Log Analytics エージェントの廃止の準備

Log AnalyticsエージェントはMicrosoftモニタリングエージェント(MMA)とも呼ばれ、Defender for Cloud Log Analyticsエージェント退職プランに記載されている通り、2024年11月に退職しました。 この廃止により、Microsoft Defender for Cloudのマシンプラン上のDefender for ServerおよびDefender for SQLは更新され、Log Analyticsエージェントに依存していた機能は再設計されます。

この記事では、Log Analyticsエージェント(MMA)の退職計画をまとめます。

Defender for Servers を準備する

Defender for Serversプランは、一般公開(GA)でLog Analyticsエージェントを使用し、プレビュー段階ではAMAでDefender for Serversエージェントおよび機能サポートを行っています。 これらの機能の今後の展開を次に示します。

オンボーディングを簡素化するために、Defender for Serversのすべてのセキュリティ機能と機能を単一のエージェント(Microsoft Defender for Endpoint)で利用でき、エージェントレスのマシンスキャンも備え、Log AnalyticsエージェントやAzure Monitorエージェント(AMA)に依存しません。

• AMA に基づくサーバー機能のDefenderは現在プレビュー段階であり、GA ではリリースされません。
• AMAに依存するプレビュー機能も、Defender for Endpoint統合やエージェントレスマシンスキャン機能に依存する代替バージョンが提供されるまでサポートされ続けます。
• Defender for Endpoint 統合とエージェントレス マシンのスキャン機能を非推奨になる前に有効にすることで、Defender for Servers のデプロイが最新の状態になり、サポートされます。

機能

以下の表は、Defender for Serversの機能がどのように提供されているかをまとめたものです。 ほとんどの機能は、Defender for Endpoint の統合またはエージェントレス マシンのスキャンを使用して、既に一般提供されています。 以下の表に挙げられている残りのDefender for Servers機能は、MMAが引退するまでにGAで利用可能になるか、廃止される見込みです。

ログ分析エージェント自動プロビジョニング エクスペリエンス - 廃止計画

MMAエージェントのリタイアメントの一環として、Defender for Cloudの顧客向けにエージェントのインストールと設定を提供する自動プロビジョニング機能も2段階で廃止されます。

1. 2024 年 9 月末までに 、MMA の自動プロビジョニングは、機能を使用しなくなったお客様と、新しく作成されたサブスクリプションに対して無効になります。

   • 9 月末以降に MMA 自動プロビジョニングをオフにする既存のサブスクリプションでは、後で機能を有効にできなくなります。

   • 新しく作成されたサブスクリプションでは、自動プロビジョニングを有効にできなくなり、自動的にオフになります。

2. 2024年11月末 - MMAの自動プロビジョニングがまだオフにされていないサブスクリプションで無効になります。 それ以降、既存のサブスクリプションでMMAの自動プロビジョニングを有効にすることは不可能になります。

データ インジェストの 500 MB の特典

サポートされているデータ型の 500 MB の無料データ インジェスト許容量を保持するには MMA から AMA に移行する必要があります。

AMA をデプロイする方法の詳細については、こちらを参照してください。

マシン上の SQL サーバーの場合は、SQL サーバーを対象とする Azure Monitor エージェント (AMA) の自動プロビジョニング プロセスに移行することをお勧めします。

Log Analytics エージェントを使用した従来の Defender for Servers Plan 2 のオンボーディングへの変更

Microsoftは、Log AnalyticsエージェントとLog Analyticsワークスペースを使用するDefender for Servers Plan 2に移行する従来のオンボードサーバー方式を廃止します。 引退には以下の変更が含まれます。

• Log Analyticsエージェントやワークスペースを使ってDefender for Serverに新しい非Azureマシンをオンボーディングするオンボーディング体験は、Defender for Cloudポータルのインベントリページと「はじめて始めて」から削除されました。

• Log Analytics Workspaceに接続している影響を受けたマシンのセキュリティカバレッジを失わないために、エージェントの退職に関して以下の措置を取ってください。

