高度なハンティングを使用してアプリケーション制御イベントを一元的に照会する

Windows Defender アプリケーション制御 (WDAC) ポリシーは、Windows イベント ビューアーで、適用モードまたは監査モードでイベントをローカルにログに記録します。 イベント ビューアーは 1 つのシステムへの影響を確認するのに役立ちますが、IT 担当者は多くのシステムで評価したいと考えています。

2018 年 11 月、Microsoft Defender for Endpoint に機能を追加しました。これにより、接続されているすべてのシステムから WDAC イベントを一元的に表示することが容易になりました。

Microsoft Defender for Endpoint での高度なハンティングを使用すると、豊富な機能セットを使用してデータのクエリを実行できます。 WDAC イベントは、"AppControl" で始まる ActionType を使用してクエリを実行できます。 この機能は、Windows バージョン 1607 以降でサポートされています。

アクションの種類

Understanding Application Control イベント ID (Windows) の詳細

高度なハンティング アプリケーション制御クエリの例

クエリ例 1: 過去 7 日間の種類別に要約されたアプリケーション 制御アクションの種類に対してクエリを実行する

Microsoft Defender for Endpoint によって監視されているマシンから過去 7 日間に生成されたすべての Windows Defender アプリケーション制御イベントを示す簡単なクエリ例を次に示します。

DeviceEvents
| where Timestamp > ago(7d) and
ActionType startswith "AppControl"
| summarize Machines=dcount(DeviceName) by ActionType
| order by Machines desc

クエリ結果は、次のような Windows Defender アプリケーションコントロールの管理に関連するいくつかの重要な機能に使用できます。

• 監査モードでのポリシーの展開の影響を評価する アプリケーションは引き続き監査モードで実行されるため、ポリシーに含まれるルールの影響と正確性を確認する理想的な方法です。 生成されたイベントを Advanced Hunting と統合すると、監査モード ポリシーの広範な展開を簡単に行い、含まれているルールが実際の使用でこれらのシステムにどのような影響を与えるかを確認できます。 この監査モード データは、適用モードでのポリシーの使用への移行を効率化するのに役立ちます。
• 強制モードでのポリシーからのブロックの監視 強制モードで展開されたポリシーは、含まれている許可規則のいずれかを満たしていなかった実行可能ファイルまたはスクリプトをブロックする可能性があります。 正当な新しいアプリケーションや更新プログラム、または望ましくない可能性のあるソフトウェアや悪意のあるソフトウェアがブロックされる可能性があります。 どちらの場合も、高度なハンティング クエリによってブロックがレポートされ、さらに調査されます。

クエリの例 #2: 過去 7 日間の監査ブロックを特定するためのクエリ

DeviceEvents
| where ActionType startswith "AppControlExecutableAudited"
| where Timestamp > ago(7d)
|project DeviceId,                               // the device ID where the audit block happened
FileName,                                        // The audit blocked app's filename
FolderPath,                                      // The audit blocked app's system path without the FileName
InitiatingProcessFileName,                       // The file name of the parent process loading the executable
InitiatingProcessVersionInfoCompanyName,         // The company name of the parent process loading the executable
InitiatingProcessVersionInfoOriginalFileName,    // The original file name of the parent process loading the executable
InitiatingProcessVersionInfoProductName,         // The product name of the parent process loading the executable
InitiatingProcessSHA256,                         // The SHA256 flat hash of the parent process loading the executable
Timestamp,                                       // The event creation timestamp
ReportId,                                        // The report ID - randomly generated by MDE AH
InitiatingProcessVersionInfoProductVersion,      // The product version of the parent process loading the executable
InitiatingProcessVersionInfoFileDescription,     // The file description of the parent process loading the executable
AdditionalFields                                 // Additional fields contains FQBN for signed binaries.  These contain the CN of the leaf certificate, product name, original filename and version of the audited binary