自動攻撃の中断で自動応答から資産を除外する

排除ポリシーを使用して、Microsoft Defender XDRの自動攻撃妨害が特定の資産に選択された応答を適用しないようにしましょう。

自動攻撃妨害と排除ポリシーは連携して、アクティブなサイバー脅威を封じ込めます。 自動攻撃妨害は、攻撃者の意図を分析し、侵害された資産を特定するAI搭載の機能です。 デバイスを隔離したり、ユーザーアカウントを無効化したりして、進行中の攻撃を防ぐことができます。 排除ポリシーにより、セキュリティチームは特定の資産や行動をこれらの対応から除外できます。 例えば、重要なサーバーの孤立を防ぎ、重要なアカウントの無効化を防ぐことで、予期せぬビジネスの混乱を防ぐことができます。 自動応答に資産を含めるために、いつでも 除外を解除 できます。

前提条件

攻撃の中断の除外を管理するために必要なアクセス許可は、関連するワークロードMicrosoft Defender XDR統合ロールベースのアクセス制御 (RBAC) が有効になっているかどうかによって異なります。

デバイスの除外

以下の表は、デバイス除外管理に必要な権限を示しています。

統一RBACの有効化に関する情報は、「Microsoft Defender XDR Unified RBACの有効化」をご覧ください。

ID の除外

以下の表は、アイデンティティ除外を管理するために必要な権限を示しています。

除外の種類とアプローチ

特定の 資産を除外することも、運用上のニーズに基づいて 広範なポリシー駆動型ルール を構成することもできます。

アセットを除外する

ユーザー アカウントの除外により、 攻撃が検出されたときに特定のユーザー ID が自動的に無効にならないようにします。 これは、サービス アカウント、緊急管理者アカウント、または重要なビジネス プロセスをサポートする ID に使用します。

デバイス グループの除外 を使用すると、デバイスのグループに対して自動化レベルを設定し、検出された脅威に対するデバイスの対応を制御できます。 これを使用して、重要なインフラストラクチャ、レガシ システム、またはミッション クリティカルなアプリケーションを実行しているデバイスのビジネス継続性とセキュリティのバランスを取ります。

IP の除外により、特定の IP アドレスまたは範囲が自動的に含まれるのを防ぎます。 これは、重要なインフラストラクチャの IP 範囲、レガシ システム、または組織が依存している外部サービスに使用します。

ユーザー アカウントを除外する

重要なサービス アカウント、緊急管理者アカウント、または重要なビジネス プロセスをサポートする ID が攻撃中に自動的に無効にならないように、ユーザー アカウントを除外します。 これにより、他の侵害されたアカウントに対して中断アクションが続行される一方で、重要な機能のビジネス継続性を維持できます。

自動応答からユーザー アカウントを除外するには:

1. Microsoft Defender ポータルに移動し、サインインします。

2. 設定>Microsoft Defender XDR に移動します。

自動応答から 1 つ以上のユーザー アカウントを除外するには、次の手順に従います。

1. [ 自動応答] で、[ ID] を選択します。

2. [ ユーザー除外の追加] を選択します。 ポップアップ ウィンドウが表示されます。

   

3. ポップアップ ウィンドウで、[ ユーザーの選択 ] ボックスにユーザー アカウント名を入力し、除外するユーザー アカウントを選択します。

   

4. [ ユーザーの除外] を選択して除外を保存します。

デバイス グループを除外する

重要なインフラストラクチャ、レガシ システム、またはミッション クリティカルなアプリケーションを実行しているデバイスを自動封じ込めまたは分離から保護するために、デバイス グループを除外します。 この方法を使用すると、ほとんどの環境で中断を有効にしたまま、運用上の依存関係のために異なる処理を必要とする特定のデバイス グループを切り分けることができます。

自動応答からデバイス グループを除外するには:

1. Microsoft Defender ポータルに移動し、サインインします。

2. 設定>Microsoft Defender XDR に移動します。

3. [ 自動応答] で、[デバイス] を選択 します。

4. [ デバイス グループ ] タブで、一覧からグループ名の横にあるチェック ボックスをオンにしてデバイス グループを選択し、攻撃中断の自動化設定を構成します。

   

5. ポップアップ ウィンドウで、デバイス グループに適したオートメーション レベルを選択します。 デバイス グループに適した次のいずれかの自動化レベルから選択できます。

   • フル - 脅威に自動的に対処: 脅威が検出されると、デバイスを自動的に隔離します。
   • 半自動 - コア フォルダーには承認が必要: アラートを受信するとデバイスを自動的に調査し、コア システム フォルダー内の項目を除く項目に修復アクションを適用します。 コア フォルダーの修復アクションには承認が必要です。
   • 半自動 - 一時フォルダー以外のフォルダーでは承認が必要: アラートを受信すると、一時フォルダーおよびダウンロード フォルダー内のアクションを自動的に調査し、修復対応を適用します。 その他のすべての修復アクションには、承認が必要です。
   • Semi - すべてのフォルダーの承認が必要: アラートが受信されたときにデバイスを自動的に調査します。 すべての修復アクションには承認が必要です。
   • 自動応答なし: このグループ内のデバイスに対する自動調査や応答は行われません。

   

