Microsoft 365 のアラート ポリシー

アラート ポリシーとアラート ダッシュボードを Microsoft Purview コンプライアンス ポータルまたは Microsoft Defender ポータルで使用して、アラート ポリシーを作成し、ユーザーがアラート ポリシーの条件に一致するアクティビティを実行したときに生成されたアラートを表示できます。 Exchange Online での管理者権限の割り当て、マルウェア攻撃、フィッシング キャンペーン、異常なレベルのファイル削除や外部共有などのアクティビティを監視するのに役立つ既定のアラート ポリシーがいくつかあります。

アラート ポリシーを使用すると、ポリシーによってトリガーされるアラートを分類し、組織内のすべてのユーザーにポリシーを適用し、アラートがトリガーされるタイミングのしきい値レベルを設定し、アラートがトリガーされたときにメール通知を受信するかどうかを決定できます。 アラートの表示とフィルター処理、 アラート の管理に役立つアラートの状態を設定し、基になるインシデントに対処または解決した後にアラートを無視できる [アラート] ページもあります。

アラート ポリシーの動作

これは、アラート ポリシーの仕組みと、ユーザーまたは管理者のアクティビティがアラート ポリシーの条件に一致したときにトリガーされるアラートの概要です。

1. 組織内の管理者は、コンプライアンス ポータルまたは Microsoft Defender ポータルの [アラート ポリシー] ページを使用して 、アラート ポリシー を作成、構成、およびオンにします。 また、Security & Compliance PowerShell の New-ProtectionAlert コマンドレットを使用して、アラート ポリシーを作成することもできます。

   アラート ポリシーを作成するには、コンプライアンス ポータルまたは Defender ポータルでアラートの管理ロールまたは組織構成ロールを割り当てる必要があります。

   注:

   アラート ポリシーを作成または更新してから、ポリシーによってアラートがトリガーされるまでには、最大 24 時間かかります。 これは、ポリシーをアラート 検出エンジンに同期する必要があるためです。

2. ユーザーが、アラート ポリシーの条件に一致するアクティビティを実行します。 マルウェア攻撃の場合は、ウイルスに感染したメール メッセージが組織内のユーザーに送信されるとアラートが発生します。

3. Microsoft 365 は、コンプライアンス ポータルまたは Defender ポータルの [アラート] ページに表示されるアラートを生成します。 また、アラート ポリシーでメール アラートが有効になっている場合、Microsoft は受信者のリストにアラートを送信します。 管理者または他のユーザーが [アラート] ページで確認できるアラートは、ユーザーに割り当てられたロールによって決定されます。 詳細については、「アラートを表示するために必要な RBAC アクセス許可」を参照してください。

4. 管理者は、Microsoft Purview コンプライアンス ポータルでアラートを管理します。 アラートの管理は、調査の追跡と管理に役立つアラート状態の割り当てで構成されます。

アラート ポリシーの設定

アラート ポリシーは、アラートを生成するユーザーまたは管理者アクティビティを定義する一連のルールと条件、アクティビティを実行した場合にアラートをトリガーするユーザーのリスト、およびアラートがトリガーされる前にアクティビティが発生する必要がある回数を定義するしきい値で構成されます。 また、ポリシーを分類し、重大度のレベルを割り当てます。 これらの 2 つの設定は、Microsoft Purview コンプライアンス ポータルでポリシーを管理したりアラートを表示したりするときにこれらの設定をフィルター処理できるため、アラート ポリシー (およびポリシー条件が一致したときにトリガーされるアラート) を管理するのに役立ちます。 たとえば、同じカテゴリの条件に一致するアラートを表示したり、同じ重大度レベルのアラートを表示したりできます。

アラート ポリシーを表示して作成するには:

• Microsoft Purview コンプライアンス ポータル:

  コンプライアンス ポータルに移動し、[ポリシー]>[アラート]>[アラート ポリシー] の順に選択します。

  

• Microsoft Defender ポータル:

  Microsoft Defender ポータルに移動し、[メール & コラボレーション] で [ポリシー & ルール>Alert ポリシー] を選択します。 または、https://security.microsoft.com/alertpolicies に直接移動することもできます。

  

アラート ポリシーは、次の設定と条件で構成されます。

• アラートが追跡しているアクティビティ。 外部ユーザーとのファイルの共有、アクセス許可の割り当て、匿名リンクの作成など、1 つのアクティビティまたは場合によっては複数の関連するアクティビティを追跡するポリシーを作成します。 ポリシーによって定義されているアクティビティをユーザーが実行すると、アラートしきい値の設定に基づいてアラートがトリガーされます。