  • もし非Azureサーバー(オンプレミスおよびマルチクラウドの両方)を、非Azureマシン向けのレガシーLog Analyticsエージェントのオンボーディングでオンボーディングした場合、Azure Arc対応サーバーを使ってこれらのマシンをDefender for Servers Plan 2のAzureサブスクリプションとコネクタに接続してください。 大規模にマシンを展開する詳細は、Azure Arcのサーバー展開オプションをご覧ください。
  • もしレガシー方式で選定されたAzure VMでDefender for Servers Plan 2を有効にした場合は、これらのマシンのAzureサブスクリプションでDefender for Servers Plan 2を有効にしてください。 その後、Defender for Servers の リソースごとの構成 を使用して、個々のマシンを Defender for Servers の保護対象から除外できます。

以下の表は、レガシーアプローチを通じてDefender for Servers Plan 2にオンボーディングされた各サーバーの必要なアクションをまとめたものです。

システムアップデートとパッチ推奨の体験 - 変更点と移行ガイダンス

システム更新プログラムとパッチは、コンピューターのセキュリティと正常性を維持するために重要です。 アップデートには、修正されなければ悪意のある人に悪用されやすい脆弱性に対するセキュリティパッチが含まれていることが多いです。

Defender for Cloud Foundational CSPM および Defender for Servers プランは、以前 Log Analytics エージェントを使ってシステム更新の推奨を提供していました。 従来のLog Analyticsエージェントベースのシステムアップデート推奨体験は、Azure Update Managerを使って収集されるセキュリティ推奨に置き換えられ、これらは2つの新しい推奨から構成されています。

• 不足しているシステム更新プログラムを定期的に確認するようにマシンを構成する必要がある

• システム更新プログラムをマシンにインストールする必要があります (Azure Update Managerを利用)

お使いのマシンでシステム更新とパッチの推奨事項に対処する方法を学びましょう。

どの推奨事項が置き換えられますか?

次の表は、非推奨となる推奨事項や置き換えられる推奨事項のタイムテーブルをまとめたものです。

新しい推奨事項の準備方法

• Azure以外のマシンを Arc に接続します。

• お使いのコンピューターで定期的な評価更新設定が有効になっていることを確認します。 有効化方法は2通りあります:

  • 推奨事項の修正:Azure Update Managerを使って、マシンは定期的にシステムアップデートの欠如を確認するように設定すべきです。
  • Azure Policyで定期的な大規模評価を有効にしてください。

• これらのステップを完了すると、Update Managerがマシンの最新のアップデートを取得し、最新のマシンのコンプライアンス状況を確認できます。

エンドポイント保護推奨事項エクスペリエンス - 変更と移行のガイダンス

エンドポイントの検出と推奨事項は以前、Defender for Cloud の基本的な CSPM および Defender for Servers プランで、一般提供中または AMA を介してプレビュー段階の Log Analytics エージェントを使用して提供されていました。 従来のMMAやAMAベースのエンドポイント発見および推奨体験は、エージェントレスマシンスキャンを用いて収集されるセキュリティ推奨に置き換えられています。

エンドポイント保護の推奨事項 は、2 段階で構成されています。 最初の段階は エンドポイント検出と応答ソリューションの発見です。 第2段階はソリューションの構成 評価 です。 次の表では、各段階における現在のエクスペリエンスと新しいエクスペリエンスが提供されています。

これらの新しいエンドポイントでの検出と対応に関する推奨事項 (エージェントレス) を管理する方法について学びます。

エンドポイントでの検出および対応ソリューション - 検出

以下の表は、エンドポイント検出および応答ソリューションにおける現在および新しい発見体験を比較したものです。

エンドポイントでの検出および対応ソリューション - 構成評価

以下の表は、エンドポイント検出および応答ソリューションにおける現行および新規構成評価体験を比較しています。

非推奨になる推奨事項

次の表は、非推奨となる推奨事項や置き換えられる推奨事項のタイムテーブルをまとめたものです。

新しいエージェントレスエンドポイント保護の推奨機能は、エージェントレスマシンスキャンに基づくもので、マルチクラウドマシン向けにWindowsとLinux OSの両方をサポートしています。

代替はどのように機能しますか?

