Microsoft Defenderのガイド付きモードを使用してハンティング クエリを構築する
適用対象:
- Microsoft Defender XDR
重要
一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここに記載された情報に関して、明示または黙示を問わず、いかなる保証も行いません。
ガイド付きモードのクエリ ビルダーを使用すると、アナリストは、Kusto 照会言語 (KQL) またはデータ スキーマを知らずに、意味のあるハンティング クエリを作成できます。 あらゆるレベルの経験を持つアナリストは、クエリ ビルダーを使用して過去 30 日間のデータをフィルター処理して、脅威の検索、インシデント調査の拡大、脅威データに対するデータ分析の実行、または特定の脅威領域への集中を行うことができます。
アナリストは、見るデータ セットと、必要なデータを絞り込むために使用するフィルターと条件を選択できます。
このビデオをwatchして、ガイド付きハンティングの概要を確認できます。
ビルダーでクエリを開く
[ 高度なハンティング ] ページで、[ 新規作成 ] を選択して新しいクエリ タブを開き、[ ビルダーでクエリ] を選択します。
これにより、ガイド付きモードに変わり、ドロップダウン メニューを使用してさまざまなコンポーネントを選択してクエリを作成できます。
検索するデータ ドメインを指定する
クエリで対象となるドメインを選択することで、ハントのスコープを制御できます。
[ すべて ] を選択すると、現在アクセスできるすべてのドメインのデータが含まれます。 特定のドメインに絞り込むには、そのドメインにのみ関連するフィルターを使用できます。
次の項目から選択できます。
- すべてのドメイン - クエリで使用可能なすべてのデータを確認します。
- エンドポイント - Microsoft Defender for Endpointによって提供されるエンドポイント データを確認します。
- Emailとコラボレーション - SharePoint、OneDrive などのメール アプリやコラボレーション アプリのデータを調べるには、Threat エクスプローラーに精通しているユーザーが同じデータをここで見つけることができます。
- アプリと ID - Microsoft Defender for Cloud AppsとMicrosoft Defender for Identityによって提供されるアプリケーションと ID のデータを調べるには、アクティビティ ログに精通しているユーザーがここで同じデータを見つけることができます。
- クラウド インフラストラクチャ - Microsoft Defender for Cloud によって提供されるクラウド インフラストラクチャ データを調びます。
- 露出管理 - Microsoft セキュリティ露出管理によって提供される露出管理データを調びます。
基本フィルターを使用する
既定では、ガイド付きハンティングには、迅速に開始するためのいくつかの基本的なフィルターが含まれています。
エンドポイントなど、1 つのデータ ソースを選択すると、クエリ ビルダーには該当するフィルター グループのみが表示されます。 その後、絞り込むフィルターを選択するには、そのフィルター グループ ( EventType など) を選択し、任意のフィルターを選択します。
クエリの準備ができたら、青色の [ クエリの実行 ] ボタンを選択します。 ボタンが灰色表示されている場合は、クエリをさらに入力または編集する必要があります。
注:
基本的なフィルター ビューでは AND 演算子のみが使用されます。つまり、クエリを実行すると、すべてのセット フィルターが true である結果が生成されます。
サンプル クエリを読み込む
ガイド付きハンティングに慣れるもう 1 つの簡単な方法は、[サンプル クエリの読み込み] ドロップダウン メニューを使用して サンプル クエリを読み込 む方法です。
注:
サンプル クエリを選択すると、既存のクエリがオーバーライドされます。
サンプル クエリが読み込まれたら、[ クエリの実行] を選択します。
ドメインを以前に選択した場合は、使用可能なサンプル クエリの一覧がそれに応じて変更されます。
サンプル クエリの完全な一覧を復元するには、[ すべてのドメイン ] を選択し、[ サンプル クエリの読み込み] を再度開きます。
読み込まれたサンプル クエリで基本フィルター セットの外部でフィルターが使用されている場合、トグル ボタンは淡色表示されます。基本フィルター セットに戻るには、[ すべてクリア ] を選択し、[ すべてのフィルター] を切り替えます。
その他のフィルターを使用する
フィルター グループと条件をさらに表示するには、[ 切り替え] を選択して、その他のフィルターと条件を表示します。
