Microsoft Defender XDR でインシデント対応を回す｜自動で止まる範囲と、アラートが届いてから閉じるまでの手順

Microsoft Defender XDR は、端末・メール・ID・クラウド アプリのアラートをつなげて1件のインシデントにまとめ、調査から対応までを1つの画面で進められるようにする、XDR と呼ばれる仕組みです。

ただし、自動で止まるのは前提を満たした一部の攻撃だけで、インシデントのメール通知も、ルールを作るまで誰にも届きません。誰が見て、どこまでを自動に任せ、何を人が判断するかを決めておくことが、対応を回す前提になります。

Microsoft 365 E5 や Business Premium で Defender の製品を使い始めると、Microsoft Defender ポータルにアラートやインシデントが並ぶようになります。一方で、どれから見ればよいか、どこまで任せてよいかは、画面を見ただけでは分かりにくいところです。

この記事では、EDR・XDR・SIEM の違いを押さえたうえで、自動で止まる範囲と人が判断する範囲、通知とロールの決め方、インシデントの一覧の読み方、調査と対応の操作、閉じ方と振り返りを、Microsoft Learn の公開情報をもとに解説します。

株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へ Microsoft 365・Azure の導入支援と、AIの業務活用（AIプライベート）の支援を提供しているIT企業です。

EDR・XDR・SIEM の違い｜アラートとインシデント

インシデント対応の話に入る前に、似た略語と、画面に出てくる2つの言葉を整理します。

用語	意味	Microsoft の製品での担当
EDR （エンドポイントでの検出と対応）	パソコンやサーバーで起きたことを記録し、攻撃を見つけて、その端末の上で対処する	Microsoft Defender for Endpoint
XDR （拡張検出と対応）	端末に加えて、メール・ID・クラウド アプリなどの製品をまたいでアラートをつなげ、まとめて対応する	Microsoft Defender XDR
SIEM （セキュリティ情報イベント管理）	他社の製品も含むさまざまなログを集めて長く残し、検出のルールを当てる	Microsoft Sentinel
アラート	それぞれの製品が、不審なできごとを検出したことを知らせる1件ずつの信号	Defender の各製品・Sentinel
インシデント	関係するアラートを集めて、1つの攻撃の流れとして見せる入れ物	Defender XDR がまとめる

EDR｜端末の上で見つけて、端末の上で対処する

EDR は、ウイルス対策のように既知の悪いファイルを止めるだけでなく、端末で動いたプロセスや通信を記録し、攻撃らしい振る舞いを見つける仕組みです。見つけたあとは、端末をネットワークから切り離す、ファイルを止めて検疫する、といった対処をその端末に対して行います。

Microsoft の製品では、Defender for Endpoint がこの役割を受け持ちます。プランごとの違いと、導入しただけでは効かない設定は、Microsoft 365の端末セキュリティ対策（Defender for Endpoint編）で解説しています。

XDR｜製品をまたいで、アラートをつなげる

実際の攻撃は、端末だけで完結しません。フィッシングのメールが届き、利用者がリンクを開き、乗っ取られたアカウントで別の端末やクラウド アプリに入る、というように、いくつもの製品の守備範囲をまたいで進みます。

XDR は、こうした別々の製品のアラートを、利用者や端末を手がかりにつなげて見せる仕組みです。Defender XDR は、Defender for Endpoint・Defender for Office 365・Defender for Identity・Defender for Cloud Apps などのアラートを相関の仕組みでまとめ、調査と対応を Microsoft Defender ポータルの1つの画面で進められるようにします。

SIEM との違いは、扱うデータの範囲と期間

Defender XDR が扱うのは、基本的に Defender の製品が出すデータで、高度な追求で調べられる生のログも既定では30日分です。他社の製品やネットワーク機器のログを合わせて見たい、長く残したい、という場合は SIEM の出番になります。使い分けは、Microsoft Sentinel で社内のログをまとめて監視するで解説しています。

