Microsoft Intune でエンドポイント セキュリティの管理

Intune のエンドポイント セキュリティは、今日のハイブリッド作業環境でデバイスとデータを保護するための専用ツールを提供します。 管理センターのエンドポイント セキュリティ ノードは、これらの機能を 1 か所にグループ化し、セキュリティ管理者がゼロ トラスト原則の適用、ランサムウェアやマルウェアからの保護、コンプライアンス要件の適用、すべての管理対象デバイスにわたるセキュリティの脅威への対応を行うための一元的な場所を提供します。

エンドポイント セキュリティ ノードから、ポリシーの構成、セキュリティ ベースラインの展開、Microsoft Defender for Endpoint との統合、セキュリティ タスクの管理を行うことができます。 この統合されたアプローチにより、複雑な構成プロファイルをナビゲートすることなく、保護の迅速な確立、リスクのあるデバイスの特定、脆弱性の修復、コンプライアンスの維持に役立ちます。

一般的なセキュリティ シナリオ

エンドポイント セキュリティ ノードを使用して、一般的なセキュリティの課題に対処します。

• ランサムウェアやマルウェアから保護する - リアルタイム保護を備えたウイルス対策ポリシーを展開し、攻撃表面の縮小ルールを構成し、フォルダー アクセスの制御を有効にし、セキュリティ ベースラインを適用します。 詳細については、「 エンドポイント セキュリティ ポリシーを使用したデバイス セキュリティの管理」を参照してください。

• ゼロ トラスト原則を適用する - リソース アクセスにデバイス コンプライアンスを要求し、条件付きアクセスと統合してセキュリティ体制を確認し、Defender for Endpoint からのデバイス リスク シグナルを使用し、ディスク暗号化を展開し、エンドポイント特権管理 (EPM) による最小限の特権アクセスを適用します。 詳細については、「Microsoft Intune でのゼロ トラスト」を参照してください。

• 安全なリモート ワークとハイブリッド ワーク - リモート デバイスのコンプライアンスの監視、EDR ポリシーによる Defender for Endpoint へのデバイスのオンボード、ファイアウォール ポリシーの構成、および条件付きアクセスを使用して非準拠デバイスからのアクセスをブロックします。 詳細については、「Microsoft Intune でデータとデバイスを保護する」を参照してください。

• コンプライアンス要件を満たす - 業界のフレームワークに合わせたベースラインを使用して標準化されたセキュリティ構成を展開し、レポートを通じてコンプライアンス状態を監視し、非準拠デバイスに対する自動アクションを構成します。 詳細については、「セキュリティ ベースラインを使用して Intune で Windows デバイスを構成する」をご覧ください。

• セキュリティの脅威への対応 - Defender for Endpoint チームからのセキュリティ タスクの確認、リモート アクションによるリスクのあるデバイスの修復、暗号化キーのローテーション、ダッシュボードによる脅威検出の監視を行います。 詳細については、「Intune を使用して Microsoft Defender for Endpoint によって識別された脆弱性を修復する」を参照してください。

エンドポイント セキュリティ ダッシュボード

エンドポイント セキュリティ ダッシュボードには、セキュリティ体制の統合ビューが表示されます。

ダッシュボードにアクセスするには、Microsoft Intune 管理センターにサインインし、[エンドポイント セキュリティ>概要] に移動します。

ダッシュボードを使用すると、デバイスのセキュリティ状態をすばやく評価し、注意が必要な領域を特定できます。 ウイルス 対策、 エンドポイントの検出と応答、 Defender for Endpoint など、複数のエンドポイント セキュリティ領域からの情報が表示されます。

• Defender for Endpoint コネクタの状態 - Intune と Defender for Endpoint 間の接続状態を表示します。 接続されていない場合は、「Microsoft Defender for Endpoint を Intune に接続して統合を設定する」を参照してください。 状態ラベルは Microsoft Defender ポータルにもリンクします。

