Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
Microsoft Defender for Endpointによるインシデント調査
Search
Kunii, Suguru
February 10, 2023
Technology
3
4.8k
Microsoft Defender for Endpointによるインシデント調査
2023年2月10日開催のEMS勉強会での資料です
Kunii, Suguru
February 10, 2023
Tweet
Share
More Decks by Kunii, Suguru
See All by Kunii, Suguru
Microsoft Defender XDRで疲弊しないためのインシデント対応
sophiakunii
3
450
Microsoft Intune アプリのトラブルシューティング
sophiakunii
1
1.3k
実録 Intune デバイス登録トラブルシューティング
sophiakunii
0
150
Microsoft 365 でデータセキュリティを強化しよう
sophiakunii
2
980
なんでもCopilot for Security
sophiakunii
4
4.8k
Monthly Microsoft Intune Briefing Call Japan #2
sophiakunii
0
150
Copilot for Security を使った MDE / Sentinel のログ調査
sophiakunii
3
590
Microsoft Defender for Endpoint でインシデント対応する上で知っておきたい Windows の知識
sophiakunii
0
310
Microsoft Defender for Endpoint でインシデント対応する上で知っておきたい Windows の知識
sophiakunii
6
5.3k
Other Decks in Technology
See All in Technology
마라톤 끝의 단거리 스퍼트: 2025년의 AI
inureyes
PRO
1
680
o11yツールを乗り換えた話
tak0x00
1
130
人に寄り添うAIエージェントとアーキテクチャ #BetAIDay
layerx
PRO
8
2k
データ基盤の管理者からGoogle Cloud全体の管理者になっていた話
zozotech
PRO
0
330
反脆弱性(アンチフラジャイル)とデータ基盤構築
cuebic9bic
2
160
専門分化が進む分業下でもユーザーが本当に欲しかったものを追求するプロダクトマネジメント/Focus on real user needs despite deep specialization and division of labor
moriyuya
0
1k
AIエージェントを現場で使う / 2025.08.07 著者陣に聞く!現場で活用するためのAIエージェント実践入門(Findyランチセッション)
smiyawaki0820
6
580
AWS DDoS攻撃防御の最前線
ryutakondo
0
100
VLMサービスを用いた請求書データ化検証 / SaaSxML_Session_1
sansan_randd
0
220
JAWS AI/ML #30 AI コーディング IDE "Kiro" を触ってみよう
inariku
3
270
「育てる」サーバーレス 〜チーム開発研修で学んだ、小さく始めて大きく拡張するAWS設計〜
yu_kod
1
250
Jamf Connect ZTNAとMDMで実現! 金融ベンチャーにおける「デバイストラスト」実例と軌跡 / Kyash Device Trust
rela1470
0
120
Featured
See All Featured
Intergalactic Javascript Robots from Outer Space
tanoku
272
27k
Templates, Plugins, & Blocks: Oh My! Creating the theme that thinks of everything
marktimemedia
31
2.5k
Statistics for Hackers
jakevdp
799
220k
Balancing Empowerment & Direction
lara
1
530
Understanding Cognitive Biases in Performance Measurement
bluesmoon
29
1.8k
JavaScript: Past, Present, and Future - NDC Porto 2020
reverentgeek
50
5.5k
I Don’t Have Time: Getting Over the Fear to Launch Your Podcast
jcasabona
33
2.4k
GitHub's CSS Performance
jonrohan
1031
460k
The Power of CSS Pseudo Elements
geoffreycrofte
77
5.9k
Why You Should Never Use an ORM
jnunemaker
PRO
58
9.5k
Making the Leap to Tech Lead
cromwellryan
134
9.5k
Into the Great Unknown - MozCon
thekraken
40
2k
Transcript
Microsoft Defender for Endpoint による インシデント調査 (Live!) 株式会社エストディアン 国井 傑
(くにい すぐる)
2 自己紹介 • 国井 傑 (くにい すぐる) • 株式会社エストディアン 所属
• マイクロソフト認定トレーナー (1997~2023) • Microsoft MVP for Enterprise Mobility, Security (2006~2023) • http://AzureAD.net • 主な職務・実績 • ID 関連技術/運用管理を中心としたトレーニング • 評価ガイド執筆多数 (MECM, Microsoft Defender 等) • テクニカル ライター (@IT, ITpro, ZDNet Japan 等)
3 自動調査 • 侵入の検出から調査、対処までを自動化 • AI ベースでの脅威の重要度の特定 • 対象となるコンピューターとオートメーションレベルを定義するだけで 自動調査を開始
侵入の検出 対象となる デバイスの特定 脅威の種類の特定 修復の完了 管理者の承認 修復ソースの確認 ファイル, IP 等の分析 AntiVirus 定義ファイル ファイアウォールの規則
4 Cyber Kill Chain フィッシングメール 悪質な添付ファイル フィッシングリンクをクリック 端末感染 攻撃者サーバーとの 接続
ブルートフォース 漏洩した資格情報 ユーザアカウントの 乗っ取り 横方向移動 特権アカウントの 乗っ取り ドメイン 乗っ取り 機密情報への アクセス データ 摂取/改ざん 永続化 + フィッシングサイト 閲覧 偵察・武器化 デリバリー エクスプロイト 侵入 潜伏活動 目的の実行 サイバー攻撃のプロセスを構造化して表現 (以下は標的型攻撃の例)
5 アラートとインシデント インシデント アラート アラート 推奨されないような特定の事象が発生した時に出力する内容 個々のアラートの詳細を確認していくことが次のステップになる インシデント 一連の攻撃や関連するアラートをひとまとめにしたもの。 まずはここから調査を開始する。
影響を受けるエンドポイントの数、影響を受けるユーザー、 検出ソース、カテゴリなどの通知属性に基づいて自動的に生成。
6 デバイスのインベントリ デバイスのアクティビティをデバイス単位で参照 デバイスの 基本情報 アクティビティを 時系列に表示
7 インシデントとアラートの検出 インシデント インシデント内のアラート インシデントと判定した要因
8 アラートでの検出 特定のアラートの詳細 アラートを発生させた事象 に関わるプロセスツリー
9 アラートのストーリーから分析 Powershell.exe から notepad.exe を呼び出している notepad.exe にプロセスが注入 され、悪意のコードが実行された プロセスが注入により
204.79.797.203 へ の通信が行われた Powershell.exe は explorer.exe から呼び出されている
10 ファイルの分析 組織内で同じ不正アクセスに 遭ったデバイス数を把握 ファイルに対する操作 ファイルの詳細分析
11 タイムラインから分析 アラート記載のログ日時 powershell_ise.exe から実行 powershell_ise.exe から実行 した最初のログではレジストリ アクセスを行っている
12 Advanced Hunting • Microsoft Defender for Endpoint で収集した内容に対するクエリ機能 •
特定のインシデントの検索やインシデントの影響範囲の調査に有効 PowerShell によるダウンロー ド処理を行ったイベントを検索 該当するイベントを発見 該当する時間のイベントを確認すると.. cmd.exe から PowerShell が 実行され、ダウンロード処理が 発生していることがわかる