Microsoft Defender for Cloud でエンドポイント統合のDefenderを有効にする

Microsoft Defender for Cloud は、Microsoft Defender for Endpoint とネイティブに統合 され、Defender for Endpoint と Defender for Cloud の Defender 脆弱性管理機能を提供します。

• Defender for Cloud で Defender for Servers プランを有効にすると、Defender for Endpoint 統合が既定で有効になります。
• この統合は、前提条件が満たされた際に、サポートされているマシン上で既存のDefender for Endpointインストールを展開または使用します。

この記事では、以前にオフにしていたDefender for Endpoint統合を手動で有効化する方法や、手動でオプトインが必要なレガシーサブスクリプションがある場合について説明します。

前提条件

エンドポイント統合のDefenderを有効にする前に、これらの要件を確認してください。

デプロイ前の検証

Defender for Endpointの統合を有効にする前に、以下のチェックを完了してください:

• マシンの電源が入っていて、サポートされているオペレーティングシステムが動作しているかを確認してください。
• Azure Arc対応マシンの場合、Azure Connected Machineエージェントが正常な接続状態を報告しているか確認してください。
• マシンがDefender for EndpointサービスのURLにアクセスできるか確認してください。 すべての必要なサービスエンドポイントが到達可能であることを証明するために、単一のURLに対するテストを使わないでください。
• プロキシにインタラクティブなユーザー認証が必要でないか確認してください。 Defender for Endpoint のセンサーはシステム コンテキストで接続します。
• Linuxでは、ディストリビューションがサポートされているか、Pythonインストールされているか、/opt/microsoft/mdatpを含むファイルシステムがnoexecでマウントされていないかを確認してください。
• グループポリシーとサードパーティのアンチマルウェア設定を確認し、Microsoft Defender AntivirusおよびEarly Launch Antimalware(ELAM)ドライバーが無効化されていないか確認してください。

接続性とセンサー準備状況の完全な評価を行うには、Microsoft Defender for Endpoint Client Analyzerを実行してください。 アナライザーはサービスエンドポイントをテストし、センサーが使用するのと同じセキュリティコンテキスト内で診断結果を収集します。

Windowsの準備状況情報を収集する

以下の読み取り専用PowerShellスクリプトは、デプロイ失敗を調査する際によく必要とされる情報を収集します。 サーバーを改変せず、サポートされているオペレーティングシステムチェックやクライアントアナライザーの代替にもなりません。

$os = Get-CimInstance Win32_OperatingSystem
$disk = Get-CimInstance Win32_LogicalDisk -Filter "DeviceID='$($env:SystemDrive)'"
$himds = Get-Service -Name himds -ErrorAction SilentlyContinue
$senseService = Get-Service -Name Sense -ErrorAction SilentlyContinue
$defenderService = Get-Service -Name WinDefend -ErrorAction SilentlyContinue

[pscustomobject]@{
    ComputerName             = $env:COMPUTERNAME
    OperatingSystem          = $os.Caption
    OSVersion                = $os.Version
    SystemDriveFreeGB        = [math]::Round($disk.FreeSpace / 1GB, 2)
    AzureArcAgent            = if ($himds) { $himds.Status } else { 'Not installed' }
    SenseService             = if ($senseService) { $senseService.Status } else { 'Not present' }
    DefenderAntivirusService = if ($defenderService) { $defenderService.Status } else { 'Not present' }
    PowerShellVersion        = $PSVersionTable.PSVersion.ToString()
}

出力をリンクされたプラットフォーム要件に照らして解釈してください。 停止または欠落したサービスだけでは根本原因の証拠にはなりません。なぜなら、期待されるサービス状態はオペレーティングシステムや展開段階に依存しているからです。

Linux の対応状況を収集する

以下のコマンドを実行して、Linuxの前提条件や正常性情報を収集してください:

cat /etc/os-release
python3 --version
findmnt -no TARGET,OPTIONS /
findmnt -T /opt -o TARGET,OPTIONS
azcmagent show
mdatp health

Defender for Endpointがまだインストールされていない場合、mdatp healthコマンドは利用できません。 ディストリビューションとバージョンをLinux上のDefender for Endpointの事前条件に照らして検証し、インストール後にクライアント アナライザーを使って接続性を検証し、診断情報を収集します。

