Microsoft Defender for Cloud でエンドポイント統合のDefenderを有効にする

Microsoft Defender for Cloud は、Microsoft Defender for Endpoint とネイティブに統合 され、Defender for Endpoint と Defender for Cloud の Defender 脆弱性管理機能を提供します。

• Defender for Cloud で Defender for Servers プランを有効にすると、Defender for Endpoint 統合が既定で有効になります。
• 統合により、Defender for Endpoint エージェントがマシンに自動的にデプロイされます。

この記事では、以前にオフにしていたDefender for Endpoint統合を手動で有効化する方法や、手動でオプトインが必要なレガシーサブスクリプションがある場合について説明します。

前提条件

エンドポイント統合のDefenderを有効にする前に、これらの要件を確認してください。

サブスクリプションでDefender for Endpoint連携を有効にする

Defender for Servers プランを有効にすると、Defender for Endpoint 統合が既定で有効になります。 サブスクリプションの統合を無効にした場合は、手動でもう一度有効にすることができます。

サブスクリプションでエンドポイント統合のDefenderを有効にするには:

1. [Defender for Cloud]>[環境設定] に移動します。

2. 関連するサブスクリプションを選択します。

3. >] に移動します。

4. 状態を [オン] に設定します。

   

5. 続行を選択します。

6. 保存を選びます。

7. Defender for Endpoint センサーは、選択したサブスクリプション内のすべての Windows および Linux マシンにデプロイされます。

   オンボードには最大で 1 時間かかることがあります。 Defender for Cloud は、以前の Defender for Endpoint インストールを検出し、Defender for Cloud と統合するように再構成します。

Linux マシンへのインストールを確認する

Linux マシンへのエンドポイント センサーのインストールのDefenderを確認するには:

1. 各マシンで次のシェル コマンドを実行します: mdatp health。 Microsoft Defender for Endpoint がインストールされている場合は、その正常性状態が表示されます。

   healthy : true

   licensed: true

2. さらに、Azure portal で、Linux マシンに MDE.Linux という新しい Azure 拡張機能があることを確認できます。

Windows Server 2016/2012 R2 で Defender for Endpoint 統合ソリューションを有効にする

Defender for Servers が有効になっていて、2022 年春より前に存在していたサブスクリプションで Defender for Endpoint の統合が有効になっている場合は、サブスクリプションで Windows Server 2016 または Windows Server 2012 R2 を実行しているマシンの統合ソリューションの統合を手動で有効にする必要がある場合があります。

1. [Defender for Cloud]>[環境設定] に移動します。

2. 関連するサブスクリプションを選択します。

3. Defender for Servers プランの [監視対象] 列で、[設定] を選択します。

   Endpoint Protection コンポーネントの状態が [Partial]\(部分的\) で、コンポーネントの一部が有効ではありません。

4. [修正] を選択すると、有効になっていないコンポーネントが表示されます。

   

5. 不足しているコンポーネント>Unified ソリューションに移動します。

6. 有効にするを選択します。

   

   エンドポイント エージェントのDefenderは、Microsoft Defender for Cloudに接続されている Windows Server 2012 R2 および 2016 マシンに自動的にインストールされます。

7. 保存を選びます。

8. [設定と監視] で、[続行] を選択 します。

   Defender for Cloud は、既存のマシンと新しいマシンを Defender for Endpoint にオンボードします。

   テナントの最初のサブスクリプションで Defender for Endpoint を構成する場合、オンボードには最大 12 時間かかる場合があります。 統合が初めて有効になった後に作成された新しいマシンとサブスクリプションの場合、オンボードには最大 1 時間かかります。

Linux マシンで有効にする (プラン/統合が有効)

Defender for Servers が既に有効になっていて、2021 年夏より前に存在していたサブスクリプションで Defender for Endpoint 統合がオンになっている場合は、Linux マシンの統合を手動で有効にする必要がある場合があります。

1. [Defender for Cloud]>[環境設定] に移動します。

2. 関連するサブスクリプションを選択します。

3. Defender for Servers プランの [監視対象] 列で、[設定] を選択します。

   エンドポイント保護コンポーネントの状態は [部分] で、コンポーネントの一部が有効ではないことを意味します。

4. [修正] を選択すると、有効になっていないコンポーネントが表示されます。

   

5. Linux マシン > 不足しているコンポーネントで、[ 有効にする] を選択します。

   

6. 保存を選びます。

7. [設定と監視] で、[続行] を選択 します。

   • Defender for Cloud は、Linux マシンを Defender for Endpoint にオンボードします。
   • Defender for Cloud は、Linux マシン上の以前の Defender for Endpoint インストールを検出し、Defender for Cloud と統合するように再構成します。
   • テナントの最初のサブスクリプションで Defender for Endpoint を構成する場合、オンボードには最大 12 時間かかる場合があります。 統合を有効にした後に作成された新しいマシンの場合、オンボードには最大 1 時間かかります。

