Defender for Endpointのタイムラインログで攻撃全体像を可視化する方法

1. タイムラインログとは？

Defender for Endpointでは、端末上で発生する各種イベントをKQLで検索可能な形式で収集しています。
これらの情報を 時系列でつなぎ合わせる ことで、「攻撃者がどのように侵入し、展開し、情報を抜き出したか」などのストーリーが見えてきます。

主に利用するテーブル：

DeviceProcessEvents：プロセス実行のログ
DeviceNetworkEvents：通信先のIPやドメインの記録
DeviceFileEvents：ファイルの作成・変更・削除履歴
DeviceLogonEvents：ユーザーのログオン・ログオフ状況

2. 基本クエリ：ある端末での攻撃ストーリーを時系列で追う

kql

let targetDevice = "device123.contoso.com";
DeviceProcessEvents
| where DeviceName == targetDevice
| union DeviceNetworkEvents
| union DeviceFileEvents
| union DeviceLogonEvents
| sort by Timestamp asc

このクエリでは、指定した端末で発生したイベントを すべて統合して時系列順 に表示します。

🔍 ヒント：テーブルによってカラム名が異なるため、projectで共通フォーマットに揃えると見やすくなります。

3. ストーリー化のポイント

時系列分析では、以下のような「流れ」を意識することで、攻撃全体像が明確になります。

初期侵入（メール添付、USB、RDPなど）
実行（PowerShell, rundll32, cmdなどの使用）
探索（IPスキャン、AD列挙など）
移動（別の端末への接続、SMBなど）
情報搾取・破壊（ZIP、暗号化、外部送信）

4. 実例：PowerShellからの疑わしい展開

kql

DeviceProcessEvents
| where FileName == "powershell.exe"
| where ProcessCommandLine has_any ("Invoke-WebRequest", "IEX", "DownloadFile")
| project Timestamp, DeviceName, InitiatingProcessAccountName, ProcessCommandLine
| order by Timestamp asc

このクエリで、「スクリプト実行型の攻撃」の痕跡を検出し、展開フェーズを追えます。