URL としてコンパイルして保存したら、それを使用して、キュー内のインシデントをすばやく処理して優先順位を付け、後続の割り当てと分析のために それらを管理 します。

検索

インシデントの一覧の上にある [ 名前または ID の検索 ] ボックスから、さまざまな方法でインシデントを検索して、探しているものをすばやく見つけることができます。

インシデント名または ID で検索する

インシデント ID またはインシデント名を入力して、インシデントを直接検索します。 検索結果の一覧からインシデントを選択すると、Microsoft Defender ポータルでインシデントのプロパティを含む新しいタブが開き、そこから 調査を開始できます。

影響を受けた資産で検索する

ユーザー、デバイス、メールボックス、アプリケーション名、クラウド リソースなどの資産に名前を付け、その資産に関連するすべてのインシデントを見つけることができます。

時間範囲を指定する

インシデントの既定の一覧は、過去 6 か月間に発生したインシデントの一覧です。 予定表アイコンの横にあるドロップダウン ボックスから、次のように選択して、新しい時間範囲を指定できます。

• 1 日
• 3 日間
• 1 週間
• 30 日間
• 30 日間
• 6 か月
• 日付と時刻の両方を指定できるカスタム範囲

次の手順

優先度が最も高いインシデントを決定したら、それを選択し、次の手順に従います。

• タグ、割り当て、誤検知インシデントの即時解決、コメントのインシデントのプロパティを管理します。
• 調査を開始 します。

関連項目

• インシデントの概要
• インシデントの管理
• インシデントの調査