対応の単位は、アラートではなくインシデント

Defender XDR は、関係するアラートを自動でまとめてインシデントを作り、あとから届いた証拠も、まだ開いているインシデントに足していきます。インシデントの重要度は、含まれるアラートのうち最も高いものに合わせて決まります。

アラートを1件ずつ見ていくと、同じ攻撃の一部を別々の担当者が調べることになりかねません。インシデントを単位にして担当を決め、その中のアラートをまとめて調べて閉じる、という流れで運用します。

自動で止まる範囲と、人が判断する範囲

「Defender を入れれば、あとは自動で守ってくれるのではないか」と考える方は少なくありません。実際には、自動で動く仕組みは2つあり、それぞれに対象と前提があります。その外側は、人が判断して操作します。

自動攻撃中断｜進行中の攻撃で、端末と利用者を封じ込める

自動攻撃中断は、人が操作するランサムウェア、ビジネス メール詐欺、中間者型のフィッシング（AiTM）といった攻撃が進んでいると高い確度で判断したときに、被害が広がる前に自動で止める仕組みです。2023年6月に一般提供になりました。

止め方は、攻撃に使われている端末をネットワークから封じ込める、乗っ取られた利用者のアカウントを無効にする、といった操作です。特定の利用者や端末を対象から外すこともでき、自動で行われた操作は、あとから取り消せます。AiTM 攻撃そのものへの備えは、多要素認証を突破する中間者型フィッシング（AiTM攻撃）を防ぐで解説しています。

自動攻撃中断の前提｜製品を展開し、つなぎ込みを済ませておく

自動攻撃中断は、ライセンスがあるだけでは働きません。契約は、Microsoft 365 E5 か A5、Microsoft 365 E3 に Enterprise Mobility + Security E5 を足したもの、または Defender for Endpoint Plan 2 などの個別の製品が前提です。そのうえで、次の準備が要ります。

• 製品ごとの展開：端末の封じ込めは Defender for Endpoint、オンプレミスの Active Directory のアカウントの無効化は Defender for Identity というように、操作ごとに担当の製品が展開されている必要がある
• Defender for Cloud Apps のつなぎ込み：Microsoft 365 のアプリ コネクタで、チェック項目をすべて選んで接続しておく
• 端末の探索の設定：Defender for Endpoint のデバイスの探索を「標準」にしておく
• 自動化のレベル：端末のグループの自動化のレベルを「自動対応なし」にすると、そのグループは自動の封じ込めの対象から外れる

自動調査と対応｜端末とメールで、調べて修復まで進める

もう1つの仕組みが、自動調査と対応です。アラートをきっかけに関係するファイルやプロセス、メールを自動で調べ、悪いものと判断したものを修復します。端末とメールで、動き方が違います。

端末（Defender for Endpoint）では、2020年8月16日以降に作られたテナントの既定の自動化のレベルが「完全」で、修復まで自動で行います。それより前のテナントは、修復に承認が要る「半自動」が既定です。Defender for Business では、完全な自動化に固定されています。

メール（Defender for Office 365）の自動調査と対応は、Plan 2 の機能です。こちらは、悪いメールの削除などの修復の操作が、担当者の承認を待つ形で並びます。承認するには、セキュリティ管理者のロールに加えて、メールの「検索と消去」のロールが要ります。

承認待ちの操作は、アクション センターに溜まる

承認が要る修復の操作は、Microsoft Defender ポータルのアクション センターの「保留中」に並びます。端末の修復の承認待ちは、7日たつと期限切れになり、却下したのと同じ扱いになります。誰も見ていなければ、自動調査が途中で止まったままになります。

