Microsoft Intune のエンドポイント セキュリティ ポリシーを使用してデバイス セキュリティを管理する

セキュリティ管理者は、Intune エンドポイント セキュリティ ポリシーを使用して、管理対象デバイスのセキュリティ設定を構成および管理します。 エンドポイント セキュリティ ポリシーは、特定のデバイス セキュリティ シナリオに焦点を当てた専用のセキュリティ プロファイルであり、organization 全体のセキュリティ制御を実装および管理するための合理化されたアプローチを提供します。

デバイス構成ポリシーを使用してセキュリティ設定を管理するのと比較して、エンドポイント セキュリティ ポリシーには、いくつかの重要な利点があります。

• 重点的なセキュリティ管理: 各ポリシーの種類は、特定のセキュリティ領域 (ウイルス対策、ファイアウォール、ディスク暗号化など) を対象とします。より広範なデバイス構成プロファイルのように複雑になることはありません。
• セキュリティ第一のアプローチ: 一般的なデバイス管理ではなく、セキュリティ シナリオ専用に設計された専用のポリシー。
• セキュリティ機能別に整理: 一般的なデバイス管理設定と混在するのではなく、セキュリティ ワークロード (ウイルス対策、ファイアウォールなど) 別にグループ化されます。
• 包括的な監視: 組み込みのレポートと競合検出により、セキュリティ ポリシーが正常に展開されるようにします。

エンドポイント セキュリティ ポリシーの統合について

他の Intune ポリシーの種類と共にエンドポイント セキュリティ ポリシーを実装する場合は、構成の競合を最小限に抑えるためのアプローチを計画します。 すべての Intune ポリシーの種類は、デバイス構成設定の同等のソースとして扱われます。つまり、デバイスが複数のポリシーから同じ設定に対して異なる構成を受け取ると、競合が発生します。

一般的な競合シナリオ:

• セキュリティ ベースラインでは、推奨される構成に準拠するように設定に既定値以外を設定できますが、エンドポイント セキュリティおよびデバイス構成ポリシーは通常既定で [未構成] に設定されています。これらの方法を混在させると競合が発生する可能性があります (競合の解決)。
• エンドポイント セキュリティ ポリシーと同じ設定を管理するデバイス構成ポリシー (競合の解決)。
• 同じ設定に対して異なる値を設定する複数のエンドポイント セキュリティ ポリシー (競合を管理)。

競合が発生すると、影響を受ける設定が正しく適用されない可能性があります。 ポリシー アーキテクチャを計画し、リンクされたガイダンスを使用して競合を特定して解決します。

利用可能なエンドポイント セキュリティ ポリシーの種類

Microsoft Intune 管理センターの Endpoint security>Manage からエンドポイント セキュリティ ポリシーにアクセスします。

アカウントの保護

• 目的: 先進認証方法でユーザーの ID とアカウントを保護する
• プラットフォームのサポート: Windows
• 使用可能なプロファイル: アカウント保護、ローカル管理者パスワード ソリューション (Windows LAPS)、ローカル ユーザー グループのメンバーシップ
• ユース ケース: パスワードレス認証と資格情報保護を実装する

ウイルス対策

• 目的: ウイルス対策保護の設定を構成および管理する
• プラットフォームのサポート: Windows、macOS、Linux
• 使用可能なプロファイル: Defender Update コントロール、Microsoft Defender ウイルス対策、Microsoft Defender ウイルス対策の除外、Windows セキュリティ エクスペリエンス、macOS エンドポイント セキュリティウイルス対策
• ユース ケース: Windows デバイスで Microsoft Defender ウイルス対策ポリシーを一元管理する

ビジネス向けアプリ コントロール

• 目的: Windows Defender アプリケーション制御 (WDAC) を使用して、Windows デバイスで実行できるアプリケーションを制御する
• プラットフォームのサポート: Windows
• 使用可能なプロファイル: Windows Defender アプリケーション制御 (WDAC)
• ユース ケース: アプリケーションの許可リストを実装し、ソフトウェアの実行を制御する

