概要
SCU コスト見積もり
このエージェントは通常消費します 0.2〜3 SCU インシデントの複雑さ、関与するエンティティ数、および脅威インテリジェンスの強化の深さに応じた、インシデントごとの分析。
導入
Forensic Agent Core は自動化されたインシデント解析ツールです。Defender XDR のインシデントを見て「散在するアラートだけでなく、全体像が欲しい」と思ったことがあるなら、このエージェントが適しています。インシデントIDを受け取り、関連するすべてを収集して脅威インテリジェンスで強化し、分単位のタイムラインを構築して、通常は数時間かかる詳細なフォレンジック報告を提供します。
機能概要
インシデントのタイムラインを再構築 散在するアラートやイベントから分単位で
エンティティを抽出してマッピング （デバイス、ユーザー、IP、ドメイン、ファイル、ハッシュ）とそれらの関係性
脅威インテリジェンスで強化 複数のソース（Shodan、SSL証明書、WHOIS、CIRCL、レピュテーションサービス）を使用して
デバイスのセキュリティ姿勢を分析 脆弱性、ソフトウェア、および構成を表示
アイデンティティの活動を追跡 リスクイベントと認証パターンを含む
アナリストのコメントを相関 調査コンテキストを提供するために
インシデントを分類 真陽性、偽陽性、または悪意の有無のスコアリングでエスカレーションが必要かどうかとして
修復を推奨 優先順位付けされた実行可能な手順とともに
標準化されたレポートを生成 引き継ぎ、監査、またはエスカレーションに対応できる状態で
ユースケース
1. インシデントのトリアージと初期評価
重大度の高い新しいインシデントが発生し、何が起きたのかを迅速に把握する必要があります。Forensic Agent Core はインシデントを解析し、タイムラインを構築し、主要なエンティティを特定し、信頼度スコア付きで分類（真/偽陽性）を提供します。30〜60分かけてコンテキストを収集する代わりに、数分で全体像が得られます。
2. 管理層向けのインシデント報告書の準備
経営陣はセキュリティインシデントの明確な説明を求めます。エージェントはエグゼクティブサマリー、タイムライン、エンティティマップ、脅威インテリ結果、修復推奨を含む包括的なフォレンジック報告を生成します。すべてが標準化されており、手動での報告書作成は不要です。
3. 脅威インテリジェンスの強化
インシデントに外部のIPやドメインが関与しているが、それらが悪意あるものか分からない場合。Forensic Agent Core はすべての指標をオープンソースおよび商用の脅威インテリジェンス（Shodanのポートスキャン、SSL証明書解析、WHOISデータ、マルウェア関連、レピュテーションスコア）で強化します。実際に重要な点を浮き彫りにするキュレーションされたインテリジェンスが得られます。
4. 深堀りフォレンジック分析
重要なインシデントは対応前に詳細な調査が必要です。エージェントは高度なハンティングクエリを実行し、関連するすべてのエンティティを抽出し、デバイスとアイデンティティの姿勢を分析し、イベントを正確なタイムラインに相関させ、いつ何がどのように起きたかについてフォレンジックレベルの詳細を提供します。手動での相関作業を何時間も節約します。
5. SOCチームの引き継ぎとエスカレーション
インシデントをTier 2や外部のフォレンジックチームにエスカレーションする必要がある場合。エージェントの標準化された報告は、完全なコンテキスト、タイムライン、エンティティの関係、脅威インテリ、初期分析を提供します。受け取るチームは追加の説明や再調査なしに即座に対応を開始できます。
なぜ Forensic Agent Core なのか？
断片化されたアラートがあちこちに：インシデントに多数のアラートがあり、それらがどのように関連しているか不明
完全なタイムライン：イベントがどのように繋がるかを分単位で再構築して表示
コンテキストの欠如：アラートは何が起きたかを示すが、なぜ起きたかやその意味は示さない
エンティティマッピング：デバイス、ユーザー、IP、ドメインの全体像とそれらの関係
手動での脅威インテリ検索：指標を複数のツールにコピーするのに非常に時間がかかる
自動化された強化：すべての指標が複数のソースからキュレーションされたインテリジェンスで強化される
デバイスとアイデンティティのデータが切断されている：ユーザー活動がデバイスイベントとどのように関連するかが見えない
統合された分析：デバイスの姿勢とアイデンティティ活動が一つのビューで相関される
報告に対する時間的プレッシャー：管理層は詳細な分析を求めるが、あなたには30分しかない
すぐに使えるレポート：包括的なフォレンジック報告が自動生成される
ノイジーなインテリフィード：情報が多すぎて、実際に重要なものが不明
キュレーションされた所見：エージェントが重要な点を強調し、ノイズを除外する
仕組み
入力内容：
Microsoft Defender XDR のインシデントID
関連するアラート、エンティティ、および証拠
アナリストのコメントと調査ノート
デバイスとユーザーの活動データ
脅威インテリフィード（Shodan、CIRCL、レピュテーションサービス）
実施内容：
すべてのアラートとエンティティを含む完全なインシデントデータを取得
関連する活動を見つけるために高度なハンティングクエリを実行
すべてのエンティティを抽出（デバイス、ユーザー、IP、ドメイン、ファイル、ハッシュ）
エンティティ関係マップを構築
イベントから分単位のタイムラインを再構築
外部指標を脅威インテリジェンスで強化
デバイスのセキュリティ姿勢を分析（脆弱性、ソフトウェア、構成）
アイデンティティ活動とリスクイベントを追跡
アナリストのコメントをタイムラインと相関
悪意の有無のスコアリングでインシデントを分類
優先度付けされた是正推奨事項を生成
提供されるもの：
主要な所見と分類を含むエグゼクティブサマリー
インシデントの進行状況を示す分単位のタイムライン
関係を示すエンティティのインベントリ（誰が、何を、どこで、いつ）
デバイスのセキュリティ姿勢の概要（脆弱性、ソフトウェア、セキュリティ制御）
アイデンティティ活動の概要（認証、リスクイベント、行動）
脅威インテリジェンスの所見：
開放ポート/サービス/脆弱性（Shodan）
SSL証明書のメタデータと検証
WHOIS 登録データ
マルウェアの関連性とファイルの評判（CIRCL）
IP/ドメインのレピュテーションスコア
インシデント分類（True Positive、False Positive、Escalate）
悪意の有無に対する信頼度スコア
具体的な行動を伴う優先順位付けされた修復推奨
最終更新
役に立ちましたか？