  注:

  追跡できるアクティビティは、組織の Office 365 Enterprise または Office 365 US Government の計画によって異なります。 一般に、マルウェア キャンペーンやフィッシング攻撃に関連するアクティビティには、E5/G5 サブスクリプション、E1/F1/G1 または E3/F3/G3 サブスクリプションと Defender for Office 365 Plan 2 アドオン サブスクリプションが必要です。

• アクティビティの条件。 ほとんどのアクティビティでは、アラートをトリガーするために満たす必要のある追加の条件を定義できます。 一般的な条件は、IP アドレス (特定の IP アドレスまたは IP アドレス範囲内のコンピューターでユーザーがアクティビティを実行すると、通知がトリガーされます)、特定のユーザー (1 人または複数) がそのアクティビティを実行した場合に通知をトリガーするかどうか、アクティビティが特定のファイル名または URL に対して実行されたかどうか、などです。 また、組織内のユーザーによってアクティビティが実行されたときにアラートをトリガーする条件を構成することもできます。 使用可能な条件は、選択したアクティビティによって異なります。

アラート ポリシーの条件としてユーザー タグを定義することもできます。 この定義により、影響を受けるユーザーのコンテキストを含めるためにポリシーによってトリガーされるアラートが生成されます。 システム ユーザー タグまたはカスタム ユーザー タグを使用できます。 詳細については、「Microsoft Defender for Office 365 のユーザー タグ」を参照してください。

• アラートがトリガーされた場合。 アラートがトリガーされる前にアクティビティが発生する頻度を定義する設定を構成できます。 これにより、アクティビティがポリシー条件に一致するたびに、特定のしきい値を超えたとき、またはアラートが追跡しているアクティビティの発生が組織にとって異常になったときにアラートを生成するポリシーを設定できます。

  

  異常なアクティビティに基づいて設定を選択した場合、Microsoft は、選択したアクティビティの通常の頻度を定義するベースライン値を確立します。 アラートが生成されないこのベースラインを確立するには、最大 7 日かかります。 基準値が設定された後は、通知ポリシーによって追跡されているアクティビティの頻度が基準値を大幅に超えると、通知がトリガーされます。 監査関連のアクティビティ (ファイルやフォルダーのアクティビティなど) の場合は、1 人のユーザーまたは組織内のすべてのユーザーを基にしてしきい値を設定できます。マルウェア関連のアクティビティの場合は、1 つのマルウェア ファミリ、1 人の受信者、または組織内のすべてのメッセージに基づいて、基準値を設定できます。

  注:

  しきい値または異常なアクティビティに基づいてアラート ポリシーを構成するには、E5/G5 サブスクリプション、または Microsoft Defender for Office 365 P2、Microsoft 365 E5 コンプライアンスを備えた E1/F1/G1 または E3/F3/G3 サブスクリプション、または Microsoft 365 eDiscovery and Audit アドオン サブスクリプションが必要です。 E1/F1/G1 および E3/F3/G3 サブスクリプションを持つ組織は、アクティビティが発生するたびにアラートがトリガーされるアラート ポリシーのみを作成できます。

• アラート カテゴリ。 ポリシーによって生成されたアラートの追跡と管理を支援するために、次のいずれかのカテゴリをポリシーに割り当てることができます。

  • データ損失防止
  • 情報ガバナンス
  • メール フロー
  • Permissions
  • 脅威の管理
  • Others

  アラート ポリシーの条件に一致するアクティビティが発生すると、生成されたアラートには、この設定で定義されているカテゴリでタグが付けられます。 これにより、カテゴリに基づいてアラートを並べ替えたりフィルター処理したりできるため、Microsoft Purview ポータルの [アラート ] ページで同じカテゴリ設定のアラートを追跡および管理できます。

• アラートの重大度。 アラート カテゴリと同様に、重大度属性 (低、中、高、または情報) をアラート ポリシーに割り当てます。 アラート カテゴリと同じく、アラート ポリシーの条件を満たすアクティビティが発生した場合、生成されるアラートには、アラート ポリシーに設定されているものと同じ重大度レベルのタグが付けられます。 これにより、やはり、同じ重大度が設定されているアラートを [アラート] ページでまとめて追跡および管理できます。 たとえば、アラートの一覧をフィルター処理し、高重大度のアラートだけを表示できます。

  ヒント

  通知ポリシーを設定するときは、ユーザーに配信した後でのマルウェアの検出、機密データの表示、外部ユーザーとのデータの共有、データ損失やセキュリティ脅威が発生する可能性のある他のアクティビティなど、重大な悪影響が発生するおそれのあるアクティビティに高い重大度を割り当てるようにします。 これは、アラートと、根本原因の調査と解決のアクションの優先順位を設定するのに役立ちます。

• 自動調査。 一部のアラートは、自動調査をトリガーして、修復または軽減を必要とする潜在的な脅威とリスクを特定します。 ほとんどの場合、これらのアラートは悪意のあるメールやアクティビティの検出によってトリガーされますが、場合によっては、セキュリティ ポータルでの管理者の操作によってアラートがトリガーされます。 自動調査の詳細については、「Microsoft Defender for Office 365 の自動調査と対応 (AIR)」を参照してください。

• メール通知。 アラートがトリガーされると、メール通知がユーザーのリストに送信 (または送信されない) 状態に設定できます。 通知の最大数に達すると、その日にアラートに対する通知がそれ以上送信されないように、1 日の通知制限を設定することもできます。 管理者はメール通知に加えて、ポリシーによってトリガーされた通知を [アラート] ページで確認できます。 メール通知は、特定のカテゴリまたは高重大度設定のアラート ポリシーに対して有効にするようにしてください。

既定のアラート ポリシー

Microsoft は、Exchange 管理者権限の乱用、マルウェア アクティビティ、潜在的な外部および内部の脅威、および情報ガバナンスのリスクを特定するのに役立つ組み込みのアラート ポリシーを提供しています。 [通知ポリシー] ページでは、これらの組み込みポリシーの名前は太字で表示され、ポリシーの種類は [システム] と定義されます。 これらのポリシーは既定で有効になっています。 これらのポリシーを無効にしたり (または有効に戻したり)、メール通知受信者のリストを設定したり、1 日の通知制限を設定したりできます。 これらのポリシーの他の設定を編集することはできません。

次の表に、使用可能な既定のアラート ポリシーと、各ポリシーが割り当てられているカテゴリを示します。 カテゴリは、ユーザーが [アラート] ページで表示できるアラートを決定するために使用されます。 詳細については、「アラートを表示するために必要な RBAC アクセス許可」を参照してください。

表には、それぞれに必要な Office 365 Enterprise および Office 365 US Government プランも示されています。 組織に E1/F1/G1 または E3/F3/G3 サブスクリプションに加えて適切なアドオン サブスクリプションがある場合、いくつかのデフォルトのアラート ポリシーを使用できます。

情報ガバナンス アラート ポリシー

メール フロー アラート ポリシー

アクセス許可アラート ポリシー

脅威管理アラート ポリシー

¹ このアラート ポリシーは、ユーザーのフィードバックに基づいて削除された受信トレイ/フォルダー アラート ポリシーに配信された、テナントまたはユーザーのオーバーライドとユーザー偽装フィッシングによって配信されるフィッシングの代替機能の一部です。 Office 365 でのフィッシング対策の詳細については、「 フィッシング対策ポリシー」を参照してください。

警告を表示する

組織内のユーザーによって実行されたアクティビティがアラート ポリシーの設定と一致すると、アラートが生成され、Microsoft Purview ポータルまたは Defender ポータルの [アラート ] ページに表示されます。 アラート ポリシーの設定によっては、アラートがトリガーされると、指定されたユーザーのリストにメール通知も送信されます。 [アラート] ページのダッシュボードには、アラートごとに、対応するアラート ポリシーの名前、アラートの重大度とカテゴリ (アラート ポリシーで定義されている)、アラートが生成される原因になったアクティビティの発生回数が表示されます。 この値は、アラート ポリシーのしきい値設定に基づいています。 ダッシュボードには、各アラートの状態も表示されます。 状態プロパティを使用してアラートを管理する方法の詳細については、「アラートの管理」を参照してください。

アラートを表示するには:

Microsoft Purview コンプライアンス ポータル

https://compliance.microsoft.com に移動し、[アラート] を選択します。 または、https://compliance.microsoft.com/compliancealerts に直接移動することもできます。

Microsoft Defender ポータル

[ https://security.microsoft.com ] に移動し、[ インシデント & アラート>Alerts] を選択します。 または、https://security.microsoft.com/alerts に直接移動することもできます。