攻撃面の減少

• 目的: 潜在的な攻撃ベクトルとシステムの脆弱性を軽減する
• プラットフォームのサポート: Windows
• 使用可能なプロファイル: アプリとブラウザーの分離、攻撃面の縮小ルール、デバイス制御、悪用に対する保護、アプリケーション制御
• ユース ケース: 一般的な攻撃方法と手法に対してデバイスを強化
• 要件: Microsoft Defender ウイルス対策が主要なウイルス対策ソリューションである必要があります

ディスク暗号化

• 目的: データ保護のために組み込みの暗号化方式を管理する
• プラットフォームのサポート: Windows、macOS
• 使用可能なプロファイル: BitLocker、個人データ暗号化 (PDE)、macOS FileVault
• ユース ケース: ネイティブ暗号化テクノロジを使用して保存データを保護する

エンドポイントでの検出と対応

• 目的: Microsoft Defender for Endpoint の統合とオンボードを構成する
• プラットフォームのサポート: Windows、macOS、Linux
• 使用可能なプロファイル: エンドポイントの検出と応答 (オンボードおよび構成用)
• ユース ケース: 高度な脅威の検出と対応の機能を有効にする
• 要件: Microsoft Defender for Endpoint ライセンスとテナント接続

ファイアウォール

• 目的: 組み込みのファイアウォール保護を構成する
• プラットフォームのサポート: Windows、macOS
• 使用可能なプロファイル: Windows ファイアウォール、Windows ファイアウォール規則、macOS ファイアウォール
• ユース ケース: ネットワーク アクセスの制御とネットワーク セグメンテーションの実装

強化された管理機能

エンドポイント セキュリティ ポリシーには、基本的なポリシーの展開に加えて、次の管理機能が含まれます。

再利用可能な設定グループ: 複数のポリシー間で共有できる標準化された構成を作成し、管理オーバーヘッドを削減し、一貫性を確保します。 後援:

• ファイアウォール>Windows ファイアウォール規則 プロファイル (Windows プラットフォーム)
• 攻撃面の縮小>デバイス制御 プロファイル (Windows プラットフォーム)

Microsoft Defender ポータルによるセキュリティ設定の管理: デバイスに Microsoft Defender for Endpoint があるが、Intune に登録されていない場合は、Defender ポータルから直接、一部のエンドポイント セキュリティ ポリシー (ウイルス対策、攻撃面の減少、EDR) を使用できます。 これにより、以下が提供されます。

• 環境内の Intune に登録されていないデバイスへのセキュリティ管理を拡張します。
• Defender ポータルを介した統合されたポリシー管理エクスペリエンス。
• 登録済みデバイスと登録されていないデバイス全体で一貫したセキュリティ制御を行います。

エンドポイント セキュリティのためのロールベースのアクセス制御

エンドポイント セキュリティ ポリシーを管理するには、適切な Intune ロールベースのアクセス制御 (RBAC) アクセス許可が必要です。 適切なロールの割り当てとポリシー管理アクセスには、現在の RBAC アクセス許可モデルを理解することが不可欠です。

必要な RBAC アクセス許可

エンドポイント セキュリティ ポリシーでは、特定のワークロードに対する詳細なアクセス許可または セキュリティ ベースライン のアクセス許可のいずれかを使用します。 必要なアクセス許可は、ポリシーの種類によって異なります。

詳細なアクセス許可 (ポリシー固有のアクセス):

• ビジネス向けアプリケーション制御 - アプリケーション制御ポリシーとレポート
• 攻撃面の縮小 - ほとんどの攻撃面の縮小ポリシー。 (次の重要な注意を参照してください)
• エンドポイントの検出と応答 - EDR ポリシーとレポート

セキュリティ ベースラインのアクセス許可 (統合アクセス):

• ウイルス対策 ポリシー (すべてのプロファイル)
• アカウント保護 ポリシー
• ディスク暗号化 に関するポリシー
• ファイアウォール ポリシー
• 一部の 攻撃面の縮小 プロファイル: アプリとブラウザーの分離、 Web 保護、 悪用に対する保護、 フォルダー アクセスの制御