• Defender for Endpoint にオンボードされた Windows デバイス - エンドポイントの検出と応答 (EDR) にオンボードされたデバイスとオンボードされていないデバイスの数を表示します。 [事前構成されたポリシーを展開する] を選択して Intune 経由でデバイスをオンボードするか、[デバイスを Defender for Endpoint にオンボード] を選択して、Defender ポータル ワークフローを使用します。

• ウイルス対策エージェントの状態 - Microsoft Defenderウイルス対策ステータスレポートから概要の詳細を表示します。このレポートは、[レポート]>[ウイルス対策>概要] から入手できますMicrosoft Defender。

• その他の監視レポート - 検出されたマルウェアやファイアウォールの状態など、追加の Microsoft Defender ウイルス対策レポートにアクセスします。 センサーとウイルス対策の正常性データ用の Defender ポータルへのリンクもあります。

エンドポイント セキュリティ機能

次のセクションでは、各機能のしくみについて詳しく説明し、構成ガイダンス専用の記事へのリンクを示します。 ほとんどの機能は、追加の前提条件なしで使用できます。 セキュリティ タスクには、Defender for Endpoint との統合が必要です。これは、「Microsoft Defender for Endpoint との統合の設定」で説明されています。

デバイスの管理

Endpoint セキュリティの [すべてのデバイス] ビューには、Intune で使用できる Microsoft Entra ID のすべてのデバイスが表示されます。 この一元化されたビューから、organization全体のデバイスのコンプライアンス状態を監視し、特定のデバイスをドリルダウンしてポリシー違反を特定し、デバイスの再起動、マルウェア スキャンの開始、暗号化キーのローテーションなどの修復アクションを直ちに実行できます。

この統合されたデバイス ビューにより、セキュリティ管理者は、プラットフォームや登録方法に関係なく、フリート全体のセキュリティ問題を 1 つの場所で評価および修正できます。 詳細については、「Microsoft Intune でエンドポイント セキュリティを使用してデバイスを管理する」を参照してください。

セキュリティ基本計画

セキュリティ基本計画は、Microsoft セキュリティ チームが推奨する既定値を持つ Windows 設定の事前構成済みグループを提供します。 これらのベースラインにより、業界のベスト プラクティスとセキュリティ フレームワークに沿った包括的なセキュリティ体制を迅速に確立できます。 Intune では、Windows デバイス、Defender for Endpoint、Microsoft Edge など、複数のセキュリティ ベースラインがサポートされています。

各ベースラインには、機能領域別に編成された Microsoft が推奨する設定が含まれています。 ベースラインは、既定の設定でデプロイすることも、organization の要件に合わせてカスタマイズすることもできます。 詳細については、「セキュリティ ベースラインを使用して Intune で Windows デバイスを構成する」をご覧ください。

セキュリティ タスク

セキュリティ タスクにより、Defender for Endpoint チームと Intune チーム間のコラボレーションが可能になります。 Defender for Endpoint が脆弱性を特定すると、Defender for Endpoint のセキュリティ管理者は、影響を受けるデバイス、脆弱性、修復ガイダンスを指定するタスクを Defender for Endpoint ポータルに作成します。 これらのタスクは Intune に表示されます。Intune 管理者はタスクを受け入れ、適切なポリシーまたは構成をデプロイし、修復が確認された後に完了とマークします。 完了状態は、検証のために Defender for Endpoint ポータルに同期されます。

このワークフローにより、リスクにさらされているデバイスについて両方のチームの足並みが一致し、修復に対する明確な説明責任が提供されます。 セキュリティ タスクには、Defender for Endpoint との統合が必要です。 「Microsoft Defender for Endpoint との統合を設定する」を参照してください。 ワークフローの詳細については、「Intune を使用して Microsoft Defender for Endpoint によって識別された脆弱性を修復する」を参照してください。

エンドポイント セキュリティ ポリシー

エンドポイント セキュリティ ポリシーを使用すると、詳細なデバイス構成設定のナビゲーションを必要とせずに、特定のセキュリティ機能に対して合理化された構成オプションが提供されます。 これらのポリシーを使用して、ウイルス対策、ディスク暗号化、ファイアウォールなどのデバイスのセキュリティの側面を構成します。 各セキュリティ機能に関連する設定のみを表示することで、セキュリティ管理を簡素化します。