8. Linux マシンへの Defender for Endpoint センサーのインストールを確認するには、次のシェル コマンドを各マシンで実行します。

   mdatp health

   Microsoft Defender for Endpoint がインストールされている場合は、その正常性状態が表示されます。

   healthy : true

   licensed: true

9. Azure portal で、Linux マシンに MDE.Linux という新しい Azure 拡張機能があることを確認できます。

複数のサブスクリプションで PowerShell との統合を有効にする

Defender for ServersをLinuxマシンやWindows Server 2012 R2および2016と複数のサブスクリプションでMicrosoft Defender for Endpoint(MDE)Unified solutionと連携させるには、Defender for Cloud内のPowerShellスクリプトのいずれかを使用できますGitHubリポジトリ。

• Enable MDE 統合ソリューション スクリプトを使用して、Windows Server 2012 R2 または Windows Server 2016 上のエンドポイント最新統合ソリューションのDefenderとの統合を有効にします。
• Linux 用の MDE 統合を有効にするスクリプトを使用して、Linux マシンで Defender for Endpoint 統合を有効にします。

Linux の自動更新を管理する

Windows では、Defender for Endpoint バージョンの更新プログラムは、継続的なナレッジ ベース更新プログラムを介して提供されます。 Linux では、Defender for Endpoint パッケージを更新する必要があります。

• MDE.Linux 拡張機能と共に Defender for Servers を使用する場合は、Microsoft Defender for Endpoint の自動更新が既定で有効になります。

• バージョン更新プログラムを手動で管理する場合は、マシンで自動更新を無効にすることができます。 これを行うには、MDE.Linux 拡張機能を使用して、オンボードされたマシンに対して次のタグを追加します。

  • タグ名: ExcludeMdeAutoUpdate
  • タグ値: true

この構成は、 MDE.Linux 拡張機能が自動更新を開始する Azure VM と Azure Arc マシンでサポートされています。

統合を大規模に有効にする

Defender for Endpoint 統合は、提供されている REST API バージョン 2022-05-01 を通じて大規模に有効にすることができます。 詳しくは、API ドキュメントを参照してください。

以下の例は、Defender for Endpoint統合を可能にするPUTリクエストの要求ボディを示しています。 このMicrosoft.Security/settingsリソース構成はWDATP設定を有効に設定し、指定されたサブスクリプションに対してプログラム的にエンドポイント統合のDefenderを有効化します。

URI： https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Defender for Endpoint のデプロイの状態を追跡する

Defender for Endpoint デプロイ状態ブックを使用して Azure VM と Azure Arc 対応 VM の Defender for Endpoint デプロイの状態を追跡できます。 対話型ブックには、Microsoft Defender for Endpoint 拡張機能のデプロイ状態を示す環境内のマシンの概要が表示されます。

Microsoft Defender ポータルにアクセスする

Defender for Cloudから Microsoft Defender ポータルにアクセスするには、次の手順を実行します。

1. ポータルにアクセスするための適切なアクセス許可があることを確認します。

2. 匿名トラフィックをブロックしているプロキシまたはファイアウォールがあるかどうかを確認します。

   • Defender for Endpoint センサーはシステム コンテキストから接続するため、匿名トラフィックを許可する必要があります。
   • Microsoft Defender ポータルへのアクセスが妨げられていないことを確認するには、 プロキシ サーバー内のサービス URL へのアクセスを有効にします。

3. Microsoft Defender ポータルを開きます。 Microsoft Defender ポータルでのインシデントとアラートについて説明します。

検出テストの実行

検出テストを実行するには、 EDR 検出テストに従って、デバイスのオンボード サービスとレポート サービスを確認します。

Defender for Endpoint をマシンから削除する

Defender for Endpoint ソリューションをマシンから削除するには:

1. 統合を無効にするには、Defender for Cloud >[環境設定] で、関連するマシンを含むサブスクリプションを選択します。
2. [Defender プラン] ページで、[設定と監視] を選びます。
3. Endpoint Protection コンポーネントの状態で、[オフ] を選んで、サブスクリプションに対して Microsoft Defender for Endpoint との統合を無効にします。
4. [続行] と [保存] を選んで設定を保存します。
5. コンピューターから MDE.Windows または MDE.Linux 拡張機能を削除します。
6. Microsoft Defender for Endpoint サービスからデバイスをオフボードします。

Defender for Endpoint 統合タグを削除する

Defender for Cloud を通じて Windows デバイスがオンボードされると、Defender for Endpoint によって Defender for Cloud に関連するレジストリ値が作成されます。 これらのレジストリ タグはオフボード後もデバイスに残り、機能には影響しません。

これらのタグを完全に削除するには、次の手順に従います。 Linux では、システムはこの情報を内部に格納し、レジストリに表示しません。

1. [スタート] を選択し、「regedit」と入力し、Enter キーを押してレジストリ エディターを開きます。

2. 左側のウィンドウで、次の操作を行います。

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. これらの値の名前が存在する場合は削除します。

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId