攻撃面の縮小機能を理解して使用する

適用対象:

• Microsoft Defender XDR
• Microsoft Defender for Endpoint Plan 1
• Microsoft Defender for Endpoint Plan 2
• Microsoft Defender ウイルス対策

プラットフォーム

• Windows

攻撃面は、organizationがサイバー脅威や攻撃に対して脆弱なすべての場所です。 Defender for Endpoint には、攻撃対象領域を減らすのに役立ついくつかの機能が含まれています。 攻撃面の縮小の詳細については、次のビデオをご覧ください。

攻撃面の減少機能を構成する

環境内で攻撃面の縮小を構成するには、次の手順に従います。

1. Microsoft Edge のハードウェア ベースの分離を有効にします。

2. 攻撃面の縮小ルールを有効にします。

3. アプリケーション制御を有効にします。

   1. Windows の基本ポリシーを確認します。 「 基本ポリシーの例」を参照してください。

   2. Windows Defender アプリケーション コントロールの設計ガイドを参照してください。

   3. 「Windows Defender アプリケーション制御 (WDAC) ポリシーの展開」を参照してください。

4. フォルダー アクセスの制御を有効にします。

5. リムーバブル 記憶域保護を有効にします。

6. ネットワーク保護を有効にします。

7. Web 保護を有効にします。

8. エクスプロイト保護を有効にします。

9. ネットワーク ファイアウォールを設定します。

   1. 高度なセキュリティを備 えた Windows ファイアウォールの概要を確認します。

   2. Windows ファイアウォールの設計ガイドを使用して、ファイアウォール ポリシーを設計する方法を決定します。

   3. Windows ファイアウォール展開ガイドを使用して、高度なセキュリティを備えたorganizationのファイアウォールを設定します。

Microsoft Defender for Endpointでの攻撃面の減少をテストする

organizationのセキュリティ チームの一員として、攻撃面の縮小機能を監査モードで実行するように構成して、それらがどのように機能するかを確認できます。 監査モードでは、次の攻撃面の削減セキュリティ機能を有効にすることができます。

• 攻撃面の減少ルール
• エクスプロイト保護
• ネットワーク保護
• コントロールされたフォルダー アクセス
• デバイス制御

監査モードでは、機能が有効になっている場合に何が起こった か のレコードを表示できます。

機能の動作をテストするときに監査モードを有効にすることができます。 テストに対してのみ監査モードを有効にすると、監査モードが基幹業務アプリに影響を与えるのを防ぐことができます。 また、一定期間に発生した疑わしいファイルの変更試行の数を把握することもできます。

この機能は、アプリ、スクリプト、またはファイルの変更をブロックしたり、妨げるわけではありません。 ただし、Windows イベント ログでは、機能が完全に有効になっているかのようにイベントが記録されます。 監査モードでは、イベント ログを確認して、機能が有効になっている場合の影響を確認できます。

監査されたエントリを見つけるには、アプリケーションとサービス>Microsoft>Windows>Windows Defender>Operational に移動します。

Defender for Endpoint を使用して、各イベントの詳細を取得します。 これらの詳細は、攻撃面の縮小ルールを調査するのに特に役立ちます。 Defender for Endpoint コンソールを使用すると、アラート タイムラインと調査シナリオの一部として問題を調査できます。

監査モードは、グループ ポリシー、PowerShell、および構成サービス プロバイダー (CSP) を使用して有効にすることができます。

たとえば、ブロック モードで有効にする前に、監査モードで攻撃面の縮小ルールをテストできます。 攻撃面の縮小ルールは、一般的な既知の攻撃サーフェスを強化するために事前に定義されています。 攻撃面の縮小ルールを実装するために使用できる方法はいくつかあります。 推奨される方法については、次の攻撃面の縮小ルールの展開に関する記事を参照してください。

• 攻撃面の縮小ルールの展開の概要
• 攻撃面の縮小ルールの展開を計画する
• 攻撃面の縮小ルールをテストする
• 攻撃面の減少ルールを有効にする
• 攻撃面の縮小ルールを運用化する

