セキュリティ アラートのトリアージと調査は、熟練のセキュリティ アナリストでさえ長時間を要することのある作業です。 多くのユーザーにとっては、どこから始めればよいかを判断することも困難です。
Defender for Cloudでは、分析を使用して、個別のセキュリティ アラート間で情報を接続します。 アラートの詳細については、Defender for Cloud のセキュリティ アラートおよびセキュリティ アラートの管理と対応を参照してください。 関連するセキュリティアラート間の連携を活用し、Defender for Cloudは攻撃キャンペーンとその関連アラートを単一のビューで把握し、攻撃者の行動や影響を受けたリソースを理解するのに役立ちます。
このページでは、Defender for Cloud でのインシデントの概要について説明します。
セキュリティ インシデントとは
Defender for Cloudでは、セキュリティ インシデントは、キル チェーン パターンと一致するリソースのすべてのアラートの集計です。 戦術の詳細については、 MITRE ATT&CK の戦術を参照してください。 インシデントは、[セキュリティ アラート] ページに表示されます。 インシデントを選択して関連するアラートを表示し、詳細情報を取得します。
セキュリティ インシデントを管理する
Defender for Cloudでセキュリティインシデントを見つけて管理するために、以下の手順を実行してください:
Defender for Cloud の [セキュリティ アラート] ページで、[フィルターの追加] ボタンを使用して、アラート名でフィルター処理し、アラート名 [複数のリソースで検出されたセキュリティ インシデント] にします。
一覧がフィルター処理され、インシデントのみが表示されるようになりました。 セキュリティ インシデントには、セキュリティ アラートとは異なるアイコンが付いています。
インシデントの詳細を表示するには、一覧から 1 つを選択します。 サイド ペインに、インシデントの詳細が表示されます。
詳細を表示するには、 [すべての詳細を表示] を選択します。
セキュリティ インシデント ページの左側のウィンドウには、セキュリティ インシデントに関する概要情報 (タイトル、重要度、状態、アクティビティ時間、説明、影響を受けるリソース) が表示されます。 影響を受けるリソースの横に、関連する Azure タグが表示されます。 影響を受けたリソースの横に表示されるAzureタグを使って、アラートを調査する際にそのリソースの組織的な文脈を推測してください。
右側のウィンドウには、このインシデントの一部として関連付けられたセキュリティ アラートを含む [アラート] タブが表示されます。
Tip
具体的なアラートの詳細については、そのアラートを選択してください。
「 アクションを取る 」タブに切り替えるには、右ペイン下部のタブを選択するか、「 アクションを取る」 ボタンを選択してください。 このタブを使用すると、次のような操作を実行できます。
- [Mitigate the threat](脅威の軽減) - このセキュリティ インシデントに対する手動の修復手順を提供します
- [Prevent future attacks](将来の攻撃防止) - セキュリティに関する推奨事項を提供して、攻撃対象を減らし、セキュリティ体制を強化し、将来の攻撃を防ぐことができるようにします
- [Trigger automated response](自動応答のトリガー) - このセキュリティ インシデントへの応答としてロジック アプリをトリガーするオプションを提供します
- 同様のアラートを抑制する - アラートが組織に関連しない場合に、同様の特性を持つ将来のアラートを抑制するオプションを提供します
Note
セキュリティアラートは、インシデントの一部として、または単独のアラートとして表示されることがあります。
インシデントの脅威を修復するには、各アラートに対する修復手順に従います。