[アラート] ページですべてのアラートのサブセットを表示するには、次のフィルター を 使用します。

• 状態: 特定の状態が割り当てられているアラートを表示します。 デフォルトのステータスはアクティブです。 管理者は状態の値を変更できます。
• ポリシー: 1 つ以上のアラート ポリシーの設定に一致するアラートを表示します。 すべての通知ポリシーのすべての通知を表示することもできます。
• 時間範囲: 特定の日付と時刻の範囲内で生成されたアラートを表示します。
• 重大度: 特定の重大度が割り当てられているアラートを表示します。
• カテゴリ: 1 つ以上のアラート カテゴリからのアラートを表示します。
• タグ:1 つ以上のユーザー タグからのアラートを表示します。 タグは、アラートに表示されるタグ付きメール ボックスまたはユーザーに基づいて反映されます。 詳細については、「 Defender for Office 365 のユーザー タグ 」を参照してください。
• ソース: このフィルターを使用して、Microsoft Purview ポータルでアラート ポリシーによってトリガーされたアラート、または Microsoft Defender for Cloud Apps ポリシーによってトリガーされたアラート、またはその両方を表示します。 Defender for Cloud Apps アラートの詳細については、この記事の 「Defender for Cloud Apps アラートの表示 」セクションを参照してください。

アラートの集計

アラート ポリシーの条件に一致する複数のイベントが短時間で発生すると、アラート の集計と呼ばれるプロセスによって既存のアラートに追加されます。 イベントがアラートをトリガーすると、アラートが生成されて [アラート] ページに表示され、通知が送信されます。 集約間隔内に同じイベントが発生した場合、Microsoft 365 は、新しいアラートをトリガーする代わりに、新しいイベントに関する詳細を既存のアラートに追加します。 アラート集約の目標は、アラートの「疲労」を減らし、同じイベントのより少ないアラートに集中してアクションを実行できるようにすることです。

集計間隔の長さは、Office 365 または Microsoft 365 のサブスクリプションによって異なります。

同じアラート ポリシーに一致するイベントが集約間隔内に発生すると、後続のイベントに関する詳細が元のアラートに追加されます。 すべてのイベントについて、集約されたイベントに関する情報が詳細フィールドに表示され、集約間隔でイベントが発生した回数がアクティビティ/ヒットカウント フィールドに表示されます。 アクティビティ リストを表示すると、すべての集約されたイベント インスタンスに関する詳細情報を表示できます。

次のスクリーン ショットは、4 つの集約されたイベントを含むアラートを示しています。 アクティビティ リストには、アラートに関連する 4 つのメール メッセージに関する情報が含まれています。

アラート集約について、次の点に注意してください。

• 悪意のある可能性のある URL のクリックによってトリガーされたアラートは、既定のアラート ポリシーが集計されていないことが検出されました。 この動作は、このポリシーによってトリガーされるアラートが各ユーザーと電子メール メッセージに固有であるために発生します。

• 現時点では、ヒット カウントアラート プロパティは、すべてのアラート ポリシーの集約されたイベントの数を示しているわけではありません。 これらのアラート ポリシーによってトリガーされたアラートの場合、[メッセージ リストの表示] または [アラートのアクティビティの表示] をクリックして、集約されたイベントを表示できます。 ヒット カウント アラート プロパティにリストされている集計イベントの数をすべてのアラート ポリシーで利用できるように取り組んでいます。

アラートを表示するために必要な RBAC アクセス許可

組織内のユーザーに割り当てられた役割ベースの Access Control (RBAC) アクセス許可によって、ユーザーが [アラート] ページで表示できるアラートが決まります。 これはどのように達成されますか? ユーザーに割り当てられた管理ロール (コンプライアンス ポータルまたは Microsoft Defender ポータルのロール グループのメンバーシップに基づく) によって、ユーザーが [アラート ] ページで表示できるアラート カテゴリが決まります。 次に、いくつかの例を示します:

• レコード管理役割グループのメンバーは、Information Governance カテゴリが割り当てられたアラート ポリシーによって生成されたアラートのみを表示できます。
• コンプライアンス管理者役割グループのメンバーは、脅威管理 カテゴリが割り当てられているアラート ポリシーによって生成されるアラートを表示できません。
• 割り当てられた役割のいずれもアラート カテゴリからのアラートを表示する権限を提供しないため、電子情報開示マネージャー役割グループのメンバーはアラートを表示できません。

この設計 (RBAC のアクセス許可に基づく) を使用すると、組織内の特定のジョブ ロールのユーザーが表示 (および管理) できるアラートを決定できます。

次の表に、6 つの異なるアラート カテゴリからのアラートを表示するために必要な役割を示します。 チェック マークは、そのロールが割り当てられているユーザーが、タイトル行に一覧表示されている対応するアラート カテゴリからのアラートを表示できることを示します。

既定のアラート ポリシーが割り当てられているカテゴリを確認するには、「 既定のアラート ポリシー」の表を参照してください。

$RoleGroups = Get-RoleGroup

$RoleGroups | foreach {Write-Output -InputObject `r`n,$_.Name,("-"*25); Get-RoleGroup $_.Identity | Select-Object -ExpandProperty Roles}