6. [ 保存] を 選択して、デバイス グループのオートメーション レベルを保存します。

IP アドレスを除外する

重要なインフラストラクチャの IP 範囲、レガシ システム、または外部サービスが自動的にブロックされないように、IP アドレスを除外します。 この方法は、組織が依存するネットワーク リソースを保護するのに役立ちますが、自動化された封じ込めには柔軟に対応できない可能性があります。

自動応答から IP アドレスを除外するには:

1. Microsoft Defender ポータルに移動し、サインインします。

2. 設定>Microsoft Defender XDR に移動します。

3. [ 自動応答] で、[デバイス] を選択 します。

   

4. ポリシーアプリケーションタブで「IPを除外」を選択してIPアドレスを除外します。

   

5. ポップアップ ウィンドウで、除外する IP アドレス/IP 範囲/IP サブネットを入力します。 複数の IP アドレスと IP サブネットをコンマで区切って追加できます。

   

6. 除外の名前とメモを追加します。 [ 作成] を 選択して除外を保存します。

ポリシーの適用と除外 (プレビュー)

自動攻撃の中断によって、ユーザーまたはデバイスが侵害されたことが確実に検出されると、組織内の管理対象デバイスに封じ込めポリシーが自動的に適用されます。 これらのポリシーは、脅威を封じ込め、環境全体に広がるのを防ぐのに役立ちます。

ポリシー適用除外は、環境内での自動攻撃中断執行ポリシーの適用方法を細かく制御できます。 特定の妨害ポリシーを受けるべきでないデバイスを定義できます。 この柔軟性により、機微で運用上重要な、例外ベースのシステムを保護しつつ、自動攻撃妨害を完全に無効化します。

ポリシー アプリケーションと除外を使用すると、次のことができるようになります。

• 動的タグを使用して複数のデバイスの保護をグループとして管理する
• 特定の保護を選択的に無効にしながら、ほとんどの中断制御をアクティブに保つ
• デバイスのタグ付けされたグループごとに、どの中断ポリシー制御が有効または除外されるかを一元的に制御する

まずタグを作成するか、既存のタグを使ってデバイスを定義します。 次に、そのタグに適用されるルールを作成します。 たとえば、特定の部署のすべてのサーバーにタグを作成し、そのタグに適用されるポリシー アプリケーションを作成できます。 既定では、すべてのポリシーコントロールが有効になっています。 タグ付きのデバイス向けにポリシーアプリケーションを設定することで、ディスラプションを有効にし、そのグループに対して特定のコントロールのみを除外できます。

タグを作成する

ポリシー アプリケーションのデバイスをグループ化するタグを作成します。

タグを作成するには、Microsoft Defender ポータルで資産ルール管理に移動し、[タグの作成] を選択します。 タグの名前と説明を指定し、デバイスの種類、オペレーティング システム、その他の属性などのデバイス プロパティに基づいて、タグにデバイスを自動的に含める動的ルールを定義します。

ポリシーアプリケーションを作成する

1. Microsoft Defender ポータルに移動し、サインインします。

2. 設定>Microsoft Defender XDR に移動します。

タグ付きデバイス用のポリシー適用ルールを作成するには、以下の手順に従ってください:

1. [ 自動応答] で、[デバイス] を選択 します。

   

2. [ ポリシー アプリケーション ] タブで、[ ルールの作成] を選択します。

   

3. ポリシーの名前と説明を入力し、[ 次へ] を選択します。

   

4. ポリシーを適用するタグを選択し、 次に選択します。

5. タグ付けされたデバイスで無効にしたい妨害コントロールを設定し、 次に選択します。

   

6. ポリシー アプリケーションを確認して送信します。

除外を削除する

除外を削除すると、資産を攻撃の中断に対する自動応答に再び含められます。 除外が削除されると、資産は自動応答から除外されなくなり、攻撃の中断をトリガーする攻撃に関与している場合は自動的に含めることができます。

Microsoft Defender ポータルで、[>自動応答] に移動します。 次に、適切なタブを使用して除外を削除します。

• Identities ページに移動します。 一覧から削除するユーザー アカウントを選択し、[削除] を選択 します。

• [デバイス] ページに移動し、[IP] タブに移動します。一覧から削除する IP アドレスを選択し、[除外の削除] を選択します。

• デバイス グループの除外は、[ デバイス グループ ] タブで構成できます。一覧から構成するデバイス グループを選択し、ポップアップ ウィンドウから適切な除外を選択します。 [ 保存] を選択 して除外を保存します。

ポリシー アプリケーションを編集または削除するには、[ ポリシー アプリケーション ] タブに移動し、削除するポリシー アプリケーションのタグを選択します。 [編集] または [削除] を選択します。

自動攻撃妨害のオプトアウト

攻撃の中断をオプトアウトすると、セキュリティ リスクが大幅に増加する可能性があります。 完全にオプトアウトするのではなく、 特定の団体を除外 し、自動応答を特定の資産のみに限定することを検討してください。

攻撃の中断をオプトアウトする必要がある場合は、Microsoft Defender ポータルでサポート ケースを開き、対象の攻撃の中断をオプトアウトします。要求に、攻撃の中断をオプトアウトすることを指定し、決定に関する簡単な説明を含めます。 このフィードバックは、機能を改善し、顧客のニーズをよりよく理解するのに役立ちます。 オプトアウトすると、攻撃の中断に関連するアラートは引き続き受け取られますが、自動アクションは実行されません。

関連するコンテンツ

攻撃の中断の詳細については、次の記事を参照してください。

• 自動攻撃中断アクションの詳細と結果を表示する