DefenderのプロセスアラートをAIで一次調査
AI SOC 調査ユースケース · 連携対応範囲の調査例
連携製品一覧 → AI SOC for Microsoft Defender → この調査業務
提供状況：連携対応範囲の調査例
Defenderのアラートを受けた後、担当者は対象端末と検知時刻から関連操作を確認します。インシデントに複数のアラートが含まれる場合も、まず調べる端末・アラートを特定することで検索範囲が明確になります。このページでは、その一次調査のうちプロセス記録を調べる場面を扱います。
この調査の流れ
検知・ログ：Microsoft Defenderの端末・プロセス関連アラート
AIが確認する内容：端末ID・時刻を使い、Advanced Huntingで関連プロセス記録を検索。
判断に使う情報：検知に至る操作の流れと、追加確認が必要な点を整理。
使用するデータと検索の起点
対象アラートの端末ID・発生時刻と、利用できるAdvanced Huntingのプロセス関連テーブルを使います。応答に含まれる実行ファイル・コマンドライン・関連イベントを読み取り、必要に応じてDefender for Endpointの端末情報を参照します。アラートの文字情報だけから、未収集のプロセス履歴を補うことはできません。
アラートの端末ID・時刻
プロセス・コマンドライン
取得できる関連イベント
アラートから追加調査までの手順
アラートから対象端末と期間を特定する。
利用可能なAdvanced HuntingテーブルをKQLで絞り込む。
検索の根拠と取得範囲を明示し、正規操作との照合点をまとめる。
具体的な調査の考え方
以下は説明用の仮想例です。顧客事例や実環境での実演結果ではありません。
端末のスクリプト実行アラートについて、前後の操作を確認する場面を想定します。端末IDと検知時刻を起点にKQLで期間を絞り、対象となるプロセス記録を確認します。結果が多い場合は端末・時刻・プロセス等の条件をさらに絞ります。該当がない場合も、必要なテーブルの収集状態や保持期間を確認してから解釈します。
担当者へ引き継ぐ情報
観測事実：対象アラート・端末・検索期間と、取得できたプロセス記録を対応付ける。
判断保留：検索条件や保持期間の外側、取得上限を超えた範囲は未確認として分ける。
次の確認：正規作業の記録との照合、対象を絞った追加検索、担当者による端末対応へつなげる。
接続条件と対応範囲
利用するDefenderライセンス、対象テーブルの収集状態、Advanced Huntingと端末参照の読取り権限を確認します。複数テナントがある場合は対象連携を指定します。ヤグラの調査ツールでは直近30日を対象とし、取得結果は最大200行です。Microsoft製品全体の上限と、ヤグラの調査ツールの上限を区別して設計します。
対応するライセンス・読取り権限・対象テーブルが必要です。調査ツールの対象は直近30日、結果は最大200行です。
導入前に確認すること
元のDefender画面と、端末ID・対象期間・プロセス記録が一致するか。
必要なテーブルが参照でき、保持期間内の記録を検索できるか。
200行の上限や失敗を区別し、対象を絞った調査を続けられるか。
比較時は同じアラート・同じ期間を使い、参照した記録、確認できない情報、担当者が追加で行った作業を残します。調査時間の比較だけでなく、結論の根拠を担当者が確認できるかを評価します。
よくある質問
Microsoft 365監査ログ連携と同じ調査ですか？
この例はDefenderのアラートとAdvanced Huntingを使います。Microsoft 365監査ログの取り込みやEntra IDのログ収集とは、接続と利用データを区別します。
一次調査の完了とインシデントの解決は同じですか？
異なります。一次調査は確認できた証拠と次の対応を整理する工程です。封じ込め・復旧・クローズは運用担当者が判断します。
この調査を自社の環境で検討する
Microsoft Defenderの利用環境と、困っているアラートの種類、使えるログの範囲をお知らせください。取得する情報と担当者が判断する範囲を整理し、確認する接続条件をご案内します。
AI SOC for Microsoft Defenderの連携全体を見る · 別の製品・調査例を探す
参考情報
Microsoft：Defender XDR Advanced Hunting
確認・更新：2026年9月13日。ベンダーAPIの仕様とヤグラの接続・調査範囲は区別して記載しています。
