Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
Microsoft Defender for Endpointによるインシデント調査
Search
Kunii, Suguru
February 10, 2023
Technology
3
4.4k
Microsoft Defender for Endpointによるインシデント調査
2023年2月10日開催のEMS勉強会での資料です
Kunii, Suguru
February 10, 2023
Tweet
Share
More Decks by Kunii, Suguru
See All by Kunii, Suguru
Microsoft Intune アプリのトラブルシューティング
sophiakunii
1
770
実録 Intune デバイス登録トラブルシューティング
sophiakunii
0
87
Microsoft 365 でデータセキュリティを強化しよう
sophiakunii
2
760
なんでもCopilot for Security
sophiakunii
4
4.5k
Monthly Microsoft Intune Briefing Call Japan #2
sophiakunii
0
140
Copilot for Security を使った MDE / Sentinel のログ調査
sophiakunii
3
500
Microsoft Defender for Endpoint でインシデント対応する上で知っておきたい Windows の知識
sophiakunii
0
270
Microsoft Defender for Endpoint でインシデント対応する上で知っておきたい Windows の知識
sophiakunii
6
4.9k
Microsoft Cloud Security Benchmarkから学ぶMicrosoft Defender for Cloud
sophiakunii
4
950
Other Decks in Technology
See All in Technology
あなたが人生で成功するための5つの普遍的法則 #jawsug #jawsdays2025 / 20250301 HEROZ
yoshidashingo
2
320
2/18 Making Security Scale: メルカリが考えるセキュリティ戦略 - Coincheck x LayerX x Mercari
jsonf
0
240
ABWG2024採択者が語るエンジニアとしての自分自身の見つけ方〜発信して、つながって、世界を広げていく〜
maimyyym
1
190
AIエージェント元年@日本生成AIユーザ会
shukob
1
240
LINE NEWSにおけるバックエンド開発
lycorptech_jp
PRO
0
330
【5分でわかる】セーフィー エンジニア向け会社紹介
safie_recruit
0
19k
IoTシステム開発の複雑さを低減するための統合的アーキテクチャ
kentaro
1
120
遷移の高速化 ヤフートップの試行錯誤
narirou
6
1.8k
実は強い 非ViTな画像認識モデル
tattaka
3
1.4k
Platform Engineeringで クラウドの「楽しくない」を解消しよう
jacopen
4
120
Snowflakeの開発・運用コストをApache Icebergで効率化しよう!~機能と活用例のご紹介~
sagara
1
500
Global Databaseで実現するマルチリージョン自動切替とBlue/Greenデプロイ
j2yano
0
140
Featured
See All Featured
Statistics for Hackers
jakevdp
797
220k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
330
21k
個人開発の失敗を避けるイケてる考え方 / tips for indie hackers
panda_program
100
18k
jQuery: Nuts, Bolts and Bling
dougneiner
63
7.7k
A better future with KSS
kneath
238
17k
How STYLIGHT went responsive
nonsquared
99
5.4k
Fight the Zombie Pattern Library - RWD Summit 2016
marcelosomers
233
17k
Code Review Best Practice
trishagee
67
18k
How to Ace a Technical Interview
jacobian
276
23k
Fantastic passwords and where to find them - at NoRuKo
philnash
51
3k
Understanding Cognitive Biases in Performance Measurement
bluesmoon
27
1.6k
A designer walks into a library…
pauljervisheath
205
24k
Transcript
Microsoft Defender for Endpoint による インシデント調査 (Live!) 株式会社エストディアン 国井 傑
(くにい すぐる)
2 自己紹介 • 国井 傑 (くにい すぐる) • 株式会社エストディアン 所属
• マイクロソフト認定トレーナー (1997~2023) • Microsoft MVP for Enterprise Mobility, Security (2006~2023) • http://AzureAD.net • 主な職務・実績 • ID 関連技術/運用管理を中心としたトレーニング • 評価ガイド執筆多数 (MECM, Microsoft Defender 等) • テクニカル ライター (@IT, ITpro, ZDNet Japan 等)
3 自動調査 • 侵入の検出から調査、対処までを自動化 • AI ベースでの脅威の重要度の特定 • 対象となるコンピューターとオートメーションレベルを定義するだけで 自動調査を開始
侵入の検出 対象となる デバイスの特定 脅威の種類の特定 修復の完了 管理者の承認 修復ソースの確認 ファイル, IP 等の分析 AntiVirus 定義ファイル ファイアウォールの規則
4 Cyber Kill Chain フィッシングメール 悪質な添付ファイル フィッシングリンクをクリック 端末感染 攻撃者サーバーとの 接続
ブルートフォース 漏洩した資格情報 ユーザアカウントの 乗っ取り 横方向移動 特権アカウントの 乗っ取り ドメイン 乗っ取り 機密情報への アクセス データ 摂取/改ざん 永続化 + フィッシングサイト 閲覧 偵察・武器化 デリバリー エクスプロイト 侵入 潜伏活動 目的の実行 サイバー攻撃のプロセスを構造化して表現 (以下は標的型攻撃の例)
5 アラートとインシデント インシデント アラート アラート 推奨されないような特定の事象が発生した時に出力する内容 個々のアラートの詳細を確認していくことが次のステップになる インシデント 一連の攻撃や関連するアラートをひとまとめにしたもの。 まずはここから調査を開始する。
影響を受けるエンドポイントの数、影響を受けるユーザー、 検出ソース、カテゴリなどの通知属性に基づいて自動的に生成。
6 デバイスのインベントリ デバイスのアクティビティをデバイス単位で参照 デバイスの 基本情報 アクティビティを 時系列に表示
7 インシデントとアラートの検出 インシデント インシデント内のアラート インシデントと判定した要因
8 アラートでの検出 特定のアラートの詳細 アラートを発生させた事象 に関わるプロセスツリー
9 アラートのストーリーから分析 Powershell.exe から notepad.exe を呼び出している notepad.exe にプロセスが注入 され、悪意のコードが実行された プロセスが注入により
204.79.797.203 へ の通信が行われた Powershell.exe は explorer.exe から呼び出されている
10 ファイルの分析 組織内で同じ不正アクセスに 遭ったデバイス数を把握 ファイルに対する操作 ファイルの詳細分析
11 タイムラインから分析 アラート記載のログ日時 powershell_ise.exe から実行 powershell_ise.exe から実行 した最初のログではレジストリ アクセスを行っている
12 Advanced Hunting • Microsoft Defender for Endpoint で収集した内容に対するクエリ機能 •
特定のインシデントの検索やインシデントの影響範囲の調査に有効 PowerShell によるダウンロー ド処理を行ったイベントを検索 該当するイベントを発見 該当する時間のイベントを確認すると.. cmd.exe から PowerShell が 実行され、ダウンロード処理が 発生していることがわかる