エンドポイント セキュリティ ノードには、デバイス コンプライアンスと条件付きアクセス ポリシーも含まれます。 これらのポリシーは、エンドポイントを構成するための重点を置いたセキュリティ ポリシーではありませんが、デバイスのセキュリティ体制を管理し、企業リソースへのアクセスを制御するために不可欠なツールです。 エンドポイント セキュリティには、Windows デバイスに最小限の特権アクセスを適用できるエンドポイント特権管理ポリシーも含まれています。

エンドポイント セキュリティ ポリシーは、デバイス構成プロファイルおよびセキュリティ ベースラインと共に機能するため、各シナリオに使用する方法を理解すると、構成の競合を防ぐのに役立ちます。 詳細については、「 エンドポイント セキュリティ ポリシーを使用したデバイス セキュリティの管理」を参照してください。

デバイス コンプライアンス ポリシー

デバイス コンプライアンス ポリシーは、デバイスとユーザーが企業リソースにアクセスするために満たさなければならない条件を確立します。 これらのポリシーは、コンプライアンス規則を定義し、デバイスがそれらの要件を満たしているかどうかを評価します。 コンプライアンス状態を Intune と Entra ID に報告します。

一般的なコンプライアンス ルールには、OS バージョン要件、パスワード要件、デバイスの正常性条件 (暗号化、脱獄検出)、Defender for Endpoint または Mobile Threat Defense パートナーによる脅威レベル制限、必要なセキュリティ機能などがあります。 コンプライアンス ポリシーでは、ユーザー通知、猶予期間後にデバイスを非準拠とマークする、リモート ロック、管理者レビューのための廃止リストへのデバイスの追加など、スケジュールに従って実行される 非コンプライアンスに対するアクション もサポートしています。

Microsoft Entra 条件付きアクセスと統合すると、コンプライアンス状態によって企業リソースへのアクセスが制御されます。 条件付きアクセスでは、コンプライアンス データを使用して、管理対象デバイスと管理されていないデバイスの両方のアクセスを制御できます。 詳細については、「Intune を使用して organization 内のリソースへのアクセスを許可するようにデバイスにルールを設定する」を参照してください。

条件付きアクセス

条件付きアクセス ポリシーは Intune と連携して、企業リソースにアクセスできるデバイスとアプリを制御します。 Intune は、デバイスのコンプライアンス状態を Entra ID に渡します。その後、条件付きアクセス ポリシーを使用してアクセス要件を適用します。 条件付きアクセス ポリシーでは、Intune を使用して管理されていないデバイスのアクセスを制御することもできます。また、Intune と統合する Mobile Threat Defense パートナーからのコンプライアンスの詳細を使用できます。

Intune で条件付きアクセスを使用する 2 つの一般的な方法を次に示します。

• デバイスベースの条件付きアクセス - 管理され準拠しているデバイスのみがネットワーク リソースにアクセスできるようにします。
• アプリベースの条件付きアクセス - アプリ保護ポリシーを使用して、Intune を使用して管理されていないデバイス上のユーザーによるネットワーク リソースへのアクセスを管理します。

詳細については、「条件付きアクセスと Intune について」を参照してください。

エンドポイント特権管理

エンドポイント特権管理は、IT 承認済みアプリケーションの一時的な昇格を有効にしながら、ユーザーが標準アカウントとして実行できるようにすることで、最小限の特権アクセスを適用します。 この最小特権機能は、アプリケーションのインストール、ドライバーの更新、Windows 診断の実行など、昇格されたアクセス許可を必要とするタスクのユーザーの生産性を維持しながら、包括的な管理アクセスを防ぐことで攻撃対象の領域を減らします。

