Microsoft Defender for Endpoint インシデントを管理する

適用対象:

Microsoft Defender ATP を試してみたいですか? 無料試用版にサインアップしてください。

インシデントの管理は、すべてのサイバーセキュリティ操作の重要な部分です。インシデントを管理するには、[ インシデント] キュー または [ インシデント管理] ウィンドウからインシデントを選択します。

インシデントキューからインシデントを選択すると、[インシデント管理] ウィンドウが表示され、インシデントページを開いて詳細を確認できます。

インシデントを自分に割り当てる、状態と分類を変更する、名前を変更する、またはコメントを付けて進行状況を追跡できます。

ヒント

インシデント名は、影響を受けるエンドポイントの数、影響を受けるユーザー、検出ソース、カテゴリなどのアラート属性に基づいて自動的に生成されます。これにより、インシデントの範囲をすばやく把握できます。

たとえば、 複数のソースによって報告された複数のエンドポイントに対するマルチステージインシデント。

自動インシデントの名前付けのロールアウト前に存在していたインシデントは、その名前を保持します。

インシデントを割り当てる

インシデントがまだ割り当てられていない場合は、[ 自分に割り当てる ] を選択してインシデントを自分に割り当てることができます。これにより、インシデントの所有権だけでなくそのインシデントと関連するすべての警告の所有権が自分に割り当てられます。

インシデントは、調査の進捗に合わせて状態を変更することにより、Active (アクティブ) または Resolved (解決済み) に分類できます。こうすることで、チームでのインシデントへの対応方法を整理して管理できます。

たとえば、SOC アナリストは、その日の緊急 のアクティブ インシデントを確認し、調査のために自分に割り当てることを決定できます。

また、インシデントが修復された場合は、SOC アナリストはインシデントを Resolved (解決済み) と設定することができます。

分類を設定しないことも、インシデントが真または偽であると指定することもできます。こうすることで、チームにはインシデントの傾向が示され、チームの学習につながります。

警告にはコメントを追加することができ、インシデントに関する過去のイベントを表示して、以前に行われた変更を確認できます。

警告に変更またはコメントが加えられるたびに、[Comments and history (コメントと履歴)] セクションに記録されます。

追加されたコメントは直ちにウィンドウに表示されます。

ヒント

さらに多くの情報を得るには、 Tech Community 内の Microsoft Security コミュニティ (Microsoft Defender for Endpoint Tech Community) にご参加ください。