高度なハンティングを使用してアプリ コントロール イベントを一元的に照会する
App Control for Business ポリシーは、Windows イベント ビューアーのイベントを適用モードまたは監査モードでローカルにログに記録します。 イベント ビューアーは 1 つのシステムへの影響を確認するのに役立ちますが、IT 担当者は多くのシステムで評価したいと考えています。
2018 年 11 月に、Microsoft Defender for Endpointに機能を追加しました。これにより、接続されているすべてのシステムから App Control イベントを一元的に簡単に表示できます。
Microsoft Defender for Endpointの高度なハンティングを使用すると、豊富な機能セットを使用してデータに対してクエリを実行できます。 アプリ コントロール イベントは、"AppControl" で始まる ActionType を使用してクエリを実行できます。 この機能は、Windows バージョン 1607 以降でサポートされています。
アクションの種類
| ActionType 名 | ETW ソース イベント ID | 説明 |
|---|---|---|
| AppControlCodeIntegrityDriverRevoked | 3023 | 検証中のドライバー ファイルが、アプリ制御ポリシーに合格するための要件を満たしていませんでした。 |
| AppControlCodeIntegrityImageRevoked | 3036 | 検証中の署名済みファイルは、Microsoft または証明書発行元によって取り消されたコード署名証明書によって署名されます。 |
| AppControlCodeIntegrityPolicyAudited | 3076 | このイベントは、監査モード ポリシーのメイン App Control for Business ブロック イベントです。 アプリ制御ポリシーが適用された場合、ファイルがブロックされたことを示します。 |
| AppControlCodeIntegrityPolicyBlocked | 3077 | このイベントは、適用されたポリシーのメイン App Control for Business ブロック イベントです。 これは、ファイルがアプリ制御ポリシーに合格せず、ブロックされたことを示します。 |
| AppControlExecutableAudited | 8003 | 監査のみの適用モードが有効になっている場合にのみ適用されます。 [規則の適用] モードが有効になっている場合にブロックされる .exe または .dll ファイルを指定します。 |
| AppControlExecutableBlocked | 8004 | .exe または .dll ファイルを実行できません。 |
| AppControlPackagedAppAudited | 8021 | 監査のみの適用モードが有効になっている場合にのみ適用されます。 [ルールの適用] 適用モードが有効になっている場合に、パッケージ化されたアプリがブロックされることを指定します。 |
| AppControlPackagedAppBlocked | 8022 | パッケージ化されたアプリがポリシーによってブロックされました。 |
| AppControlScriptAudited | 8006 | 監査のみの適用モードが有効になっている場合にのみ適用されます。 [ルールの適用] 適用モードが有効になっている場合にブロックされるスクリプトまたは .msi ファイルを指定します。 |
| AppControlScriptBlocked | 8007 | ファイル名へのアクセスは管理者によって制限されます。 [ルールの適用] 適用モードが、継承によって直接または間接的に設定グループ ポリシー場合にのみ適用されます。 スクリプトまたは .msi ファイルを実行できません。 |
| AppControlCIScriptAudited | 8028 | スクリプトによって呼び出される Windows LockDown Policy (WLDP) によって生成された監査スクリプト/MSI ファイルは、自身をホストします。 |
| AppControlCIScriptBlocked | 8029 | スクリプトによって呼び出される Windows LockDown Policy (WLDP) によって生成されたスクリプト/MSI ファイルをブロックします。 |
| AppControlCodeIntegrityOriginAllowed | 3090 | ファイルは、評判の良い (ISG) またはインストール ソース (マネージド インストーラー) が原因で許可されました。 |
| AppControlCodeIntegrityOriginAudited | 3091 | 監査されたファイルの評判 (ISG) とインストール ソース (マネージド インストーラー) 情報。 |
| AppControlCodeIntegrityOriginBlocked | 3092 | ブロックされたファイルの評判 (ISG) とインストール ソース (マネージド インストーラー) 情報。 |
| AppControlCodeIntegrityPolicyLoaded | 3099 | ポリシーが正常に読み込まれたを示します。 |
| AppControlCodeIntegritySigningInformation | 3089 | 署名情報イベントは、3076 イベントまたは 3077 イベントと関連付けられます。 ファイルのシグネチャごとに 1 つの 3089 イベントが生成されます。 |
| AppControlPolicyApplied | 8001 | AppLocker ポリシーがコンピューターに正常に適用されたことを示します。 |
アプリコントロールイベント ID (Windows) について詳しく知る
高度なハンティング アプリ コントロール クエリの例
クエリ例 1: 過去 7 日間の種類別にまとめられたアプリ コントロール アクションの種類に対してクエリを実行する
ここでは、Microsoft Defender for Endpointによって監視されているマシンから過去 7 日間に生成されたすべての App Control for Business イベントを示す簡単なクエリ例を示します。
DeviceEvents
| where Timestamp > ago(7d) and
ActionType startswith "AppControl"
| summarize Machines=dcount(DeviceName) by ActionType
| order by Machines desc
クエリ結果は、App Control for Business の管理に関連する次のようないくつかの重要な機能に使用できます。
- 監査モードでのポリシーの展開の影響を評価する アプリケーションは引き続き監査モードで実行されるため、ポリシーに含まれるルールの影響と正確性を確認する理想的な方法です。 生成されたイベントを Advanced Hunting と統合すると、監査モード ポリシーの広範な展開を簡単に行い、含まれているルールが実際の使用でこれらのシステムにどのような影響を与えるかを確認できます。 この監査モード データは、適用モードでのポリシーの使用への移行を効率化するのに役立ちます。
- 強制モードでのポリシーからのブロックの監視 強制モードで展開されたポリシーは、含まれている許可規則のいずれかを満たしていなかった実行可能ファイルまたはスクリプトをブロックする可能性があります。 正当な新しいアプリケーションや更新プログラム、または望ましくない可能性のあるソフトウェアや悪意のあるソフトウェアがブロックされる可能性があります。 どちらの場合も、高度なハンティング クエリによってブロックがレポートされ、さらに調査されます。
クエリの例 #2: 過去 7 日間の監査ブロックを特定するためのクエリ
DeviceEvents
| where ActionType startswith "AppControlExecutableAudited"
| where Timestamp > ago(7d)
|project DeviceId, // the device ID where the audit block happened
FileName, // The audit blocked app's filename
FolderPath, // The audit blocked app's system path without the FileName
InitiatingProcessFileName, // The file name of the parent process loading the executable
InitiatingProcessVersionInfoCompanyName, // The company name of the parent process loading the executable
InitiatingProcessVersionInfoOriginalFileName, // The original file name of the parent process loading the executable
InitiatingProcessVersionInfoProductName, // The product name of the parent process loading the executable
InitiatingProcessSHA256, // The SHA256 flat hash of the parent process loading the executable
Timestamp, // The event creation timestamp
ReportId, // The report ID - randomly generated by MDE AH
InitiatingProcessVersionInfoProductVersion, // The product version of the parent process loading the executable
InitiatingProcessVersionInfoFileDescription, // The file description of the parent process loading the executable
AdditionalFields // Additional fields contains FQBN for signed binaries. These contain the CN of the leaf certificate, product name, original filename and version of the audited binary