エンドポイント特権管理を展開するには、どのアプリケーションを管理者権限でどのような条件で実行できるかを定義する昇格ルールを作成します。 昇格ルールでは、ファイル ハッシュ、発行元証明書、ファイル パスなど、複数の検証方法がサポートされています。 信頼されたアプリケーションの自動昇格、オプションの認証要件を伴うユーザー確認昇格、管理者が要求を確認するサポート承認昇格、または特定のファイルをブロックする規則の拒否を構成できます。 EPMには、管理された昇格と管理されていない昇格の両方に関する詳細なレポートが含まれており、昇格パターンの特定、ルールの調整、管理者ユーザー・アカウントから標準ユーザー・アカウントへのユーザーの移行の計画に役立ちます。

詳細については、「エンドポイント特権管理」を参照してください。

Microsoft Defender for Endpoint との統合を設定する

Defender for Endpoint を Intune と統合すると、他の方法では使用できない追加の機能がエンドポイント セキュリティ ノードで使用できるようになります。 Intune は複数の Mobile Threat Defense パートナーとの統合をサポートしていますが、Defender for Endpoint は、Windows、macOS、iOS、Android のプラットフォーム全体で Intune との最も広範な統合を提供します。

統合の利点は次のとおりです。

• セキュリティ タスク - Defender チームと Intune チーム間で共同作業を行い、デバイスの脆弱性を特定して修復します。
• 合理化されたデバイス オンボード - Intune から EDR ポリシーを展開して、デバイスを Defender for Endpoint にオンボードします。
• デバイス リスク シグナル - コンプライアンス ポリシーとアプリ保護ポリシーで Defender の脅威レベルを使用します。
• 制御された構成 (プレビュー) - Intune の Defender セキュリティ設定を適用し、他の管理チャネルの設定を置き換えます。 制御された構成設定では、既存の改ざん防止動作もサポートされます。

詳細については、「デバイス コンプライアンスのための Microsoft Defender for Endpoint と Intune の統合」を参照してください。

役割ベースのアクセス制御の要件

Intune 管理センターのエンドポイント セキュリティ ノードでタスクを管理するには、アカウントが次の条件を満たしている必要があります。

• Intune のライセンスを割り当てる。
• Endpoint Security Manager の組み込み Intune ロールと同等の役割ベースのアクセス制御 (RBAC) アクセス許可を持っている。 このロールは、Intune 管理センターへのアクセスを許可して、セキュリティ ベースライン、デバイス コンプライアンス、条件付きアクセス、Defender for Endpoint などのセキュリティとコンプライアンス機能を管理します。

詳細については、「Microsoft Intune を使用したロールベースのアクセス制御 (RBAC) 」および「エンドポイント セキュリティ マネージャーの役割リファレンス」を参照してください。

適切なポリシーの種類を選択する

Intune には、デバイスのセキュリティを構成するための複数の方法が用意されています。 各方法をいつ使用するかを理解すると、設定を効率的に管理し、競合を回避するのに役立ちます。

ポリシーの比較

意思決定ガイダンス: 各ポリシーの種類をいつ使用するか

エンドポイント セキュリティ ポリシーを使用する場合は、次の場合にします。

• ウイルス対策やファイアウォールなどの特定のセキュリティ機能をすばやく構成する必要があります。
• セキュリティ設定を一般的なデバイス構成とは別に管理したい。
• 特定のセキュリティ上の脅威または脆弱性に対応している。
• 広範な構成オプションをナビゲートすることなく、合理化されたビューが必要です。

セキュリティ ベースラインは、次の場合に使用します。

• 新しく管理されたデバイスをセットアップしていて、Microsoft が推奨する構成が必要です。
• CIS や NIST などのセキュリティ フレームワークに合わせる必要があります。
• 包括的なセキュリティ体制を迅速に確立したい場合。
• Microsoft のベスト プラクティスの既定値を受け入れ、最小限のカスタマイズを希望します。

デバイス構成プロファイルは、次の場合に使用します。

• エンドポイント セキュリティ ポリシーで使用できない設定を構成する必要があります。
• セキュリティを超えて、一般的なデバイス機能 (Wi-Fi、メール、証明書など) を管理している場合。
• ベースラインの推奨事項とは異なる特定の構成要件があります。

コンプライアンス ポリシーは、次の場合に使用します。

• 企業リソースにアクセスするための最小セキュリティ要件を定義する必要があります。
• デバイスの状態に基づいて条件付きアクセスを実装しています。
• デバイスのセキュリティ態勢を監視して報告したい場合。
• 非準拠デバイスに対する自動化アクションが必要です。

複数のポリシー タイプを併用できますか?