プロファイル固有の要件の詳細については、「 カスタム ロールに関する考慮事項」を参照してください。

組み込みの RBAC ロール

次の Intune 組み込みロールは、エンドポイント セキュリティ ワークロードへのアクセスを提供します。

• エンドポイント セキュリティ マネージャー - すべてのエンドポイント セキュリティ ポリシーにわたる完全な管理機能。
• ヘルプ デスク オペレーター - 制限付き操作タスクと読み取りアクセス。
• 読み取り専用オペレーター - ポリシーとレポートへの表示限定アクセス。

カスタム ロールに関する考慮事項

レポート アクセス: デバイス構成の [レポートの表示 ] 権限により、エンドポイント セキュリティ ポリシー レポートにアクセスすることもできます。

Defender ポータルの統合: Defender ポータルを介したセキュリティ設定の管理では、同じ Intune RBAC アクセス許可が使用されます。

複数管理承認: 役割の変更には、organization のガバナンス設定によっては、二重管理者の承認が必要になる場合があります。

エンドポイント セキュリティ ポリシーの作成

エンドポイント セキュリティ ポリシーを作成するには、次の一般的なワークフローに従います。

1. [ポリシーの作成] に移動します。

   • Microsoft Intune 管理センターにサインインします。
   • [エンドポイント セキュリティ] に移動し>目的のポリシーの種類を選択します >ポリシーの作成。

2. ポリシーの基本を構成する:

   • プラットフォーム: ターゲット デバイス プラットフォームを選択します (オプションはポリシーの種類によって異なります)。
   • プロファイル: 選択したプラットフォームで使用可能なプロファイルから選択します。
   • [ 作成] を選択して続行します。

3. ポリシーの構成を完了します。

   • 基本: プロファイルのわかりやすい名前とオプションの説明を指定します。
   • 構成設定: 設定の各グループを展開し、このプロファイルで管理する設定を構成します。 設定が完了したら、[ 次へ] を選択します。
   • スコープ タグ: [ スコープ タグの選択] を選択して [ タグの選択 ] ウィンドウを開き、スコープ タグをプロファイルに割り当てます (省略可能)。
   • 割り当て: このプロファイルを受け取るグループを選択します。 「 ユーザーおよびデバイスプロファイルの割り当て」を参照してください。
   • レビュー + 作成: 構成を確認し、準備ができたら 作成 を選択します。 新しいプロファイルがポリシーの一覧に表示されます。

高度なポリシー管理

重複するポリシー

ポリシーの複製により、複雑なポリシーを最初から作成し直すのではなく、既存の構成をコピーして、さまざまなシナリオに合わせて変更できるため、展開が効率化されます。

ポリシーの重複の一般的なユース ケース:

• 環境デプロイ: 運用ポリシーをステージング環境またはテスト環境にコピーします。
• グループのバリエーション: さまざまなユーザー グループに対して同様のポリシーを作成します (たとえば、セキュリティ要件が若干異なるエグゼクティブと一般ユーザー)。
• 地域のカスタマイズ: コンプライアンス要件が異なるさまざまな地理的な場所に合わせてポリシーを適応させます。
• 段階的なロールアウト: 段階的展開用に同じポリシーの複数のバージョンを作成します。

重複ワークフロー:

1. ポリシー リストでソース ポリシーを見つけます。
2. 省略記号 (...) >を選択してください複製。
3. 新しいわかりやすい名前を入力して保存します。
4. 複製されたポリシーを編集して、特定のユース ケースの設定をカスタマイズします。
5. ターゲット シナリオの新しいグループの割り当てを構成します。

既存のポリシーを変更する

プロパティ ビューを使用してポリシーを更新します。

1. 変更するポリシーを選択します。
2. 変更が必要な各セクション ([基本]、[割り当て]、[スコープ タグ]、[構成設定]) について [編集] を選択します。
3. セクションを編集した後、次のセクションに進む前に変更を保存します。

ポリシーの競合を管理する

戦略的な計画と監視を通じてポリシーの競合を防止および解決します。

防止戦略:

• 実装前にポリシー アーキテクチャを計画し、特定の設定を管理するポリシーの種類を文書化します。
• ポリシーの種類全体で一貫した構成方法を使用します。
• 必要に応じて、主要な構成ソースとしてセキュリティ ベースラインを適用します。

ポリシーの境界について:

