Microsoft DefenderのAdvanced huntingを使う前に確認したいのは、ポータルの見た目だけではなく、検索対象データ、権限、保持期間、クエリの完了状態です。ドキュメントの更新日が変わっただけで、利用中のテナントに新機能が有効になったとは判断できません。この記事では管理者が既存の検索を点検する手順をまとめます。
対象サービスと保持期間を確認する
2026年10月22日確認時点のAdvanced hunting概要では、ネイティブのDefender XDRデータは通常、過去30日分を検索対象とします。接続したMicrosoft Sentinelの分析層データは、ワークスペース側で設定した保持期間に従います。両者を一律に「30日」または「無期限」と説明しないでください。
必要なテーブルが見えない、結果が空という場合は、ライセンス、サービスの導入・接続、閲覧権限、対象デバイスのスコープ、データの収集開始日を分けて確認します。検索を広げても、未収集だった過去のイベントを後から復元できるとは限りません。
小さな読み取りクエリで実行を確かめる
Microsoft Defenderポータルの「Hunting」→「Advanced hunting」を開きます。KQLに不慣れな場合はガイドモードを使えます。まず閲覧できるスキーマを確認し、DeviceProcessEventsが利用可能な環境では次のような短期間の集計から始めます。
DeviceProcessEvents
| where Timestamp > ago(1d)
| summarize Events=count() by DeviceName
| top 20 by Events descこの例は過去1日のプロセスイベント件数を端末別に表示するもので、不正な端末を判定する検出ロジックではありません。件数の多い端末が侵害されているとも、一覧にない端末が安全とも結論づけないでください。
画面では、結果の行だけでなく、実行が完了したか、警告やエラーがないか、期間とタイムゾーンが意図どおりかを見ます。クエリ内の時刻条件はUTCを基準に確認し、結果の表示タイムゾーンと混同しないようにします。
上限・部分結果・APIの変更を確認する
ポータル検索には行数・実行時間などの上限があります。大きな検索で結果が途中までになる場合は、期間、テーブル、列、対象端末を絞ります。失敗や打ち切りを「該当なし」と記録してはいけません。
API利用はポータルの手動検索とは別に点検します。公式API案内はMicrosoft Graph security APIへの移行を案内しています。自動処理を持つ組織は、使用中のエンドポイント、認証・権限、戻り値、制限、メッセージセンターMC1220762の該当案内を確認してください。記事の一般説明だけで廃止日を決めつけないようにします。
管理者が残す確認記録
- 対象テナント、サービス、接続ワークスペース、使用者の役割とデバイス範囲。
- クエリ本文、対象期間、実行時刻、結果件数、警告・エラー、リソース使用状況。
- 既知のイベントが検索できるか、同じ条件で以前の検索と比較できるか。
- 自動検出へ使う場合の誤検知、対象範囲、対応アクション。読み取り確認の直後に自動隔離などを有効にしない。
Advanced huntingの確認では、検索結果ゼロとデータ未収集を区別します。既知のテスト対象が見つかり、権限・期間・完了状態を確認できて初めて、検索結果の解釈に進めます。
コメント