• Log Analytics エージェントまたは AMA で提供される現在の推奨事項は、時間の経過に伴い非推奨となる予定です。
• これらの既存の推奨事項の一部は、エージェントレス マシンのスキャンに基づく新しい推奨事項に置き換えられる予定です。
• 現在一般提供されている推奨事項は、Log Analytics エージェントが廃止されるまでそのまま配置されます。
• 現在プレビュー段階の推奨事項は、新しい推奨事項がプレビュー可能になった時点で置き換えられる予定です。

セキュリティ スコアの現状

以下のポイントは、MMAベースからエージェントレスエンドポイント保護への移行過程でセキュアスコアがどのように影響を受けるかを説明します。

• 現在一般提供されている推奨事項は、引き続きセキュリティ スコアに影響します。
• 現在および今後の新しい推奨事項は、セキュリティ ベンチマークの同じMicrosoft Cloud制御下にあり、セキュリティ スコアに重複する影響がないことを確認します。

新しい推奨事項の準備方法

新しいエージェントレスエンドポイント保護の推奨事項に備えるために、以下の行動を取ってください。

• Defender for Servers Plan 2またはDefender Cloud Security Posture Managementの一環として、エージェントレスマシンスキャンを有効にすることを確認してください。
• 環境に適している場合は、代替GA推奨が出たら廃止推奨を削除してください。 そのためには、Azure Policy の組み込みの Defender for Cloud イニシアチブの推奨事項を無効にします。

ファイル整合性監視エクスペリエンス - 変更と移行のガイダンス

Defender for Servers Plan 2は、Defender for Endpoint(MDE)統合を基盤とした新しいファイル整合性監視(FIM)ソリューションを現在提供しています。 FIM powered by MDEが一般に利用可能になった後、Defender for CloudのFIM powered by AMAポータル体験は削除されます。 11 月に、MMA を利用する FIM は非推奨になります。

AMA による FIM から移行する

現在、AMA による FIM を使っている場合:

• 5月30日以降、AMAや変更追跡拡張機能に基づくFIMへの新規サブスクリプションやサーバーのオンボーディングや変更の閲覧はできなくなり、Defender for Cloudポータルを通じて変更の確認もできません。

• AMA によって収集された FIM イベントを引き続き使いたい場合は、関連するワークスペースに手動で接続し、次のクエリを使って Change Tracking のテーブルの変更を表示できます。

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• 新しいスコープのオンボードを続けたり、監視ルールを構成したりする場合は、データ接続ルールを手動で使って、データ収集のさまざまな側面を構成またはカスタマイズできます。

• Defender for Cloudは、AMA上でFIMを無効にし、リリース時にDefender for Endpointベースの新しいFIMバージョンに環境をオンボーディングすることを推奨しています。

AMA 経由で FIM を無効にする

AMA による FIM を無効にするには、Azure Change Tracking ソリューションを削除します。 詳しくは、「ChangeTracking ソリューションを削除する」をご覧ください。

または、関連するファイル変更追跡データ収集ルール (DCR) を削除してもかまいません。 詳しくは、「Remove-AzDataCollectionRuleAssociation」または「Remove-AzDataCollectionRule」をご覧ください。

上記の方法のいずれかを使ってファイルイベントの収集を無効にした後:

• 選択したスコープでの新しいイベントの収集が停止します。
• 既に収集された履歴イベントは、関連するワークスペースの ConfigurationChange テーブルの Change Tracking セクションに格納されたままになります。 これらのイベントは、該ワークスペースで定められた保持期間に従って、該当ワークスペースで引き続き利用可能です。 詳しくは、「保持およびアーカイブの機能」をご覧ください。

Log Analytics エージェント (MMA) 経由で FIM から移行する

現在、Log Analytics エージェント (MMA) による FIM を使っている場合:

• Log Analytics エージェント (MMA) に基づくファイルの整合性の監視は、2024 年 11 月末に非推奨となる予定です。

• Defender for Cloudは、MMA上でFIMを無効にし、リリース時にDefender for Endpointをベースにした新しいFIMバージョンに環境をオンボーディングすることを推奨しています。

MMA 経由で FIM を無効にする

MMA による FIM を無効にするには、Azure Change Tracking ソリューションを削除します。 詳しくは、「ChangeTracking ソリューションを削除する」をご覧ください。