はい。ただし、競合を避けるために慎重に計画を立ててください。

• ベスト プラクティス。 両方の設定ではなく、同じ設定に対してエンドポイント セキュリティ ポリシーまたはセキュリティ ベースラインを使用してください。
• コンプライアンス ポリシーは、あらゆる構成方法と共に機能します。 結果の状態を評価します。
• アプリ保護ポリシーは、多層防御のためのデバイス ポリシーを補完します。
• Intune の競合検出ツールを使用して、設定の競合を特定して解決します。

次のセクションでは、ポリシーの競合の防止と解決に関する詳細なガイダンスを提供します。

ポリシーの競合を回避する

さまざまな Intune 機能でエンドポイントのセキュリティ設定を管理できます。 これらの機能には、エンドポイント セキュリティ ポリシー、セキュリティ ベースライン、デバイス構成ポリシー、Windows 登録ポリシーが含まれます。 競合は、複数のポリシーが同じデバイスで同じ設定を異なる値で設定すると発生します。

Intune が競合を解決する方法

同じデバイスに複数のポリシーが割り当てられている場合、適用される設定は関係するポリシーの種類によって異なります。

• コンプライアンス ポリシーは構成ポリシーよりも優先されます。 コンプライアンス ポリシーと構成ポリシー (エンドポイント セキュリティ ポリシー、セキュリティ ベースライン、デバイス構成など) の両方に同じ設定が表示されている場合、Intune はコンプライアンス ポリシー値を使用します。

• 複数のコンプライアンス ポリシーで最も制限的な設定が使用されます。 複数のコンプライアンス ポリシーが同じ設定を構成する場合、Intune は最も制限の厳しい値を適用します。

• 構成ポリシーの競合は手動で解決する必要があります。 複数の構成ポリシー (エンドポイント セキュリティ、セキュリティ ベースライン、デバイス構成、設定カタログ) が同じ設定に異なる値を設定する場合は、競合を手動で特定して解決する必要があります。 設定が適用されず、競合を示すフラグが設定される可能性があります。

競合を回避する

競合を回避するには:

• 展開前に特定の設定を管理するために使用するポリシーの種類を計画します。
• 複数の方法 (ベースラインやエンドポイント セキュリティ ポリシーなど) を使用している場合は、同じ設定を異なる値で構成したり、異なるデバイス グループに割り当てたりしないようにしてください。
• Intune の組み込みツールを使用して、発生した競合を特定して解決します。

競合の特定と解決の詳細については、次を参照してください。

• 「Intune のポリシーとプロファイルのトラブルシューティング」
• セキュリティ ベースラインの監視
• セキュリティ ベースラインのドキュメントで競合を回避します。

よく寄せられる質問

エンドポイント セキュリティ ポリシーとデバイス構成プロファイルの違いは何ですか?

エンドポイント セキュリティ ポリシー (ウイルス対策、ファイアウォール、ディスク暗号化など) は、関連するセキュリティ設定のみを含む合理化されたビューを提供し、デバイス構成プロファイルよりも構成と管理が容易になります。 デバイス構成プロファイルには、すべてのデバイス設定 (Wi-Fi、メール、ブラウザーなど) が含まれており、その他のオプションに移動する必要があります。 両方が存在する場合は、セキュリティ構成にエンドポイント セキュリティ ポリシーを使用することを検討してください。

Intune でエンドポイント セキュリティを使用するには、Defender for Endpoint が必要ですか?

