攻撃シミュレーショントレーニングのペイロード自動化

適用対象: ✅ Microsoft Defender for Office 365 Plan 2

ヒント

Microsoft Defender for Office 365 プラン 2 の機能を無料で試すことができることをご存知でしたか? Microsoft Defender ポータル試用版ハブで、90 日間の Defender for Office 365 試用版を使用します。サインアップできるユーザーと試用版の条件については、「Microsoft Defender for Office 365 を試す」を参照してください。

Microsoft 365 E5 または Microsoft Defender for Office 365 Plan 2 の攻撃シミュレーショントレーニングでは、ペイロード自動化 (別名 ペイロード収集) により、組織内のユーザーから報告された実際のフィッシング攻撃から情報が収集されます。フィッシング攻撃 (受信者、ソーシャルエンジニアリング手法、送信者情報など) で検索する条件を指定できます。

ペイロードの自動化は、攻撃からのメッセージとペイロードを模倣し、ペイロード名に識別子を含むカスタムペイロードとして格納します。その後、収集したペイロードをシミュレーションまたは自動化で使用して、対象ユーザーに無害なシミュレーションを自動的に起動できます。

ペイロード自動化は、Defender for Office 365 がフィッシングキャンペーンとして識別した電子メールメッセージに基づいて機能します。対象となるペイロードは、受信トレイに配信されたユーザーから報告されたメッセージから収集され、フィッシングとして報告され、Microsoftによってフィッシングとして確認されます。詳細については、ペイロードの自動化によるペイロードの収集方法に関するページを参照してください。

攻撃シミュレーショントレーニングを開始するには、「攻撃シミュレーショントレーニングの使用を始める」を参照してください。

作成した既存のペイロード自動化を確認するには、https://security.microsoft.comで Microsoft Defender ポータルを開き、メールとコラボレーション>攻撃シミュレーショントレーニング>自動化 タブ> に移動して、ペイロードの自動化 を選択します。 [オートメーション] タブに直接移動し、[ペイロードの自動化] を選択するには、https://security.microsoft.com/attacksimulator?viewid=automationsを使用します。

ペイロードの自動化ごとに、次の情報が表示されます。使用可能な列ヘッダーをクリックすると、ペイロードの自動化を並べ替えることができます。

自動化の名前
型: 値は Payload です。
収集された項目
最終更新日時
状態: 値は [準備完了] または [下書き] です。

ヒント

すべての列を表示するには、次の 1 つ以上の手順を実行する必要があります。

Web ブラウザーで水平方向にスクロールします。
適切な列の幅を狭くします。
ビューから列を削除します。
お使いの Web ブラウザーで表示を縮小します。

ペイロードの自動化を作成する

ペイロードの自動化を作成するには、次の手順を実行します。

https://security.microsoft.com/ の Microsoft Defender ポータルで、メール & コラボレーション>攻撃シミュレーショントレーニング>自動化 タブの >ペイロードの自動化 に移動します。 [オートメーション] タブに直接移動し、[ペイロードの自動化] を選択するには、https://security.microsoft.com/attacksimulator?viewid=automationsを使用します。
[ ペイロードの自動化 ] ページで、[ 自動化の作成 ] を選択して、新しいペイロード自動化ウィザードを開始します。

注:

新しいペイロード自動化ウィザードでペイロードオートメーションに名前を付けた後、いつでも [保存して閉じる ] を選択して進行状況を保存し、後でペイロードオートメーションを構成し続けることができます。不完全なペイロードオートメーションの状態の値は、オートメーション タブの ペイロードオートメーション で 下書き です。ペイロードオートメーションを選択し、オートメーションの編集 をクリックすると、中断したところから再開できます。

現在、GCC 環境では、データ収集の制限のため、ペイロードの収集は有効になっていません。
[ オートメーション名 ] ページで、次の設定を構成します。
- [名前]: ペイロードオートメーションの一意のわかりやすい名前を入力します。
- 説明: ペイロードの自動化に関するオプションの詳細な説明を入力します。
[Automation name]\(オートメーション名\) ページが終了したら、[次へ] を選択します。
[ 実行条件 ] ページで、自動化の実行タイミングを決定する実際のフィッシング攻撃の条件を選択します。

[ 条件の追加 ] を選択し、次のいずれかの条件から選択します。
- その必要はありません。キャンペーンの対象となるユーザーの数: 表示されるボックスで、次の設定を構成します。
  - と等しい、 より小さい、 より大きい、 より小さいか等しいか、または より大きいか等しい。
  - 値を入力します。フィッシングキャンペーンの対象となるユーザーの数。
- 特定のフィッシング手法を使用したキャンペーン: 表示されるボックスで、使用可能な値のいずれかを選択します。
  - 認証情報の窃取
  - マルウェアの添付ファイル
  - 添付ファイルのリンク
  - マルウェアへのリンク
  - 攻略ガイド
- [特定の送信者ドメイン]: 表示されるボックスに、送信者の電子メールドメインの値 (たとえば、contoso.com) を入力します。
- [特定の送信者名]: 表示されるボックスに送信者名の値を入力します。
- 特定の送信者メール: 表示されるボックスに、送信者のメールアドレスを入力します。
- 特定のユーザーとグループの受信者: 表示されるボックスに、ユーザーまたはグループの名前またはメールアドレスの入力を開始します。表示されたら、それを選択します。
各条件は 1 回だけ使用できます。複数の条件で AND ロジック (<Condition1> と <Condition2>) が使用されます。