ファイル イベント収集を無効にした後:

• 選択したスコープでの新しいイベントの収集が停止します。
• 既に収集された履歴イベントは、関連するワークスペースの ConfigurationChange テーブルの Change Tracking セクションに格納されたままになります。 これらのイベントは、該ワークスペースで定められた保持期間に従って、該当ワークスペースで引き続き利用可能です。 詳しくは、「保持およびアーカイブの機能」をご覧ください。

ベースライン経験の変更と移行ガイダンス

VMのベースラインミス設定機能は、VMがセキュリティのベストプラクティスや組織ポリシーを守っていることを確認するのに役立ちます。 Baselines Misconfigurationは、VMをあらかじめ定義されたセキュリティベースラインと照らし合わせ、環境にリスクをもたらす可能性のある逸脱や設定ミスを特定します。

Log Analyticsエージェント(Microsoft MonitoringエージェントまたはMMAとも呼ばれる)は2024年11月に廃止され、以下の変更点が適用されます。

• マシン情報はAzure Policyのゲスト構成を使って収集されます。

• 次の Azure ポリシーは、Azure Policy ゲスト構成で有効になります。

  • "Windows マシンは Azure のコンピューティング セキュリティ ベースラインの要件を満たしている必要がある"
  • "Linux マシンは Azure のコンピューティング セキュリティ ベースラインの要件を満たしている必要がある"

  注

  これらのポリシーを削除すると、Azure Policyのゲスト設定拡張機能の恩恵にアクセスできなくなります。

• Defender for Cloudの基礎CSPMには、もはやコンピュートセキュリティベースラインに基づくOS推奨が含まれていません。 これらの推奨事項は、Defender for Servers Plan 2を有効にすると利用可能です。

Defender for Servers Plan 2の料金について知りたい方は、Defender for Cloudの料金ページをご覧ください。 Defender for Cloud コスト計算ツールを使用してコストを見積もることもできます。

MCSBが提供する推奨事項で、WindowsやLinuxのコンピュートセキュリティベースラインには含まれていないものも、引き続き無料の基礎CSPMの一部として残っています。

Azure Policy ゲスト構成をインストールする

ベースライン体験を継続するには、Defender for Servers Plan 2を有効にし、Azure Policyのゲスト構成をインストールする必要があります。 Defender for Servers Plan 2を有効にしてAzure Policyゲスト構成をインストールすると、ベースライン体験で受けたのと同じ推奨事項や強化ガイダンスを引き続き受け取ることができます。

環境によっては、以下の手順を踏む必要があるかもしれません。

1. Azure Policy ゲスト構成のサポート マトリックスを確認します。

2. Azure Policy ゲスト構成をマシンにインストールします。

   • Azure マシン: Defender for Cloud ポータルのレコメンデーションページで "ゲスト構成拡張機能をマシンにインストールする必要があります" を検索して選択し、レコメンデーションを修復します。

   • (Azure VMのみ)管理されたアイデンティティを割り当てる必要があります。

     • Defender for Cloud ポータルのレコメンデーションページで "システム割り当てマネージド ID を使用して仮想マシンのゲスト構成拡張機能をデプロイする必要があります" を検索して選択し、レコメンデーションを修復します。

   • (Azure VMのみ)オプション:サブスクリプション全体のAzure Policyゲスト設定を自動プロビジョニングするには、Guest Configuration agent(プレビュー)を有効にすることができます。

     • ゲスト構成エージェントを有効にするには:

       1. Azure portal にサインインする

       2. [環境設定]>[サブスクリプション]>[設定と監視] に移動します。

       3. [ゲスト構成] を選択します。

          

       4. ゲスト構成エージェント (プレビュー) を [オン] に切り替えます。

          

       5. 続行を選択します。

   • GCP と AWS: GCP プロジェクトを接続するか、Azure Arc 自動プロビジョニングを有効にして Defender for Cloud に AWS アカウントを接続すると、Azure Policy ゲスト構成が自動的にインストールされます。