プラットフォームごとの展開と検証

Windows Server 2019 以降

• Defender for Servers Plan 1またはPlan 2を有効にしてください。
• 環境設定>エンドポイント保護が有効になっているか確認してください。
• Azureポータルで拡張機能の状態を確認してください:VM>Extensions>>プロビジョニングに成功しました。
• Microsoft Defender ポータルでオンボーディングを確認: デバイス> サーバー名。

Windows Server 2016およびWindows Server 2012 R2

• Defender for Servers を有効にしてください。
• オペレーティングシステムとMicrosoft Defender Antivirusは常に最新の状態に保ってください。
• 統合エージェントがインストールされた後は、DefenderアンチウイルスアップデートKB5005292が承認され適用され、EDRセンサーが更新を受け続けるようにしてください。
• Microsoft DefenderポータルでMDE.Windows拡張機能とデバイスレコードを確認してください。

Linux サーバー

• 展開前にサポート対象のディストリビューション、Python要件、ファイルシステムマウントオプション、アウトバウンド接続性を検証してください。
• Azure ポータルで拡張機能の状態を確認してください:VM>Extensions>MDE.Linux>プロビジョニングに成功しました。
• mdatp health を実行し、healthy と licensed が正しいことを確認してください。
• インストールが失敗した場合は、Linux 版 Defender for Endpoint のインストール問題のトラブルシューティングに従い、インストールまたは拡張機能のログで実際の失敗を確認した後にのみ、同様の文言のエラーに対して修正を適用してください。

サブスクリプションでDefender for Endpoint連携を有効にする

Defender for Serversプランを有効にすると、Defender for Endpointの統合はデフォルトで有効になります。 サブスクリプションの統合を無効にした場合は、手動でもう一度有効にすることができます。

サブスクリプションでエンドポイント統合のDefenderを有効にするには:

1. Azure portal にサインインする

2. Microsoft Defender for Cloud>Environment settings に移動します。

3. Defender for Endpoint連携を展開したいマシンを含むサブスクリプションを選択してください。

4. >] に移動します。

5. [状態] を [オン] に切り替えます。

   

6. 続行を選択します。

7. 保存を選びます。

8. Defender for Endpointセンサーは、前提条件を満たす対応WindowsおよびLinuxマシンに展開されています。

9. Defender for Cloudは既存のDefender for Endpointインストールを検出し、同じDefender for Endpoint組織(テナント)にデバイスが関連付けられている場合に使用します。 他の組織にオンボーディングされたデバイスは自動的に再割り当てされるわけではありません。

Linux マシンへのインストールを確認する

Linux マシンへのエンドポイント センサーのインストールのDefenderを確認するには:

1. 各マシンで次のシェル コマンドを実行します: mdatp health。 Microsoft Defender for Endpoint がインストールされている場合は、その正常性状態が表示されます。

   healthy : true

   licensed: true

2. また、AzureポータルでLinuxマシンに新しいAzure拡張機能「MDE.Linux」があるかどうかも確認できます。

レガシーサブスクリプション(2022年春以前に作成):Windows Server 2016/2012 R2でDefender for Endpoint統一ソリューションを有効にする

2022年春以前に作成したサブスクリプションでDefender for Serversを有効にし、Defender for Endpoint連携を有効にしている場合、サブスクリプション内でWindows Server 2016またはWindows Server 2012 R2を実行しているマシン向けに統合ソリューションの統合を手動で有効にする必要があるかもしれません。

1. Azure portal にサインインする

2. Microsoft Defender for Cloud>Environment settings に移動します。

3. Defender for Endpoint を受け取る対象の Windows マシンを含むサブスクリプションを選択してください。

   エンドポイント保護コンポーネントの状態は部分的であり、コンポーネントのすべての部分が有効になっているわけではありません。

4. [修正] を選択すると、有効になっていないコンポーネントが表示されます。

   