その必要はありません。 エンドポイント セキュリティ ポリシー、セキュリティ ベースライン、コンプライアンス ポリシーは、Defender for Endpoint なしで使用できます。 ただし、Defender の統合には、脅威の検出、セキュリティ タスク、コンプライアンスのためのデバイス リスク シグナル、改ざん防止などの大きな利点があります。 包括的なエンドポイント保護のためには、Defender 統合をお勧めします。

セキュリティ ベースラインとエンドポイント セキュリティ ポリシーを一緒に使用できますか?

はい。ただし、両方で同じ設定を構成しないように注意してください。 セキュリティ ベースラインは、Microsoft が推奨する包括的な構成を提供します。 個別に管理する必要がある特定の設定、またはベースラインに含まれていない設定には、エンドポイント セキュリティ ポリシー (ウイルス対策、ファイアウォール、ディスク暗号化など) を使用します。 ガイダンスについては、「 ポリシーの競合を避ける」 を参照してください。

コンプライアンス ポリシーと構成ポリシーの違いを教えてください。

構成ポリシー (エンドポイント セキュリティ ポリシー、セキュリティ ベースライン、デバイス構成プロファイル) によってデバイス設定 が行われます 。 コンプライアンス ポリシーは主に、デバイスが要件を満たしているかどうかを 評価 し、コンプライアンス状態を報告します。 一部のプラットフォームでは、コンプライアンス ポリシーが、非準拠の構成を修正するようユーザーに求めることで、PIN やパスワード要件などの特定のセキュリティ設定を適用することもできます。 これらを組み合わせて使用する: エンドポイント セキュリティ ポリシーまたはセキュリティ ベースラインを使用して設定を構成し、デバイスがコンプライアンス ポリシーを使用して要件を満たしていることを検証します。

Endpoint Security で保護できるデバイスはどれですか?

エンドポイント セキュリティでは以下がサポートされます。

• Windows - すべてのエンドポイント セキュリティ ポリシーの種類: ウイルス対策、ディスク暗号化、ファイアウォール、エンドポイントの検出と応答、攻撃面の縮小、ビジネス向けアプリ制御、アカウント保護。
• macOS - ウイルス対策、ディスク暗号化 (FileVault)、ファイアウォール、エンドポイントの検出と応答。
• Linux - ウイルス対策およびエンドポイントの検出と対応。
• iOS/iPadOS - コンプライアンス ポリシー、アプリ保護ポリシー。 Defender for Endpoint は、脅威を検出するためのアプリとして展開できます。
• Android - コンプライアンス ポリシー、アプリ保護ポリシー。 Defender for Endpoint は、脅威を検出するためのアプリとして展開できます。

機能はプラットフォームによって異なります。 プラットフォーム固有の機能の詳細については、「 エンドポイント セキュリティ ポリシーを使用したデバイス セキュリティの管理」を参照してください。

ポリシーがデバイスに適用されるまでどのくらいの時間がかかりますか?

デバイスは、既定では 8 時間ごと (Windows) またはプラットフォームに基づいて定期的にポリシーの更新をチェックします。 デバイスから、または Intune 管理センターを介して即時同期をトリガーできます。 通常、セキュリティ クリティカルなポリシーは同期後数分以内に適用されますが、完全な適用は設定の複雑さとデバイスの状態によって異なります。

デバイスが非対応になるとどうなりますか?

アクションは、コンプライアンス ポリシーの構成によって異なります。

1. Intune はデバイスを非準拠としてマークします。
2. ユーザー通知、リモート ロック、管理者レビューのための廃止リストへのデバイスの追加など、コンプライアンス違反に対してスケジュールされたアクションが適用されます。
3. 条件付きアクセスと統合された場合、企業リソースへのアクセスがブロックされる可能性があります。
4. ユーザーには、問題を修復するための手順が記載された通知が記載されています。
5. 問題が解決され、デバイスが同期されると、コンプライアンス状態が更新されます。

関連コンテンツ

構成:

• セキュリティ基本計画
• コンプライアンス ポリシー
• 条件付きアクセスの統合
• Microsoft Defender for Endpoint を使用してメールを保護する