   • オンプレミスのマシン: オンプレミスのマシンを Azure Arc 対応マシンまたは VM としてオンボードすると、Azure Policy ゲスト構成が既定で有効になります。

Azure Policyゲスト構成をインストールするために必要な手順を完了すると、Azure Policyゲスト構成に基づくベースライン機能に自動的にアクセスできます。 Azure Policyゲスト構成をインストールすると、ベースライン体験で受けたのと同じ推奨事項や強化ガイダンスを引き続き受け取ることができます。

レコメンデーションの変更

MMAの廃止に伴い、以下のMMAベースの推奨事項が廃止される予定です。

• マシンを安全に構成する必要がある
• 自分のサブスクリプションで Log Analytics エージェントの自動プロビジョニングを有効にする必要がある

廃止された推奨事項は、以下のAzure Policyゲスト構成ベースの推奨事項に置き換えられます:

• Windows マシンのセキュリティ構成の脆弱性を修復する必要がある (Powered by ゲスト構成)
• Linux マシンのセキュリティ構成の脆弱性を修復する必要がある (Powered by ゲスト構成)
• マシンにゲスト構成拡張機能がインストールされている必要がある

重複するレコメンデーション

Azure サブスクリプションで Defender for Cloud を有効にすると、マシン OS のコンプライアンスを評価するコンピューティング セキュリティ ベースラインを含む、Microsoft クラウド セキュリティ ベンチマーク (MCSB) が既定のコンプライアンス標準として有効になります。 Defender for Cloud の無料の基本的なクラウド セキュリティ態勢管理 (CSPM) を使用すると、MCSB に基づいてセキュリティに関するレコメンデーションを作成できます。

もしマシンがMMAとAzure Policyのゲスト設定の両方を実行している場合、重複推奨が表示されます。 推奨事項の重複は、両方の手法が同時に実行され、同じ推奨を生成するために起こります。 これらの重複はコンプライアンスおよびセキュアスコアに影響を与えます。

MMAとAzure Policyゲスト設定の両方が稼働している間に重複推奨を避けるために、Defender for Cloudの規制遵守ページにアクセスすることで、MMA推奨Machines should be configured securelyとAuto provisioning of the Log Analytics agent should be enabled on subscriptionsを無効にできます。

推奨事項を見つけたら、関連する機械を選び、免除してください。

Azure Policy ゲスト構成ツールを利用したベースライン構成規則の一部はより新しいものであり、より広範囲をカバーします。 その結果、Azure Policyのゲスト設定によるBaselines機能への移行は、これまで行われていなかったチェックを含むため、コンプライアンスステータスに影響を与える可能性があります。

クエリに関する推奨事項

MMAの廃止に伴い、Defender for CloudはLog Analyticsワークスペース情報を通じて推奨事項を照会しなくなりました。 代わりに、Defender for Cloudは現在Azure Resource GraphをAPIやポータルクエリで推奨情報の照会に使っています。

使用できる 2 つのサンプル クエリを次に示します。

• 特定のリソースについて異常な規則をすべて照会する

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• すべての異常な規則と、それぞれの異常なマシンの数

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Log Analyticsエージェントの移行を計画しましょう

移行計画行列

ビジネスの要件に応じてエージェントの移行を計画しましょう。 以下の移行計画表は、そのガイダンスを要約しています。

MMAの移行体験を活用しましょう

MMA 移行エクスペリエンスは、MMA から AMA への移行を支援するツールです。 このエクスペリエンスでは、マシンを MMA から AMA に移行するためのステップバイステップ ガイドが提供されます。

MMA移行体験を活用することで、以下が可能です:

• Log Analyticsワークスペースを通じて、レガシーオンボーディングからサーバーを移行します。
• サブスクリプションが Defender for Servers プラン 2 のすべての特典を受けるためのすべての前提条件を満たしていることを確認する。
• MDE 経由で FIM の新しいバージョンに移行する。

1. Azure portal にサインインする

2. [Defender for Cloud]>[環境設定] に移動します。

3. [MMA 移行] を選択します。

   

4. 使用可能なアクションのいずれかの [アクションの実行] を選択します。

   

エクスペリエンスが読み込みまれたら、手順に従って移行を完了します。

次のステップ