このプレイブックを使用して、Office 365 で検出された悪意のあるファイルを調査します。以下に示すステップは、Office 365 - 悪意のあるファイル検出プレイブックで使用できるアクション、タスク、サブフローの段階的な説明です。
始める前に
必要なロール：
- sn_si.admin
- flow_designer
手順
-
プレイブックがトリガーされて実行が開始されたら、アクション 1 で、Office 365 コンソールから悪意のあるファイルを抽出する必要があります。
-
アクション 2 では、ファイルまたはハッシュが脅威インテリジェンスプラットフォームに観測可能として追加されているかどうかを分析する必要があります。
-
アクション 3 では、ファイル名とパスを調査して、既知のファイル/アプリケーションまたは悪意のないファイル/アプリケーションかどうかを判断する必要があります。
-
アクション 4 では、結果を分析するためにファイルをサンドボックスに送信する必要があります。
-
アクション 5 では、これまでに行った調査に基づいて、ファイルまたはハッシュが悪意のあるものかどうかを確認する必要があります。
ファイルまたはハッシュが悪意のあるものでない場合は、アクション 5 で手動応答タスクが作成され、フローが終了します。
-
アクション 6 では、ファイルまたはハッシュが悪意のあるものである場合に、アクション 7 および 8 が実行されます。
-
アクション 7 では、デバイス上に悪意のあるファイルがある理由について、有効なビジネス上の根拠をエンドユーザーに問い合わせる必要があります。
ファイルまたはハッシュが悪意のあるものである場合は、プレイブックの既存のメールテンプレートを使用して、エンドユーザーにメールを送信して説明を求めることができます。
-
アクション 8 では、エンドユーザーが有効なビジネス上の根拠を提供したかどうかを確認する必要があります。
エンドユーザーが有効なビジネス上の根拠を提供した場合は、アクション 5 で、手動応答タスクが作成され、フローが終了します。
-
アクション 9 では、ユーザーが有効なビジネス上の根拠を提供しなかった場合に、アクション 10、11、および 12 が実行されます。
-
アクション 10 では、有効なビジネス上の根拠がなかったため、悪意のあるファイルまたはハッシュを確認のために脅威インテリジェンスチームに転送することができます。
-
アクション 11 では、マルウェアバイトスキャナースクリプトを実行して、ファイルまたはハッシュが悪意のあるものかどうかを確認する必要があります。
-
アクション 12 では、フォレンジック分析を実行して、ファイルまたはハッシュが悪意のあるものであるかどうかを確認する必要があります。
-
アクション 13 では、タスクをクローズする前にインシデントの事後レビューを完了するための応答タスクが作成されます。