アクション センターの「履歴」には、自動で行われた修復と、担当者が行った操作が記録されます。端末の隔離など、取り消せる操作は、ここから元に戻せます。

見る人を決める｜通知のルールとロール

自動の仕組みを整えても、インシデントを見る人がいなければ、承認待ちの操作も、自動の対象外の攻撃も、そのまま残ります。最初に、誰に知らせ、誰に何をさせるかを決めます。

インシデントのメール通知は、ルールを作るまで届かない

インシデントのメール通知は、通知のルールを作ると、そのルールの設定に沿って届き始めます。Microsoft Defender ポータルの「設定」の「Microsoft Defender XDR」にある「メール通知」で、インシデントの通知のルールを追加します。

ルールでは、通知するアラートの重要度、対象の端末のグループ、宛先を決めます。インシデントごとに1通だけ送る設定もあり、同じインシデントにアラートが足されるたびに通知が届くのを抑えられます。

ルールを作るには、セキュリティの設定を管理する権限が要ります。既定の権限の管理を使っている場合は、セキュリティ管理者以上のロールです。Defender for Endpoint のアラートの通知は、「設定」の「エンドポイント」で別にルールを作ります。

誰が何を見られるかは、統合 RBAC で決める

Microsoft Defender ポータルの権限は、Microsoft Entra ID のロールに加えて、製品ごとの権限のモデルで決まってきました。これを1つにまとめるのが、2023年12月に一般提供になった統合ロールベースのアクセス制御（統合 RBAC）です。

統合 RBAC は、製品ごとに有効にする必要があり、有効にするまでは従来の権限のモデルが使われます。有効にしたあとも、全体管理者やセキュリティ管理者といった Entra ID のロールは引き続き効きます。

日々インシデントを見る担当者には、全体管理者ではなく、調査と対応に要る権限だけを持つロールを割り当てます。管理者の権限を必要なときだけ有効にする方法は、Microsoft 365・Azureの特権ID管理で解説しています。

インシデントの一覧を読む｜重要度・状態・担当

インシデントの一覧は、Microsoft Defender ポータルの「調査と対応」にあります。新しいインシデントは、担当者が決まっていない状態で作られます。一覧を見るときは、次の順で確かめます。

1. 重要度：含まれるアラートの中で最も高い重要度が付く。「高」から先に見る
2. 状態：作られた時点では「アクティブ」。調べ始めたら「進行中」、終わったら「解決済み」にする
3. 担当：担当者を割り当てると、含まれるアラートにも同じ担当者が付く。割り当てられるのは1人か1グループ
4. タグ：「訓練」「誤検知の確認中」など、社内の決まりに沿ったタグを付けて絞り込みに使う

見る頻度も決めておきます。通知のルールで重要度の高いものはすぐに届くようにし、残りは毎朝など決まった時刻に一覧を見る、という分け方が現実的です。

調べる｜攻撃のストーリー・アラート・資産・証拠と対応

インシデントを開くと、いくつかのタブに分かれた画面になります。最初に見るのは、攻撃のストーリーです。

• 攻撃のストーリー：アラートを時系列に並べ、どの利用者・端末・メールがどうつながっているかを図で見せる
• アラート：インシデントに含まれるアラートの一覧。どの製品が何を検出したかを確かめる
• 資産：影響を受けた端末・利用者・メールボックス・アプリ。ここから各対象のページを開いて対応する
• 調査：自動調査と対応の進み具合と結果
• 証拠と対応：調べられたファイルやプロセス、メールなどと、それぞれに対して行われた操作や承認待ちの操作

調べるときは、「最初の入口はどこか」「どこまで広がったか」「今も続いているか」の3点を押さえます。入口がフィッシングのメールなら、同じメールを受け取ったほかの利用者がいないかも確かめます。

画面に出ている情報で足りない場合は、高度な追求で生のログを検索します。メールの調査の結果は「調査」のタブには数として出ない仕様なので、メールが絡むインシデントでは「証拠と対応」とアクション センターも合わせて見ます。