アラートの管理

アラートが生成され、Microsoft Purview ポータルの [アラート ] ページに表示されたら、トリアージ、調査、解決できます。 ユーザーにアラートへのアクセス権を付与するのと同じ RBAC アクセス許可により、アラートを管理することもできます。

ここでは、アラートを管理するために実行できるタスクの一部を示します。

• アラートに状態を割り当てる: アクティブ (既定値)、 調査中、 解決済み、または却下済みのいずれかの状態をアラート に割り当てることができます。 割り当てた後は、この設定を使ってフィルター処理を行い、同じ状態設定のアラート だけを表示できます。 この状態設定は、アラート 管理のプロセスの追跡に役立ちます。

• アラートの詳細を表示する: アラートを選択して、アラートに関する詳細を含むポップアップ ページを表示できます。 詳細情報は、対応するアラート ポリシーによって異なりますが、通常は次の情報が含まれます。

  • アラートをトリガーした実際の操作の名前 (コマンドレットや監査ログ操作など)。
  • アラートをトリガーしたアクティビティの説明。
  • アラートをトリガーしたユーザー (またはユーザーの一覧)。 この情報は、1 人のユーザーまたは 1 つのアクティビティを追跡するように設定されているアラート ポリシーの場合にのみ含まれます。
  • アラートによって追跡されているアクティビティが実行された回数。 この数は、[アラート] ページに表示される実際の関連アラート数と一致しない可能性があります。これは、より多くのアラートがトリガーされた可能性があるためです。
  • 実行されてアラートをトリガーした各アクティビティの項目を含むアクティビティ リストへのリンク。 このリストの各エントリは、アクティビティが発生したとき、実際の操作の名前 ("FileDeleted" など) とアクティビティを実行したユーザーの名前、アクティビティが実行されたオブジェクト (ファイル、電子情報開示ケース、メールボックスなど)、ユーザーのコンピューターの IP アドレスを示します。 マルウェア関連のアラートの場合、メッセージ一覧にリンクされます。
  • 対応するアラート ポリシーの名前 (およびリンク)。

• メール通知を抑制する: アラートのポップアップ ページからメール通知をオフ (または抑制) できます。 メール通知を抑制すると、アラート ポリシーの条件に一致するアクティビティまたはイベントが発生しても、Microsoft はメール通知を送信しません。 ただし、ユーザーが実行したアクティビティがアラート ポリシーの条件に一致すると、アラートがトリガーされます。 アラート ポリシーを編集してメールアラートを無効にすることもできます。

• アラートを解決する: アラートのポップアップ ページでアラートを解決済みとしてマークできます (アラートの状態を 解決済みに設定します)。 フィルターを変更しない限り、解決済みのアラートは [アラート] ページに表示されません。

Defender for Cloud Apps のアラートを表示する

Defender for Cloud Apps ポリシーによってトリガーされるアラートが、Microsoft Purview ポータルの [アラート ] ページに表示されるようになりました。 これには、アクティビティ ポリシーによってトリガーされるアラートと、Defender for Cloud Apps の異常検出ポリシーによってトリガーされるアラートが含まれます。 つまり、Microsoft Purview ポータルですべてのアラートを表示できます。 Defender for Cloud Apps は、Office 365 Enterprise E5 または Office 365 US Government G5 サブスクリプションを持つ組織でのみ使用できます。 詳細については、「Defender for Cloud Apps の概要」を参照してください。

Enterprise Mobility + Security E5 サブスクリプションの一部として、またはスタンドアロン サービスとして Microsoft Defender for Cloud Apps を持つ組織は、コンプライアンス ポータルまたは Microsoft Defender ポータルで、Microsoft 365 アプリとサービスに関連する Defender for Cloud Apps アラートを表示することもできます。

Microsoft Purview ポータルまたは Defender ポータルに Defender for Cloud Apps のアラートのみを表示するには、 ソース フィルターを使用し、[ Defender for Cloud Apps] を選択します。

Microsoft Purview ポータルのアラート ポリシーによってトリガーされるアラートと同様に、Defender for Cloud Apps アラートを選択して、アラートの詳細を含むポップアップ ページを表示できます。 アラートには、Defender for Cloud Apps ポータルで詳細を表示してアラートを管理するためのリンクと、アラートをトリガーした対応する Defender for Cloud Apps ポリシーへのリンクが含まれています。 「Defender for Cloud Apps でアラートを監視する」を参照してください。