攻撃面の減少イベントを表示する

イベント ビューアーの攻撃面縮小イベントを確認して、動作しているルールまたは設定を監視します。 また、設定が "ノイズが多すぎる" か、日常のワークフローに影響を与えているかどうかを判断することもできます。

イベントの確認は、機能を評価するときに便利です。 機能または設定に対して監査モードを有効にし、それらが完全に有効になっている場合に何が起こったかを確認できます。

このセクションでは、すべてのイベント、関連する機能または設定を一覧表示し、特定のイベントにフィルター処理するカスタム ビューを作成する方法について説明します。

E5 サブスクリプションがあり、Microsoft Defender for Endpointを使用している場合は、Windows セキュリティの一部としてイベント、ブロック、警告に関する詳細なレポートを取得します。

カスタム ビューを使用して攻撃面の縮小機能を確認する

Windows イベント ビューアーのカスタム ビューをCreateして、特定の機能と設定のイベントのみを表示します。 最も簡単な方法は、カスタム ビューを XML ファイルとしてインポートすることです。 このページから XML を直接コピーできます。

また、機能に対応するイベント領域に手動で移動することもできます。

既存の XML カスタム ビューをインポートする

1. 空の .txt ファイルをCreateし、使用するカスタム ビューの XML を .txt ファイルにコピーします。 使用するカスタム ビューごとにこれを行います。 ファイルの名前を次のように変更します (型を .txt から .xml に変更してください)。

   • フォルダー アクセスイベントのカスタム ビューの制御: cfa-events.xml
   • Exploit Protection イベントのカスタム ビュー: ep-events.xml
   • 攻撃面縮小イベントのカスタム ビュー: asr-events.xml
   • ネットワーク/保護イベントのカスタム ビュー: np-events.xml

2. [スタート] メニューに「イベント ビューアー」と入力し、イベント ビューアーを開きます。

3. [ アクション>のインポート] [カスタム ビューのインポート] を選択します。..

   

4. 目的のカスタム ビューの XML ファイルを抽出した場所に移動し、それを選択します。

5. [開く]を選択します。

6. その機能に関連するイベントのみを表示するようにフィルター処理するカスタム ビューが作成されます。

XML を直接コピーする

1. [スタート] メニューに「イベント ビューアー」と入力し、Windows イベント ビューアーを開きます。

2. 左側のパネルの [アクション] で、[カスタム ビュー Create選択します。..

   

3. [XML] タブに移動し、 手動で [クエリの編集] を選択します。 XML オプションを使用すると、[ フィルター ] タブを使用してクエリを編集できないという警告が表示されます。 [はい] を選択します。

4. イベントをフィルター処理する機能の XML コードを XML セクションに貼り付けます。

5. [OK] を選択します。 フィルターの名前を指定します。 このアクションにより、その機能に関連するイベントのみを表示するようにフィルター処理するカスタム ビューが作成されます。

攻撃面の縮小ルール イベントの XML

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
  </Query>
</QueryList>

制御されたフォルダー アクセス イベントの XML

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
  </Query>
</QueryList>

エクスプロイト保護イベント用の XML

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

ネットワーク保護イベントの XML

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

攻撃面の縮小イベントの一覧

すべての攻撃面の縮小イベントは、次の表に示すように、 アプリケーションとサービス ログ > Microsoft > Windows の下に配置され、フォルダーまたはプロバイダーになります。

Windows イベント ビューアーでは、次のイベントにアクセスできます。

1. [スタート] メニューを開き、「イベント ビューアー」と入力し、イベント ビューアー結果を選択します。

2. [ アプリケーションとサービス ログ > Microsoft > Windows ] を展開し、次の表の [ プロバイダー/ソース ] の下に一覧表示されているフォルダーに移動します。

3. サブアイテムをダブルクリックすると、イベントが表示されます。 イベントをスクロールして、探しているイベントを見つけます。

   

攻撃面の縮小の詳細については、リソースを参照してください。

ビデオで説明したように、Defender for Endpoint にはいくつかの攻撃面の縮小機能が含まれています。 詳細については、次のリソースを使用してください。