[すべてのフィルター] トグルがアクティブな場合、ガイド付きモードでフィルターと条件の全範囲を使用できるようになりました。
条件を作成する
クエリで使用するデータのセットを指定するには、[フィルターの選択] を 選択します。 さまざまなフィルター セクションを調べて、利用できる内容を見つけます。
リストの上部にある検索ボックスにセクションのタイトルを入力して、フィルターを見つけます。 情報で終わるセクションには、見ることができるさまざまなコンポーネントに関する情報を提供するフィルターと、エンティティの状態のフィルターが含まれます。 イベントで終わるセクションには、エンティティで監視対象のイベントを検索できるフィルターが含まれています。 たとえば、特定のデバイスに関連するアクティビティを検索するには、[ デバイス イベント ] セクションの下のフィルターを使用できます。
注:
基本フィルター リストにないフィルターを選択すると、トグルが非アクティブ化または灰色表示され、基本フィルター ビューに戻ります。 クエリをリセットするか、現在のクエリ内の既存のフィルターを削除するには、[ すべてクリア] を選択します。 これにより、基本フィルターの一覧も再アクティブ化されます。
次に、適切な条件を設定して、2 番目のドロップダウン メニューからデータを選択し、必要に応じて 3 番目のドロップダウン メニューにエントリを指定して、データをさらにフィルター処理します。
AND 条件と OR 条件を使用して、クエリにさらに条件を追加できます。 AND はクエリ内のすべての条件を満たす結果を返し、OR はクエリ内のいずれかの条件を満たす結果を返します。
クエリを調整すると、大量のレコードを自動的に絞り込んで、特定の脅威ハンティングのニーズを既に対象としている結果の一覧を生成できます。
クエリの微調整に役立つ、サポートされているデータ型とその他のガイド付きモード機能については、「 ガイド付きモードでのクエリの絞り込み」を参照してください。
サンプル クエリのチュートリアルを試す
ガイド付きハンティングに慣れるもう 1 つの方法は、ガイド付きモードで事前に作成されたサンプル クエリを読み込む方法です。
ハンティング ページの [ 作業の開始 ] セクションで、読み込み可能なガイド付きクエリの例を 3 つ用意しました。 クエリの例には、ハンティングで通常必要となる最も一般的なフィルターと入力がいくつか含まれています。 3 つのサンプル クエリのいずれかを読み込むと、ガイド付きモードを使用してエントリを構築する方法のガイド付きツアーが開きます。
青色の教育バブルの指示に従って、クエリを作成します。 [クエリの実行] を選択します。
いくつかのクエリを試す
特定の IP への正常な接続を検索する
特定の IP アドレスへのネットワーク通信を成功させるには、"ip" と入力して推奨されるフィルターを取得します。
IP が通信の宛先である特定の IP アドレスに関連するイベントを探すには、[IP アドレス イベント] セクションでを選択 DestinationIPAddress します。 次に、 equals 演算子を 選択します。 3 番目のドロップダウン メニューに IP を入力し、 Enter キーを押します。
次に、成功したネットワーク通信イベントを検索する 2 つ目の条件を追加するには、特定のイベントの種類のフィルターを検索します。
EventType フィルターは、ログに記録されたさまざまなイベントの種類を検索します。 これは、高度なハンティングのほとんどのテーブルに存在する ActionType 列と同じです。 フィルター対象の 1 つ以上のイベントの種類を選択する場合に選択します。 成功したネットワーク通信イベントを探すには、[ DeviceNetworkEvents ] セクションを展開し、 を選択 ConnectionSuccessします。
最後に、[ クエリの実行 ] を選択して、52.168.117.170 IP アドレスへの正常なネットワーク通信をすべて検索します。
受信トレイに配信される信頼度の高いフィッシングメールまたはスパムメールを検索する
配信時に受信トレイ フォルダーに配信されたすべての信頼度の高いフィッシングメールとスパム メールを探すには、最初に [Email イベント] で [ConfidenceLevel] を選択し、[等しい] を選択し、複数選択をサポートする推奨されるクローズド リストから [フィッシング] と [スパム] の両方で [高] を選択します。
次に、フォルダーまたは DeliveryLocation、Inbox/folder を指定する別の条件を追加します。
関連項目
ヒント
さらに多くの情報を得るには、 Tech Community 内の Microsoft Security コミュニティにご参加ください: 「Microsoft Defender XDR Tech Community」。