Microsoft Defender for Endpointをパイロットしてデプロイする

この記事では、organizationでのMicrosoft Defender for Endpointのパイロットとデプロイのワークフローについて説明します。 これらの推奨を活用して、Microsoft Defender for Endpointを個別のサイバーセキュリティツールとして、またはMicrosoft Defenderのエンドツーエンドソリューションの一部としてオンボーディングできます。

この記事では、運用環境の Microsoft 365 テナントがあり、この環境でMicrosoft Defender for Endpointのパイロットとデプロイを行っていることを前提としています。 この方法では、パイロット中に構成した設定とカスタマイズが、完全なデプロイに対して維持されます。

Defender for Endpoint は、侵害によるビジネス上の損害を防止または軽減することで、ゼロ トラスト アーキテクチャに貢献します。 詳細については、Microsoft ゼロ トラスト導入フレームワークの侵害によるビジネス上の損害の防止または軽減に関する記事を参照してください。

Microsoft Defender XDRのエンド ツー エンドのデプロイ

これは、インシデントの調査や対応など、Microsoft Defender XDRのコンポーネントをデプロイするのに役立つシリーズの 6 の記事 4 です。

このシリーズの記事は、エンドツーエンドデプロイの次のフェーズに対応しています。

Defender for Endpoint のワークフローをパイロットしてデプロイする

次の図は、IT 環境に製品またはサービスをデプロイするための一般的なプロセスを示しています。

まず、製品またはサービスを評価し、organization内でどのように機能するかを評価します。 次に、テスト、学習、カスタマイズのために、運用環境インフラストラクチャの適切な小さなサブセットを使用して、製品またはサービスをパイロットします。 その後、インフラストラクチャ全体または組織全体を対象とするまで、デプロイの対象範囲を段階的に拡大します。

運用環境で Defender for Endpoint をパイロットして展開するためのワークフローを次に示します。

次の手順を実行します。

1. ライセンスの状態を確認する
2. サポートされている管理ツールのいずれかを使用してエンドポイントをオンボードする
3. パイロット グループを確認する
4. 機能を試す

デプロイ ステージごとに推奨される手順を次に示します。

ハッカーから組織を保護する

Defender for Identity は、独自の強力な保護を提供します。 しかし、Microsoft Defenderの他の機能と組み合わせることで、Defender for Endpointは共有信号にデータを提供し、攻撃の防止に役立ちます。

サイバー攻撃の例と、Microsoft Defender XDRのコンポーネントが検出と軽減にどのように役立つかを次に示します。

Defender for Endpoint は、組織で管理されているデバイス上で悪用される可能性のある、デバイスやネットワークの脆弱性を検出します。

Microsoft Defenderは、すべてのMicrosoft Defenderコンポーネントからの信号を相関させ、攻撃の全ストーリーを提供します。

Defender for Endpoint アーキテクチャ

次の図は、Microsoft Defender for Endpoint のアーキテクチャと統合を示しています。

この表では、図について説明します。

手順 1: ライセンスの状態を確認する

まず、ライセンスの状態をチェックして、適切にプロビジョニングされたことを確認する必要があります。 これを行うには、管理センターまたは Microsoft Azure portalを使用します。

1. ライセンスを表示するには、Microsoft Azure portalに移動し、[Microsoft Azure portal ライセンス] セクションに移動します。

   

2. または、管理センターで[課金>サブスクリプション] に移動します。

   画面に、プロビジョニングされたすべてのライセンスとその現在の状態が表示 されます。

   

手順 2: サポートされている管理ツールのいずれかを使用してエンドポイントをオンボードする

ライセンスの状態が正しくプロビジョニングされていることを確認したら、デバイスのサービスへのオンボードを開始できます。

Microsoft Defender for Endpointを評価する目的で、評価を行う Windows デバイスをいくつか選択することをお勧めします。

サポートされている管理ツールのいずれを使用することもできますが、Intune では最適に統合できます。 詳細については、「Microsoft IntuneでMicrosoft Defender for Endpointを構成する」を参照してください。

「 デプロイの計画」 トピックでは、Defender for Endpoint の展開に必要な一般的な手順について説明します。

このビデオでは、オンボード プロセスの概要と、使用可能なツールと方法について説明します。

オンボーディング ツールのオプション

次の表に、オンボードする必要があるエンドポイントに基づく使用可能なツールの一覧を示します。

Microsoft Defender for Endpointをパイロットする場合は、organization全体をオンボードする前に、いくつかのデバイスをサービスにオンボードすることを選択できます。