対応する｜端末・ファイル・メール・利用者

対応の操作は、Microsoft Defender ポータルの中でも、対象ごとに担当の製品が違います。ライセンスによって使える操作も変わるので、自社の契約で何ができるかを先に確かめておきます。

対象	主な操作	担当の製品	ライセンスの注意
端末	ネットワークからの隔離、ウイルス対策のスキャン、調査用の情報の収集、アプリの実行の制限、ライブ応答	Defender for Endpoint	Plan 1 で使える手動の操作は、スキャン・隔離・ファイルの停止と検疫・インジケーターの追加だけ。すべて使うには Plan 2
ファイル	停止と検疫、インジケーターでの禁止	Defender for Endpoint	Defender for Business には「停止と検疫」が無い
メール	削除、迷惑メールへの移動	Defender for Office 365	脅威エクスプローラーからの修復と自動調査は Plan 2。承認には「検索と消去」のロールが要る
利用者	アカウントの無効化、セッションの取り消し、侵害済みとして登録、パスワードの変更の強制	Defender for Identity・Microsoft Entra ID	侵害済みとしての登録は、セキュリティ管理者・セキュリティ オペレーターなどのロールが要る

端末は、まず隔離して広がりを止める

攻撃が端末の上で続いているときは、端末のページから隔離を行い、ネットワークから切り離します。隔離の間も Defender for Endpoint との通信は保たれるので、調査や追加の操作は続けられます。隔離は、調べ終わってから解除できます。

利用者は、パスワードの変更だけで終わらせない

アカウントが乗っ取られた疑いがあるときは、利用者のページから、セッションの取り消しと、侵害済みとしての登録を行います。侵害済みとしての登録は Microsoft Entra ID に対して行われ、利用者のリスクを条件にした条件付きアクセスのポリシーを用意していれば、そのポリシーが効きます。

パスワードを変えるだけでは、攻撃者がすでに手に入れたセッションが残ることがあります。攻撃者が自分の多要素認証の方法を足していないかも確かめます。詳しくは、多要素認証を突破する中間者型フィッシング（AiTM攻撃）を防ぐで解説しています。

閉じて振り返る｜分類・アラートの調整・次の対策

対応が終わったら、インシデントの状態を「解決済み」にします。インシデントを解決すると、含まれる有効なアラートもまとめて解決されます。そのときに、結果を分類しておきます。

• 真陽性：本物の攻撃だった。脅威の種類も選ぶ
• 情報（想定内の活動）：検出は正しいが、セキュリティの検証や管理者の作業など、社内で想定していた活動だった
• 誤検知：攻撃ではないものを検出した

分類を残しておくと、同じ種類のアラートがどのくらい本物だったかを後から数えられます。振り返りで、アラートの調整や設定の見直しを決める材料になります。

アラートの調整は、条件を狭く書く

社内の業務アプリや検証の作業で、同じアラートが繰り返し出る場合は、アラートの調整（以前の名前はアラートの抑制）のルールで、自動で解決したり非表示にしたりできます。非表示にしたアラートからは、インシデントも作られなくなります。

Microsoft も、調整は想定内の活動に限って慎重に使うよう求めています。アラートの種類だけで広く消すと、同じ種類の本物の攻撃まで見えなくなります。端末・ファイル・利用者などの条件を重ねて狭く書き、作ったルールは定期的に見直します。

次の対策につなげる

振り返りでは、攻撃がどこから入り、どの設定があれば早く止められたかを確かめます。メールなら受信の保護、利用者ならフィッシングに強い認証、端末なら攻撃面の縮小のルールというように、入口ごとの設定に戻って見直します。全体の考え方は、ゼロトラストとはで解説しています。

弊社の支援

弊社は、Microsoft 365 と Azure の導入とセキュリティ設定を支援しています。Defender の製品は導入すればアラートを出しますが、通知の宛先、担当のロール、自動に任せる範囲、対応の手順は、お使いのライセンスと運用の体制によって変わります。

