照合分析を使用して脅威を検出する

[アーティクル]
02/07/2025
適用対象:

Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Microsoft によって生成された脅威インテリジェンスを利用して、Microsoft Defender 脅威インテリジェンス分析ルールを使用した忠実さが高いアラートとインシデントを生成します。 Microsoft Sentinel のこの組み込みルールは、インジケーターを、Common Event Format (CEF) ログ、ドメインと IPv4 脅威インジケーターを含む Windows DNS イベント、syslog データなどと照合します。

前提条件

忠実さが高いアラートとインシデントを生成するには、サポートされている 1 つ以上のデータコネクタをインストールする必要があります。プレミアム Microsoft Defender 脅威インテリジェンスライセンスは必要ありません。適切なソリューションをコンテンツハブからインストールして、これらのデータソースを接続します。

レガシエージェント経由のCommon Event Format (CEF)
レガシエージェント経由の Windows DNS (プレビュー)
レガシエージェント経由の Syslog
Microsoft 365 サービス (以前の Office 365)
Azure アクティビティログ
AMA 経由の Windows DNS
ASIM ネットワークセッション

Microsoft Defender 脅威インテリジェンス分析ルールのデータソース接続を示すスクリーンショット。

たとえば、データソースによっては、次のソリューションとデータコネクタを使用できます。

解決策	データコネクタ
Sentinel 向け Common Event Format ソリューション	Microsoft Sentinel 用 Common Event Format コネクタ
Windows Server DNS	Microsoft Sentinel 用 DNS コネクタ
Sentinel 向け Syslog ソリューション	Microsoft Sentinel 用 Syslog コネクタ
Sentinel 向け Microsoft 365 ソリューション	Microsoft Sentinel 用 Office 365 コネクタ
Sentinel 向け Azure アクティビティソリューション	Microsoft Sentinel 用 Azure アクティビティコネクタ
Windows ファイアウォール	AMA コネクタ経由の Windows ファイアウォールイベント

照合分析ルールを構成する

照合分析は、Microsoft Defender 脅威インテリジェンス分析ルールを有効にすると構成されます。

[構成] セクションの [分析] メニューを選択します。
[ルールテンプレート] タブを選択します。
検索ウィンドウに「脅威インテリジェンス」と入力します。
Microsoft Defender 脅威インテリジェンス分析ルールテンプレートを選択します。
[ルールの作成] を選択します。ルールの詳細は読み取り専用で、ルールは既定の状態で有効になっています。
[確認]>[作成] を選択します。

データソースとインジケーター

Microsoft Defender 脅威インテリジェンス分析では、次の方法で、ログとドメイン、IP、URL インジケーターが照合されます。

Log Analytics の CommonSecurityLog テーブルに取り込まれた CEF ログが、RequestURL フィールドに入力されている場合は URL とドメインインジケーターを照合し、DestinationIP フィールドの IPv4 インジケーターを照合します。
SubType == "LookupQuery" が DnsEvents テーブルに取り込まれた Windows DNS ログが、Name フィールドに入力されたドメインインジケーターと、IPAddresses フィールドの IPv4 インジケーターを照合します。
Facility == "cron" が Syslog テーブルに取り込まれた Syslog イベントが、SyslogMessage フィールドから直接ドメインと IPv4 インジケーターを照合します。
OfficeActivity テーブルに取り込まれた Office アクティビティログが、ClientIP フィールドから直接 IPv4 インジケーターを照合します。
AzureActivity テーブルに取り込まれた Azure アクティビティログが、CallerIpAddress フィールドから直接 IPv4 インジケーターを照合します。
ASimDnsActivityLogs テーブルに取り込まれた ASIM DNS ログは、DnsQuery フィールドに設定されたドメインインジケーターと、DnsResponseName フィールドの IPv4 インジケーターを照合します。
ASimNetworkSessionLogs テーブルに取り込まれた ASIM ネットワークセッションは、次のフィールドの 1 つ以上に設定された IPv4 インジケーターを照合します: DstIpAddr、DstNatIpAddr、SrcNatIpAddr、SrcIpAddr、DvcIpAddr。

照合分析によって生成されたインシデントをトリアージする

Microsoft の分析で一致が検出されると、生成されたすべてのアラートはインシデントにグループ化されます。

Microsoft Defender 脅威インテリジェンス分析ルールによって生成されたインシデントをトリアージするには、次の手順を使用します。

Microsoft Defender 脅威インテリジェンス分析ルールを有効にした Microsoft Sentinel ワークスペースで、[インシデント] を選択し、「Microsoft Defender 脅威インテリジェンス分析」を検索します。

検出されたすべてのインシデントがグリッドに表示されます。
[すべての詳細を表示] を選択して、特定のアラートなど、インシデントに関するエンティティとその他の詳細を表示します。

次に例を示します。
アラートとインシデントに割り当てられている重大度を確認します。インジケーターの照合方法に応じて、適切な重大度 (Informational から High まで) がアラートに割り当てられます。たとえば、インジケーターがトラフィックを許可したファイアウォールログと一致した場合は、重大度の高いアラートが生成されます。同じインジケーターがトラフィックをブロックしたファイアウォールログと一致した場合は、低または中程度のアラートが生成されます。

アラートはその後、インジケーターの観測可能単位でグループ化されます。たとえば、24 時間の期間に生成され、contoso.com ドメインに一致するアラートはすべて、最も高いアラート重大度に基づいて割り当てられた重大度で、1 つのインシデントにグループ化されます。
インジケーターの情報を確認します。一致が検出されると、インジケーターは Log Analytics の ThreatIntelligenceIndicators テーブルに公開され、[脅威インテリジェンス] ページに表示されます。このルールから発行されたインジケーターの場合、ソースは Microsoft Threat Intelligence Analytics として定義されます。