• 設定の重複: エンドポイント セキュリティ ポリシーによって管理される多くの設定は、デバイス構成ポリシーとセキュリティ ベースラインでも使用できます。
• 優先度等: Intune がデバイス構成を評価する場合、すべてのポリシーの種類の優先度が等しくなります。
• 競合動作: 複数のポリシーが同じ設定を異なる値で構成した場合、設定が適用されず、競合のフラグが設定される可能性があります。

競合のトラブルシューティング ワークフロー:

1. 競合の特定: ポリシー展開レポートのエラーまたは競合状態フラグを監視します。
2. 設定の確認: どのポリシーの種類が複数のポリシーの同じ設定を対象としているかを確認します。
3. 設定ごとの状態を確認する: デバイス レベルのレポートを使用して、適用されているポリシーを特定します。
4. ベースラインの確認: セキュリティ ベースラインで他のポリシーと競合する既定値以外が設定されていないかどうかを判断します。
5. 解決策を適用する: ポリシー固有のガイダンスを使用して、競合を体系的に解決します。

解決リソース: Intune のポリシーとプロファイルのトラブルシューティングと、セキュリティ ベースラインの監視。

Microsoft Defender for Endpoint を使用してメールを保護する

多くのエンドポイント セキュリティ ポリシーには、オプションの機能強化から重要な統合まで、Microsoft Defender for Endpoint と緊密に統合されています。 これらの関係を理解することは、実装を成功させるために不可欠です。

ポリシー固有の Defender の依存関係

エンドポイントの検出と応答 (EDR):

• 統合の必要なもの: Intune との Defender for Endpoint テナント接続。
• オンボード パッケージ: プラットフォームごとに Defender 固有のオンボード構成を使用します。
• コア機能: リアルタイムの攻撃検出および対応機能を提供します。

ウイルス対策:

• クロスプラットフォーム管理: Windows デバイスは組み込みの Microsoft Defender ウイルス対策を使用し、macOS デバイスは Microsoft Defender for Endpoint を使用します。
• 改ざん防止: Defender for Endpoint P1 以上のライセンスを持つ Windows と macOS で使用できます。

攻撃面の減少:

• 要件: Microsoft Defender ウイルス対策が主要なウイルス対策ソリューションである必要があります。
• ASR ルール: 攻撃表面の縮小ルールは、Defender for Endpoint と統合するネイティブの Microsoft Defender ウイルス対策機能です。
• デバイス制御: 高度なデバイス制御ポリシーでは、Defender の周辺機器の監視機能が使用されます。

アプリケーション制御:

• マネージド インストーラー: Defender のアプリケーションのタグ付けおよび信頼メカニズムとの統合。
• ポリシーの適用: アプリケーション制御の決定に Defender インフラストラクチャを使用します。

Defender 統合の利点

• 統合されたセキュリティ体制: エンドポイント セキュリティ ポリシーと脅威検出全体にわたる可視性を一元化します。
• 高度なレポート: デバイス コンプライアンスと脅威インテリジェンス データを組み合わせたもの。
• クロスプラットフォーム管理: Defender エージェントを通じて、Windows、macOS、Linux 全体で一貫したセキュリティ ポリシーの展開。
• セキュリティ設定の管理: Defender ポータルを使用して、登録されていないデバイス上のエンドポイント セキュリティ ポリシー (ウイルス対策、攻撃面の減少、EDR) の選択を管理します。 「Microsoft Defender for Endpoint セキュリティ設定の管理」を参照してください。

Defender 統合の前提条件

• ライセンス: Microsoft Defender for Endpoint P1 以上のライセンス。
• テナント接続: Intune テナントと Defender for Endpoint テナント間のサービス間接続。
• エージェントの展開: ターゲット デバイスにインストールされた Defender for Endpoint エージェント (一部のポリシーの種類に必要)。
• ネットワーク接続: Defender のセキュリティ設定管理とポリシー通信のための *.dm.microsoft.com エンドポイントへのデバイス アクセス。

次の手順

• エンドポイント セキュリティの概要を調べる
• 包括的なセキュリティ構成のセキュリティ ベースラインを確認します
• 再利用可能な設定グループについて
• Microsoft Defender for Endpoint の統合を構成する
• デバイス保護戦略を理解する