Microsoft Defender XDR

​

概要

​

機能

​

前提条件

​

パート A — Azure AD アプリケーションを登録する

​

パート B — CaseBender で統合を構成する

​

インバウンド（自動ポーリング、推奨）

• スケジュールされたプル — pollingIntervalMinutes ごとに、CaseBender は lastUpdateDateTime gt <cursor> と $expand=alerts を用いてインシデントを古い順に取得し ます。初回実行時は pollingInitialLookbackHours の範囲内で更新されたインシデントを取り込み ます。
• カーソルと重複排除 — 統合ごとのカーソルが最新のインシデントまで進み、インシデントは Defender のインシデント ID で重複排除されるため、同じものが二重に取り込まれることはありませ ん。
• 正規化 — 各インシデントとその子アラートは、オブザーバブル、資産、MITRE TTP を含む CaseBender のアラートになります。Defender のインシデント ID はアラートに記録され、アウトバ ウンドのクローズ同期がそれを見つけられるようにします。

​

インバウンド（Webhook / プッシュ）

​

エンドポイント

POST https://<あなたの-casebender-ドメイン>/api/v1/ingest/defender

​

ペイロード形式

curl -X POST "https://<あなたの-casebender-ドメイン>/api/v1/ingest/defender" \
  -H "x-api-key: cbr_defender_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{
    "value": [
      {
        "id": "da637...",
        "incidentId": "12345",
        "title": "不審な PowerShell の実行",
        "severity": "high",
        "status": "new",
        "classification": "unknown",
        "createdDateTime": "2026-07-03T18:20:00Z",
        "mitreTechniques": ["T1059.001"],
        "evidence": [
          { "@odata.type": "#microsoft.graph.security.fileEvidence",
            "sha256": "9f2b...", "fileName": "payload.ps1" }
        ]
      }
    ]
  }'

curl -X POST "https://<あなたの-casebender-ドメイン>/api/v1/ingest/defender" \
  -H "x-api-key: cbr_defender_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{
    "id": "da637...",
    "title": "エンドポイントでマルウェアを検出",
    "severity": "medium",
    "status": "new",
    "createdDateTime": "2026-07-03T18:20:00Z"
  }'

{ "success": true, "processed": 1, "failed": 0 }

​

処理パイプライン

​

データマッピングリファレンス

​

アウトバウンド: ケースのディスポジションを Defender に同期

​

リンクされた Defender エンティティの解決方法

1. ケースの extraData.defenderAlertId / extraData.defenderIncidentId
2. extraData.source === "defender" の場合の sourceRef
3. ケースにリンクされた Defender アラート — 取り込みパイプラインが各アラートの customFields に Defender のインシデント/アラート ID を記録するため、Defender アラート （ポーリングまたは Webhook 由来）から昇格したケースは、作成方法にかかわらず自動的に解決 されます。

​

解決 → 分類のマッピング

Case closed in CaseBender with resolution: <解決>

​

セキュリティに関する考慮事項

• シークレットの取り扱い — クライアントシークレットは統合設定に保存されます。組織が要求する スケジュールでローテーションし、その際に統合を更新してください。
• 最小権限 — インバウンドのみの展開では SecurityAlert.Read.All と SecurityIncident.Read.All のみを付与してください。アウトバウンドのクローズ連携を有効にする 場合にのみ、対応する ReadWrite.All スコープを追加します。より広範な Graph スコープを追加 しないでください。
• トークンキャッシュ — アクセストークンは統合ごとにメモリ内にキャッシュされ、有効期限の 1 分前に更新されます。トークンはディスクに永続化されません。
• Webhook キー — cbr_defender_ API キーはシークレットとして扱ってください。公開された場合は ローテーションし、送信者の構成を更新します。
• ネットワーク — 送信を login.microsoftonline.com と graph.microsoft.com に制限します。

​

トラブルシューティング

​

関連ドキュメント

• 統合の概要
• Microsoft Graph セキュリティ API
• Microsoft Defender XDR