ドメインと URL を調査する

  • 適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

ドメインを調査して、エンタープライズ ネットワーク内のデバイスとサーバーが既知の悪意のあるドメインと通信しているかどうかを確認します。

URL またはドメインを調査するには、検索機能、インシデント エクスペリエンス ([証拠] タブ、またはアラート ストーリーから)、高度なハンティングから、電子メール ページとサイド パネルから、または [デバイス] タイムラインの [URL またはドメイン] リンクをクリックします。

URL とドメイン ビューでは、次のセクションの情報を確認できます。

  • ドメインの詳細、登録者の連絡先情報

  • Microsoft の評決

  • この URL またはドメインに関連するインシデントとアラート

  • organization内の URL またはドメインの普及率

  • URL またはドメインを持つ最新の観察済みデバイス

  • URL またはドメインを含む最新のメール

  • URL またはドメインへの最新のクリック

メイン URL/ドメイン ページ

ドメイン エンティティ ページを確認する

URL ページまたはサイド パネルのドメインの詳細からドメイン ページにピボットできます。[ ドメイン ページの表示 ] リンクをクリックするだけです。 ドメイン エンティティには、完全修飾ドメイン名 (FQDN) を持つ URL のすべてのデータの集計が表示されます。 たとえば、1 つのデバイスが sub.domain.tld/path1との通信を観察し、別のデバイスが sub.domain.tld/path2と通信している場合、それらの各 URL には 1 つのデバイスの観察が表示され、ドメインには 2 つのデバイスの観察が表示されます。 ただし、othersub.domain.tld/path などの別のサブドメインと通信していたデバイスは、sub.domain.tld ドメインページではなく、othersub.domain.tld に関連付けられます。

URL とドメイン ページの概要

URL の概要セクションには、URL、whois の詳細へのリンク、関連するオープン インシデントの数、アクティブなアラートの数、影響を受けるデバイスの数、電子メール、観察されたユーザークリックの数が一覧表示されます。

URL の概要の詳細

クエリ パラメーターとアプリケーション レベルのプロトコルを使用して、元の URL (既存の URL 情報) を表示します。 ドメインの詳細セクションには、登録日、変更日、登録者の連絡先情報など、ドメインの完全な詳細が含まれています。

[URL とドメイン] ページには、URL またはドメイン、デバイスの普及率、電子メール、ユーザークリックのMicrosoft判定も表示されます。 デバイスの普及率セクションでは、過去 30 日間に URL またはドメインと通信したデバイスの数を確認し、デバイス タイムラインの最初または最後のイベントにすぐにピボットできます。 初期アクセスを調査するため、または環境内に悪意のあるアクティビティが残っている場合。

インシデントとアラートの概要

[インシデントとアラート] セクションには、過去 180 日間のインシデントのすべてのアクティブなアラートの棒グラフが表示されます。

Microsoft の評決

Microsoft判定セクションには、Microsoft脅威インテリジェンス (TI) ライブラリからの URL またはドメインの判定が表示されます。 URL またはドメインが既にフィッシングまたは悪意のあるエンティティと呼ばれるかどうかを示します。

有 病 率

[有病率] セクションには、過去 30 日間のorganization内の URL の普及率の詳細と傾向グラフが表示されます。これは、特定の期間に URL またはドメインと通信した個別のデバイスの数を示します。 次に、過去 30 日間に URL と通信した最初と最後のデバイスの監視の詳細を確認できます。ここで、デバイスタイムラインにすぐにピボットし、フィッシング リンクからの初期アクセスを調査したり、環境内に悪意のある通信が残っている場合は確認できます。

インシデントと警告

[ インシデントとアラート ] タブを使用して、URL またはドメインに関連付けられているインシデントを確認します。

URL またはドメインに関連付けられているインシデントを一覧表示する [インシデントとアラート] タブのスクリーンショット。

[インシデントとアラート] タブには、URL またはドメインに関連付けられているインシデントの一覧が表示されます。 [ インシデントとアラート ] タブのインシデント テーブルは、[インシデント キュー] 画面に表示されるインシデントのフィルター処理されたバージョンで、URL またはドメインに関連付けられているインシデント、重大度、影響を受ける資産などが表示されます。

[インシデントとアラート] タブは、列ヘッダーの上にあるアクション メニューから [ 列のカスタマイズ ] を選択することで、多かれ少なかれ情報を表示するように調整できます。 表示される項目の数は、同じメニューでページごとに項目を選択することで調整することもできます。

URL またはドメインに関連付けられているデバイスを表示する

時間の経過と共に URL またはドメインと通信した個別のデバイスの数を示す [デバイス] タブのスクリーンショット。

[デバイス] タブには、特定の URL またはドメインについて観察されたすべてのデバイスの時系列ビューが表示されます。 [デバイス] タブには、傾向グラフと、リスク レベル、ドメインなどのデバイスの詳細を一覧表示するカスタマイズ可能なテーブルが含まれています。 [デバイス] タブには、デバイスが URL またはドメインと対話した最初と最後のイベント時刻と、各イベントのアクションの種類も表示されます。 デバイス名の横にあるメニューを使用すると、デバイス タイムラインにすばやくピボットして、この URL またはドメインに関係するイベントの前後に何が起こったかをさらに調査できます。

既定の期間は過去 30 日間ですが、カードの隅にあるドロップダウンから期間をカスタマイズできます。 最も短い範囲は過去 1 日の普及に使用でき、最も長い範囲は過去 6 か月間です。

テーブルの上にあるエクスポート ボタンを使用すると、すべてのデータを .csv ファイル (最初と最後のイベント時刻とアクションの種類を含む) にエクスポートして、さらに調査およびレポートを行うことができます。

URL またはドメインに関連付けられている電子メールを確認する

[電子メール] タブには、URL またはドメインを含む過去 30 日間に観察されたすべてのメールの詳細ビューが表示されます。 [電子メール] タブには、傾向グラフと、件名、送信者、受信者などの電子メールの詳細を一覧表示するカスタマイズ可能なテーブルが含まれています。

URL/ドメインを調査するための [電子メール] タブ

URL またはドメインのクリック アクティビティを確認する

[クリック] タブには、過去 30 日間に観察されたすべての URL またはドメインへのクリックの詳細が表示されます。

URL またはドメインを調査する

URL またはドメインを調査するには、次の手順に従います。

  1. [検索バー] ドロップダウン メニューから [URL] を選択します。

  2. [ 検索 ] フィールドに URL を入力します。 または、[インシデント攻撃ストーリー] タブ、デバイス タイムライン、高度なハンティング、または電子メールのサイド パネルとページから URL またはドメインに移動することもできます。

  3. 検索アイコンをクリックするか 、Enter キーを押します。 URL の詳細が表示されます。

    注:

    検索結果は、organization内のデバイスからの通信で観察された URL に対してのみ返されます。

  4. 検索条件を定義するには、検索フィルターを使用します。 また、タイムライン検索ボックスを使用して、URL との通信を観察したorganizationのすべてのデバイスの表示結果、通信に関連付けられたファイル、および最後に観察された日付をフィルター処理することもできます。

  5. デバイス名をクリックすると、そのデバイスのビューに移動し、報告されたアラート、動作、イベントを引き続き調査できます。

  6. URL またはドメインの判定に同意しない場合は、分析のために [Microsoftに送信] を選択して、それをクリーン、フィッシング、または悪意のあるものとしてMicrosoftに報告できます。

[URL/ドメイン] ページの [分析用に送信] オプション

  • Last updated on