自動攻撃中断の前提の確認から、通知のルールとロールの設計、インシデントの見方と対応の手順書づくり、アラートの調整の見直しまでをご一緒に進めます。他社の製品のログも合わせて見たい場合は、Microsoft Sentinel との組み合わせもご提案します。

よくあるご質問

こちらをクリックして「よくある質問」を表示

Defender を入れれば、攻撃は自動で止まりますか？

自動で止まるのは、自動攻撃中断の対象になる進行中の攻撃と、自動調査と対応で修復できるものに限られます。どちらも、製品の展開やつなぎ込みなどの前提を満たしている必要があります。それ以外のインシデントは、担当者が調べて対応します。

インシデントのメールが誰にも届きません。なぜですか？

インシデントのメール通知は、通知のルールを作ると届き始めます。Microsoft Defender ポータルの「設定」の「Microsoft Defender XDR」にある「メール通知」で、重要度と宛先を決めてルールを追加してください。ルールの作成には、セキュリティ管理者以上のロールなどの権限が要ります。

Microsoft 365 Business Premium でも、インシデント対応はできますか？

Business Premium に含まれる Defender for Business でも、インシデントの一覧、自動調査と対応、端末の隔離などを使えます。一方で、ファイルの「停止と検疫」の操作は無く、30日分の高度な追求は Defender for Endpoint Plan 2 の機能です。メールの自動調査と対応には Defender for Office 365 Plan 2 が要ります。

誤検知のアラートが多いので、まとめて止めてもよいですか？

アラートの調整のルールで自動で解決したり非表示にしたりできますが、アラートの種類だけで広く止めると、同じ種類の本物の攻撃まで見えなくなります。誤検知だと分類した結果をもとに、端末やファイルなどの条件を重ねて狭く書き、定期的に見直してください。

Defender XDR を使っていれば、Microsoft Sentinel は要りませんか？

Microsoft 365 と Defender の製品だけを使い、直近のできごとを調べられれば足りるなら、まず Defender XDR を使いこなすのが先です。他社の製品やネットワーク機器のログも見たい、30日より長く残したい場合に、Sentinel を組み合わせます。

Microsoft 365 E5 で、Security Copilot は使えますか？

Microsoft は 2025年11月に、Microsoft 365 E5 のお客様が追加の費用なしで Security Copilot を使えるようにすると発表し、順次提供を始めています。使える量には、有償のライセンス1,000件あたり月400 SCU という上限があります。Defender ポータルでは、インシデントの要約や対応の手順の提案に使えます。

Defender XDR のインシデント対応は、自動に任せる範囲を確かめ、見る人と手順を決めてはじめて回り始めます。お使いのライセンスと運用の体制をお聞かせいただければ、進め方をご提案します。お問い合わせよりお気軽にご相談ください。

関連サービス・関連コラム

• セキュリティ強化支援（ゼロトラスト）
• Microsoft Sentinel で社内のログをまとめて監視する｜SIEM と Defender XDR の違いと、費用を抑えた始め方
• Microsoft 365の端末セキュリティ対策（Defender for Endpoint編）｜P1・P2・Defender for Businessの違いと、入れただけでは効かない設定
• 多要素認証を突破する中間者型フィッシング（AiTM攻撃）を防ぐ｜Microsoft Entra IDでフィッシングに強い認証と準拠端末を必須にする
• Microsoft 365・Azureの特権ID管理｜PIMで管理者権限を必要なときだけ有効にする
• ゼロトラストとは｜中小企業がMicrosoft 365で始めるセキュリティ

まずは無料トライアルで、効果をご確認ください

「AIプライベート」は短期・低コストで試せます。帳票入力（AI-OCR）・電話対応（AI-Voice）・計画づくり（AI-Enhance）の自動化から、クラウド（Azure・Microsoft 365）・DXのご相談まで、お気軽にどうぞ。