5. 不足しているコンポーネント>Unified ソリューションに移動します。

6. [不足しているコンポーネント]>[Unified solution]\(統合ソリューション\) で、[有効化] を選択して、Microsoft Defender for Cloud に接続されている Windows Server 2012 R2 および 2016 マシンに Defender for Endpoint エージェントを自動的にインストールします。

   

7. 保存を選びます。

8. 設定とモニタリングで「続ける」を選択してください。

Defender for Cloud は、既存のマシンと新しいマシンを Defender for Endpoint にオンボードします。

テナントの最初のサブスクリプションでDefender for Endpointを設定する場合、オンボーディングに最大12時間かかることがあります。 統合を有効にしてから新規マシンやサブスクリプションを作成する場合、オンボーディングには最大1時間かかります。

レガシーサブスクリプション(2021年夏以前に作成):Linuxマシンで有効化(プラン/統合有効)

Defender for Servers が既に有効になっていて、2021 年夏より前に存在していたサブスクリプションで Defender for Endpoint 統合がオンになっている場合は、Linux マシンの統合を手動で有効にする必要がある場合があります。

1. Azure portal にサインインする

2. Microsoft Defender for Cloud>Environment settings に移動します。

3. Defender for Endpoint を受け取りたい Linux マシンを含むサブスクリプションを選択してください。

   エンドポイント保護コンポーネントの状態は部分的であり、コンポーネントのすべての部分が有効になっているわけではありません。

4. [修正] を選択すると、有効になっていないコンポーネントが表示されます。

   

5. [不足しているコンポーネント]>[Linux machines]\(Linux マシン\) で、[有効] を選択します。

   

6. [Save](保存) を選択して設定を保存します。

7. 設定とモニタリングで「続ける」を選択してください。

   • Defender for Cloud は、Linux マシンを Defender for Endpoint にオンボードします。
   • Defender for Cloud は、Linux マシン上の以前の Defender for Endpoint インストールを検出し、Defender for Cloud と統合するように再構成します。
   • テナントの最初のサブスクリプションでDefender for Endpointを設定する場合、オンボーディングに最大12時間かかることがあります。 統合を有効にした後に作成された新しいマシンの場合、オンボードには最大 1 時間かかります。

8. Linux マシンへの Defender for Endpoint センサーのインストールを確認するには、次のシェル コマンドを各マシンで実行します。

   mdatp health

   Microsoft Defender for Endpoint がインストールされている場合は、その正常性状態が表示されます。

   healthy : true

   licensed: true

9. Azure portal で、Linux マシンに MDE.Linux という新しい Azure 拡張機能があることを確認できます。

複数のサブスクリプションで PowerShell との統合を有効にする

LinuxマシンやWindows Server 2012 R2および2016のMicrosoft Defender for Endpoint(MDE)Unitedソリューションで複数のサブスクリプションでDefender for Servers統合を有効にするには、Defender for Cloud GitHubリポジトリ内のPowerShellスクリプトのいずれかを使用します。

• Enable MDE 統合ソリューション スクリプトを使用して、Windows Server 2012 R2 または Windows Server 2016 上のエンドポイント最新統合ソリューションのDefenderとの統合を有効にします。
• Linux 用の MDE 統合を有効にするスクリプトを使用して、Linux マシンで Defender for Endpoint 統合を有効にします。

Linux の自動更新を管理する

Windowsでは、Defender for Endpointのバージョンアップデートは継続的なナレッジベース更新を通じて提供されます。 Linux では、Defender for Endpoint パッケージを更新する必要があります。

• MDE.Linux 拡張機能と共に Defender for Servers を使用する場合は、Microsoft Defender for Endpoint の自動更新が既定で有効になります。

• バージョン更新プログラムを手動で管理する場合は、マシンで自動更新を無効にすることができます。 これを行うには、MDE.Linux 拡張機能を使用して、オンボードされたマシンに対して次のタグを追加します。

  • タグ名: ExcludeMdeAutoUpdate
  • タグ値: true

この構成は、 MDE.Linux 拡張機能が自動更新を開始する Azure VM と Azure Arc マシンでサポートされています。

統合を大規模に有効にする

Defender for Endpoint 統合は、提供されている REST API バージョン 2022-05-01 を通じて大規模に有効にすることができます。 詳しくは、API ドキュメントを参照してください。

