Microsoft Defender for Cloud Appsは、安全なアプリを承認(制裁済み)や不要なアプリを禁止する(制裁済み)などで発見されたアプリを管理できます。 公認されたアプリは使用許可済みとしてマークされ、非公認のアプリは監視またはブロックされることがあります。 この記事では、アプリの制裁や制裁解除、組み込みストリームやブロックスクリプトによるアプリのブロック、ガバナンス上の競合の解決方法について解説します。
前提条件
発見されたクラウドアプリをブロックする前に、以下の要件を満たしていることを確認してください:
- Microsoft Defender for Endpointで Cloud Protection を有効にする
- Microsoft Defender for Endpointでネットワーク保護をオンにする
- 組織内のすべての非MicrosoftブラウザにMicrosoft Defenderブラウザ保護アドオンをインストールしてください。
アプリの承認/承認解除
行の末尾にある 3 つのドットをクリックすると、特定の危険なアプリを承認されていないものとしてマークできます。 次に、[ 承認なし] を選択します。 アプリの承認を解除しても使用はブロックされませんが、クラウド検出フィルターを使用してアプリの使用をより簡単に監視できます。 その後、承認されていないアプリをユーザーに通知し、使用する別の安全なアプリを提案したり、Defender for Cloud Apps API を使用してブロック スクリプトを生成して、承認されていないアプリをすべてブロックしたりできます。
注:
インライン プロキシにオンボードされているアプリ、またはアプリ コネクタ経由で接続されているアプリは、そのようなすべてのアプリケーションが Cloud Discovery の自動承認状態になります。
組み込みのストリームを使用してアプリをブロックする
もし組織のMicrosoft 365テナントがMicrosoft Defender for Endpointを使用している場合、非承認とマークしたアプリは自動的にブロックされます。 ブロックは特定のデバイスグループに限定し、アプリを監視し、 リスクのあるアプリの機能にアクセスする際に警告や教育 機能を使うこともできます。 詳細については、「Microsoft Defender for Endpointを使用して検出されたアプリを管理する」を参照してください。
テナントがZscaler NSS、iboss、Corrata、Menlo、Open Systemsを使用している場合、非公式アプリもブロックされます。 ただし、デバイスグループごとにブロックを適用したり、 リスクの高いアプリの機能にアクセスする際に警告や教育 機能を使うことはできません。 詳細については、 Zscaler との統合、 iboss との統合、 Corrata との統合、 Menlo との統合、 およびオープン システムとの統合に関するページを参照してください。
ブロック スクリプトをエクスポートしてアプリをブロックする
Defender for Cloud Appsを使用すると、既存のオンプレミスのセキュリティ アプライアンスを使用して、承認されていないアプリへのアクセスをブロックできます。 専用のブロック スクリプトを生成し、アプライアンスにインポートできます。 ブロックスクリプトを使う場合、組織のすべてのウェブトラフィックをプロキシにリダイレクトする必要はありません。
始める前に、対応可能なオンプレミスのセキュリティアプライアンスが設定されていて、ブロックスクリプトをインポートできることを確認してください。
クラウド検出ダッシュボードで、ブロックするアプリに [承認なし] としてタグを付けます。
タイトル バーで [ アクション ] を選択し、[ ブロック スクリプトの生成]を選択します。
![Microsoft Defender for Cloud Appsの [アクション] メニューの [ブロック スクリプトの生成] オプションのスクリーンショット。](media/generate-block-script.png)
[ブロック スクリプトの生成] で、ブロック スクリプトを生成するアプライアンスを選択します。
![ブロック スクリプトを生成するためのアプライアンス選択オプションを示す [ブロック スクリプトの生成] ダイアログのスクリーンショット。](media/generate-block-script-pop-up.png)
次に、[ スクリプトの生成 ] ボタンを選択して、承認されていないすべてのアプリのブロック スクリプトを作成します。 既定では、ファイルの名前は、エクスポートされた日付と、選択したアプライアンスの種類で指定されます。 2017-02-19_CAS_Fortigate_block_script.txt ファイル名の例を指定します。
![承認されていないすべてのアプリのブロック スクリプトを作成するために使用される [スクリプトの生成] ボタンのスクリーンショット。](media/generate-block-script-button.png)
作成したファイルをアプライアンスにインポートします。
サポートされていないストリームのブロック
もしテナントがMicrosoft Defender for Endpoint、Zscaler NSS、iboss、Corrata、Menlo、Open Systemsを使っていない場合、非公式アプリのドメインをすべてエクスポートできます。 その後、サードパーティのアプライアンスでそれらのドメインをブロックするように設定してください。
[ 検出されたアプリ ] ページで、すべての 承認されていない アプリをフィルター処理し、エクスポート機能を使用してすべてのドメインをエクスポートします。
ブロックできないアプリケーション
一部のサービスはビジネス運営に不可欠です。 ダウンタイムを防ぐために、Defender for Cloud AppsではUIやポリシーを通じてこれらのサービスをブロックすることはできません。
- Microsoft Defender for Cloud Apps（クラウドアプリを守るマイクロソフトのセキュリティサービス）
- Microsoft Defender セキュリティ センター
- Microsoft 365 セキュリティ センター
- Microsoft Defender for Identity
- Microsoft Purview
- Microsoft Entra Permissions Management
- Microsoft 条件付きアクセス アプリケーション制御
- Microsoft セキュア スコア
- Microsoft Purview
- Microsoft Intune
- Microsoft サポート
- Microsoft AD FS ヘルプ
- Microsoft サポート
- Microsoft オンライン サービス
手動アクションとポリシー間のガバナンスの競合を解決する
手動の制裁または制裁解除アクションと クラウドディスカバリーポリシーによって設定されたガバナンスアクションと競合がある場合、最後に適用された操作が優先されます。
次の手順
問題が発生した場合は、こちらにお問い合わせください。 製品の問題に関するサポートを受ける場合は、サポート チケットを開いてください。