Microsoft Defender XDRとは？Microsoft Defender portalでインシデントを横断して見る
この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。Microsoft LearnのDefender XDRと統合Defender portalの現行情報を2026-09-18に確認して整理しています。検証ステータス：📘 Microsoft公式情報確認済み・実機未確認
Microsoft Defender XDRは、Endpoint、Office 365、Identity、Cloud Appsなど複数のセキュリティ信号を関連付け、インシデントとして横断調査する仕組みです。XDR（Extended Detection and Response）は、端末だけでなくメール、ID、クラウドアプリなど複数領域をまたいで検知・調査・対応する考え方です。
E3/E5とライセンスの考え方
Defender portal自体と、そこで見えるデータ・使える対応機能は分けて考えます。Microsoft 365 E5では複数の高度なDefender機能が含まれます。E3でも2026年時点でDefender for Endpoint Plan 1やDefender for Office 365 Plan 1など利用できる保護が増えていますが、P2、Defender for Identity、Defender for Cloud Appsなどは別条件があります。「E3だからXDR不可」「portalが開くから全部利用可能」のどちらも単純化しすぎです。
flowchart LR EP[Endpoint] --> XDR[Microsoft Defender XDR] MAIL[Email / Collaboration] --> XDR ID[Identity] --> XDR CA[Cloud Apps] --> XDR XDR --> INC[Incident] INC --> SOC[SOC / 情シスの調査]
まず試す：読み取りだけでIncidentを観察
Microsoft Defender portalで Incidents & alerts > Incidents を開き、既存インシデントを1件選びます。Severity、Status、Related alerts、関連Device/User/Mailbox、Evidence、Attack storyを読みます。最初はResolve、端末隔離、削除などの変更操作をしません。
一般利用者・事務職・情シスの視点
一般利用者は、不審メールや端末警告を自己判断で消さず報告経路へ乗せます。事務職は「同じ人のメールと端末で連続した異常が起きていないか」を意識するとXDRの価値を理解しやすくなります。情シス/SOCは、複数アラートが同一攻撃として相関されている理由と証拠を確認します。
Advanced Huntingは読み取りから
対応ライセンスと権限がある環境ではKQL（Kusto Query Language）で横断検索できます。
DeviceInfo | where Timestamp > ago(1h) | project Timestamp, DeviceName, OSPlatform | take 20
見る点は直近1時間に情報が入っている端末名とOSです。成功条件はエラーなく少量の結果が返ること。1か所変えるなら ago(1h) を ago(24h) にし、時間範囲で件数がどう変わるか確認します。テーブルの利用可否と保持期間はライセンス・展開状態で異なります。
2026年時点で注意する統合portal
Microsoft Defender portalにはDefender各製品に加え、Microsoft Sentinelや一部Purviewアラートなど統合が進んでいます。Microsoftは2027年3月31日以降、Microsoft SentinelをAzure portalではサポートせずDefender portalへ移行する方針を案内しています。Sentinelの記事とDefender XDRのライセンスを混同せず、ポータル統合と製品利用権を分けて確認します。
管理者が確認する点
契約したDefender製品と実際の展開状態
E3/E5、P1/P2、追加Security SKUの境界
Defender portalのRBACと最小権限
Advanced Huntingで利用できるテーブル
自動調査・修復の設定と承認
Sentinel統合を利用する場合の移行計画
強い対応操作の承認・証拠保全手順
Microsoft公式一次情報
XDRの価値はアラートを一画面に集めるだけでなく、別々に見えたメール・ID・端末の事象を一つの攻撃として調査できることにあります。