別の条件を追加するには、[条件の追加] 選択します。

追加後に条件を削除するには、[ ] を選択します。

[ 実行条件 ] ページが完了したら、[ 次へ] を選択します。
[ 自動化の確認 ] ページで、ペイロードの自動化の詳細を確認できます。

各セクションで [編集] を選択して、そのセクション内の設定を変更することができます。または、[戻る] を選択するか、ウィザードで特定のページを選択します。

自動化の確認ページでの作業が完了したら、送信を選択します。
[ 新しい自動化が作成されました ] ページで、リンクを使用してペイロードの自動化を有効にするか、[ シミュレーション ] ページに移動できます。

完了したら、[完了] を選択 します。
[オートメーション] タブの [ペイロードの自動化] に戻ると、作成したペイロードオートメーションが [状態] 値 [準備完了] と一覧表示されます。

ペイロードの自動化をオンまたはオフにする

[状態] 値 [準備完了] を使用して、ペイロードの自動化をオンまたはオフにすることができます。 ステータス値 Draft を使用して、不完全なペイロードオートメーションをオンまたはオフにすることはできません。

ペイロードの自動化を有効にするには、名前の横にある [チェック] ボックスをクリックして、一覧から選択します。表示される[オンにする] アクションを選択し、ダイアログで [確認] を選択します。

ペイロードの自動化をオフにするには、名前の横にある [チェック] ボックスをクリックして、一覧から選択します。表示される[無効にする] アクションを選択し、ダイアログで [確認] を選択します。

ペイロードの自動化を変更する

Status の値が Draft であるか、無効になっているペイロード自動化のみ変更できます。

[ペイロードの自動化] ページで既存の ペイロードオートメーションを 変更するには、次のいずれかの手順を実行します。

名前の横にある [チェック] ボックスを選択して、一覧からペイロードの自動化を選択します。表示される [ Edit automation]\(オートメーションの編集\) アクションを選択します。
[チェック] ボックス以外の行内の任意の場所をクリックして、一覧からペイロードの自動化を選択します。開いた詳細ポップアップの [全般] タブで、[名前]、[説明]、または [実行条件] セクションで [編集] を選択します。

ペイロード自動化ウィザードが開き、選択したペイロード自動化の設定と値が表示されます。ウィザードでは、同じページを使用します: 自動化名（名前と説明）、実行条件（フィッシング攻撃の条件）、および 自動化の確認（確認と送信）。各ページの詳細な説明については、「ペイロードの自動化の作成」を参照してください。

ペイロードの自動化を削除する

Warning

この操作は元に戻せません。ペイロードの自動化を削除すると、収集されたすべてのペイロードとその自動化の実行履歴も削除されます。

ペイロードの自動化を削除するには、チェックボックスをオンにして一覧から選択します。表示される [ 削除 ] アクションを選択し、ダイアログで [ 確認 ] を選択します。

ペイロードの自動化の詳細を表示する

詳細を表示するには、ペイロードの自動化に [状態] 値 [ 準備完了] が必要です。 [ ペイロードの自動化 ] ページで、チェックボックス以外の行の任意の場所をクリックします。詳細ポップアップが開き、次の情報が表示されます。

オートメーション名と収集された項目の数。
[全般] タブ:
- 最終更新日時
- 型: 値は Payload です。
- [名前]、[ 説明]、[ 実行条件 ] セクション: [ 編集] を選択して、そのページのウィザードを開きます。
[実行履歴 ] タブ: [状態] が [準備完了] の場合にのみ使用できます。

この自動化を使用したシミュレーションの実行履歴を示します。

ヒント

詳細ポップアップを残さずに他のペイロード自動化の詳細を表示するには、ポップアップの上部にある Previous 項目 と 次の項目 を使用します。

付録: ペイロードの自動化によるペイロードの収集方法

ペイロードの自動化は、Defender for Office 365によってキャンペーンとして識別される電子メールメッセージに依存します。

管理者がメッセージをフィッシングとしてマークしても、ペイロードの収集は行われません。
ペイロードの自動化には、生のペイロードへのアクセスが必要です。未加工のペイロードは、ヘッダー、本文、リンク、添付ファイルなど、元の電子メールコンテンツです。未加工のペイロードは、次の条件を満たすユーザーから報告されたメッセージから取得されます。
- メッセージは受信トレイに届きました（偽陰性）。
- ユーザーは、メッセージをフィッシングとして報告しました。
- メッセージは、(ユーザーまたは申請ポータルの管理者によって) Microsoftに送信されました。 Microsoftメッセージがフィッシングであることを確認しました。
ペイロードは、メッセージがオートメーションに設定された実行条件を満たす場合に収集されます。たとえば、対象ユーザーの数、フィッシング詐欺手法、送信者ドメイン、特定の受信者などがあります。詳細については、「ペイロード自動化の作成」の手順 4 を参照してください。