事例研究3 - Litware Inc.
概要
ファブリカム社は金融サービス会社です。
同社はニューヨーク、ロンドン、シンガポールに支社を構えている。Fabrikamには世界中にリモートユーザーがおり、これらのユーザーはVPN接続を介して支社にアクセスすることで、クラウドサービスを含む社内リソースにアクセスする。
既存の環境
アイデンティティ環境
このネットワークには、fabrikam.com という名前の Active Directory ドメイン サービス (AD DS) フォレストが含まれており、fabrikam.com という名前の Azure AD テナントと同期しています。フォレストを同期するために、Fabrikam はパススルー認証を有効にし、パスワード ハッシュ同期を無効にした Azure AD Connect を使用しています。
fabrikam.comのフォレストには、Group1とGroup2という2つのグローバルグループが含まれています。
Microsoft 365環境
Fabrikamの全ユーザーには、Microsoft 365 E5ライセンスとAzure Active Directory Premium Plan 2ライセンスが割り当てられています。
Fabrikamは、Microsoft Defender for IdentityとMicrosoft Defender for Cloud Appsを実装し、ログコレクターを有効にします。
Azure環境
Fabrikamは、以下の表に示すリソースを含むAzureサブスクリプションを保有しています。

Amazon Web Services (AWS) 環境
FabrikamはAccount1という名前のAmazon Web Services(AWS)アカウントを持っています。Account1には
カスタム版Windows Server 2022を実行するAmazon Elastic Compute Cloud(EC2)インスタンス100台。
このイメージにはMicrosoft SQL Server 2019が含まれていますが、エージェントはインストールされていません。
最新の課題
ユーザーがVPN接続を使用すると、Microsoft 365 Defenderは、誤検知である「あり得ない旅行」に関する警告を大量に発生させます。
Defender for Identityは、DCSync攻撃の疑いに関するアラートを大量に発生させますが、その多くは誤検知です。
要件
計画されている変更
Fabrikamは以下のサービスを導入する予定です。
- Microsoft Defender for Cloud
- マイクロソフトセンチネル
ビジネス要件
Fabrikamは、以下のビジネス要件を特定しました。
可能な限り、最小権限の原則を適用する。
・管理業務の手間を最小限に抑える。
Microsoft Defender for Cloud Apps の要件
Fabrikamは、Microsoft Defender for Cloud Appsの要件として以下の点を挙げています。
- 渡航不可能な場合の警告ポリシーは、各ユーザーの過去の活動に基づいていることを確認してください。
・誤検知による、あり得ない旅行に関する警告の数を減らす。
Microsoft Defender for ID の要件
誤検知アラートの調査に必要な管理上の労力を最小限に抑える。
Microsoft Defender for Cloud の要件
Fabrikamは、Microsoft Defender for Cloudに関して以下の要件を特定しました。
- グループ2のメンバーがセキュリティポリシーを変更できることを確認してください。
- Group1のメンバーがAzureサブスクリプションレベルで規制遵守ポリシーのイニシアチブを割り当てられるようにする。
- Azure Arc対応サーバー向けAzure Connected Machineエージェントのデプロイを、Account1の既存および将来のリソースに自動化します。
誤検知アラートの調査に必要な管理作業を最小限に抑える。
Microsoft Sentinelの要件
Fabrikamは、Microsoft Sentinelに関する以下の要件を特定しました。
- 組み込みの高度セキュリティ情報モデル(ASIM)統合パーサーを使用して、過去7日間のNXDOMAIN DNSリクエストを照会します。
- AWS EC2インスタンスから、ローカルグループメンバーシップの変更を含むWindowsセキュリティイベントログエントリを収集します。
- ユーザーおよびエンティティ行動分析(UEBA)を使用して、Azure ADユーザーの異常なアクティビティを特定します。
- UEBAを使用して、侵害されたAzure ADユーザー認証情報の潜在的な影響を評価します。
- App1がMicrosoft Sentinelの自動化ルールで使用できることを確認してください。
過去30日間に発生したインシデントについて、トリアージにかかる平均時間を特定する。
過去30日間に発生したインシデントの平均解決時間を特定します。
- グループ1のメンバーがプレイブックを作成および実行できることを確認する。
- グループ1のメンバーが分析ルールを管理できることを確認してください。
- Jupyterノートブックを使用して、Pool1に対してハンティングクエリを実行します。
グループ2のメンバーがインシデントを管理できることを確認する。
- データクエリのパフォーマンスを最大化する。
収集するデータ量を最小限に抑える。
ホットスポットに関する質問
Microsoft Defender for Cloud Appsの要件を満たす必要があります。
どうすればよいですか？回答するには、回答欄で適切な選択肢を選んでください。
注：正解ごとに1ポイントが加算されます。