その後、攻撃シミュレーションの実行や Defender for Endpoint による悪意のあるアクティビティの表示方法など、使用可能な機能を試して、効率的な対応を行うことができます。

手順 3: パイロット グループを確認する

[評価の有効化] セクションで説明されているオンボード手順を完了すると、約 1 時間後に [デバイス インベントリ] リストにデバイスが表示されます。

オンボードされたデバイスが表示されたら、機能の試用に進むことができます。

手順 4: 機能を試す

一部のデバイスのオンボードを完了し、サービスに報告していることを確認したので、すぐに利用できる強力な機能を試して製品を理解します。

パイロット中に、複雑な構成手順を実行することなく、いくつかの機能を簡単に試して製品の動作を確認できます。

まず、ダッシュボードをチェックアウトします。

デバイス インベントリを表示する

デバイス インベントリは、ネットワーク内のエンドポイント、ネットワーク デバイス、IoT デバイスの一覧を表示する場所です。 ネットワーク内のデバイスのビューが提供されるだけでなく、ドメイン、リスク レベル、OS プラットフォームなどの詳細な情報も提供され、最も危険にさらされているデバイスを簡単に識別できます。

Microsoft Defender 脆弱性の管理 ダッシュボードを表示する

Defender 脆弱性の管理は、organizationに最も緊急かつ最も高いリスクをもたらす弱点に焦点を当てるのに役立ちます。 ダッシュボードでは、組織の露出スコア、Microsoft セキュア スコア for Devices、デバイス露出の分布、上位のセキュリティに関する推奨事項、脆弱性の高いソフトウェア上位、修復アクティビティ上位、露出度の高いデバイス データ上位の全体像を把握できます。

シミュレーションを実行する

Microsoft Defender for Endpointには、パイロット デバイスで実行できる "Do It Yourself" 攻撃シナリオが付属しています。 各ドキュメントには、OS とアプリケーションの要件と、攻撃シナリオに固有の詳細な手順が含まれています。 これらのスクリプトは安全で文書化されており、使いやすいです。 これらのシナリオでは、Defender for Endpoint の機能が反映され、調査エクスペリエンスについて説明します。

提供されたシミュレーションのいずれかを実行するには、少なくとも 1 つのオンボード デバイスが必要です。

1. ヘルプ>Simulations & チュートリアルで、シミュレートする使用可能な攻撃シナリオを選択します。

   • シナリオ 1: ドキュメントがバックドアをドロップする - ソーシャル エンジニアリングされたルアー ドキュメントの配信をシミュレートします。 このドキュメントは、攻撃者に制御を与える特別に細工されたバックドアを起動します。

   • シナリオ 2: ファイルレス攻撃の PowerShell スクリプト - PowerShell に依存するファイルレス攻撃をシミュレートし、攻撃面の縮小と悪意のあるメモリ アクティビティのデバイス学習検出を示します。

   • シナリオ 3: 自動インシデント対応 - 自動調査をトリガーします。これにより、侵害アーティファクトを自動的に検索して修復してインシデント対応能力をスケーリングします。

2. 選択したシナリオに付属の対応するチュートリアル ドキュメントをダウンロードして読みます。

3. シミュレーション ファイルをダウンロードするか、ヘルプ>に移動してシミュレーション スクリプトをコピーします。 ファイルまたはスクリプトをテスト デバイスにダウンロードすることもできますが、必須ではありません。

4. チュートリアル ドキュメントの指示に従って、テスト デバイスでシミュレーション ファイルまたはスクリプトを実行します。

SIEM 統合

Defender for Endpoint をMicrosoft Sentinelまたは汎用セキュリティ情報およびイベント管理 (SIEM) サービスと統合して、接続されたアプリからのアラートとアクティビティを一元的に監視できます。 Microsoft Sentinelを使用すると、organization全体のセキュリティ イベントをより包括的に分析し、プレイブックを構築して効果的かつ即時に対応できます。

Microsoft Sentinelには、Defender for Endpoint コネクタが含まれています。 詳細については、Microsoft Sentinel 用 Microsoft Defender for Endpoint コネクタを参照してください。

汎用 SIEM システムとの統合の詳細については、「Microsoft Defender for Endpointで SIEM 統合を有効にする」を参照してください。

次の手順

Defender for Endpoint Security Operations Guide の情報を SecOps プロセスに組み込みます。

Microsoft Defenderのエンドツーエンド展開の次のステップ

パイロットを使用してMicrosoft Defender XDRのエンド ツー エンドのデプロイを続行し、Microsoft Defender for Cloud Appsをデプロイします。