以下の例は、Defender for Endpoint統合を可能にするPUTリクエストの要求ボディを示しています。 このMicrosoft.Security/settingsリソース構成はWDATP設定を有効に設定し、指定されたサブスクリプションに対してプログラム的にエンドポイント統合のDefenderを有効化します。

URI： https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

拡張機能の展開に関するトラブルシューティング

失敗段階を特定せずに再挑戦する代わりに、次のシーケンスを使用してください。

Windows診断

• Azureポータル: VM>Extensions>>詳細な状態を表示
• イベント ビューアー: アプリケーションおよびサービスログ>Microsoft>Windows>Windows Defender
• 拡張機能のログ: C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.AzureDefenderForServers.MDE.Windows
• WindowsでDefender for Endpoint Client Analyzerを実行してください。
• オンボーディングやセンサー エラーについては、Defender for Endpoint のオンボーディングに関する問題のトラブルシューティングをご利用ください。

Linux の診断

• Azureポータル: VM>拡張機能>MDE.Linux>詳細な状態を見る

• 拡張機能のログ: /var/log/azure/Microsoft.Azure.AzureDefenderForServers.MDE.Linux/

• 設置記録: /var/log/microsoft/mdatp/install.log

• インスタレーションジャーナル: sudo journalctl --no-pager | grep 'microsoft-mdatp'

• センサーの健康状態: mdatp health

• マシンがAzure Arc対応の場合:azcmagent show

• 診断パッケージ: sudo mdatp diagnostic create

• Linux 版 Defender for Endpoint のインストールに関する問題のトラブルシューティング (依存関係、サービスアカウント、systemd、SELinux および noexec に関連するものなど) 手順に従ってください。

Defender for Endpoint のデプロイの状態を追跡する

Defender for Endpoint デプロイ状態ブックを使用して Azure VM と Azure Arc 対応 VM の Defender for Endpoint デプロイの状態を追跡できます。 インタラクティブワークブックは、環境内のマシンの概要を示し、Defender for Endpoint拡張機能の展開状況を示します。

Microsoft Defender ポータルにアクセスする

Defender for Cloudから Microsoft Defender ポータルにアクセスするには、次の手順を実行します。

1. ポータルアクセスのための適切な権限を持っていることを確認してください。

2. 匿名トラフィックをブロックするプロキシやファイアウォールがあるかどうか確認してください。

   • Defender for Endpointのセンサーはシステムコンテキストから接続されるため、匿名トラフィックを許可する必要があります。
   • Microsoft Defender ポータルへのアクセスが妨げられていないことを確認するには、 プロキシ サーバー内のサービス URL へのアクセスを有効にします。

3. Microsoft Defender ポータルを開きます。 Microsoft Defender ポータルでのインシデントとアラートについて説明します。

検出テストの実行

検出テストを実行するには、 デバイスのオンボーディングおよび報告サービスの検証を行うEDR検出テストを参照してください。

Defender for Endpoint をマシンから削除する

Defender for Endpoint ソリューションをマシンから削除するには:

1. Azure portal にサインインする

2. Microsoft Defender for Cloud>環境設定に行き、該当するサブスクリプションを選択してください。

3. >] に移動します。

4. エンドポイント保護をオフに切り替えてください。

5. 続行を選択します。

6. 保存を選びます。

7. コンピューターから MDE.Windows または MDE.Linux 拡張機能を削除します。

8. Microsoft Defender for Endpoint サービスからデバイスをオフボードします。

Defender for Endpoint 統合タグを削除する

Defender for Cloudを通じてWindowsデバイスをオンボーディングすると、Defender for EndpointはDefender for Cloudに関連するレジストリ値を作成します。 これらのレジストリ タグはオフボード後もデバイスに残り、機能には影響しません。

これらのタグを完全に削除するには、次の手順に従います。 Linux では、システムはこの情報を内部に格納し、レジストリに表示しません。

1. スタートを選択し、regeditを入力、Enterを選択してレジストリエディターを開いてください。

2. 左側のウィンドウで、次の操作を行います。

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. これらの値の名前が存在する場合は削除します。

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId

次のステップ