Microsoft Defender for Endpointのデバイスを確認して評価する

  • 適用対象: Microsoft Defender for Endpoint Plan 2

デバイス検出 を使用すると、管理されていないデバイスの可視性を向上させ、そのセキュリティ体制を評価し、適切なアクションを実行してセキュリティを保護できます。

この記事では、Microsoft Defender for Endpointでデバイス検出によって検出されたデバイスを確認および評価する方法について説明します。 また、Microsoft Defender for Endpointにオンボードされていないデバイス上のデータを取得する方法と、検出されたデバイスのデータに対してクエリを実行する方法についても説明します。

前提条件

検出されたデバイスを確認して評価する前に、次の要件が満たされていることを確認します。

  • 組織には、Microsoft Defender for Endpoint プラン 2 のライセンスがあります。
  • エンドポイントのDefenderに少なくとも 1 つのデバイスがオンボードされている。 オンボードされたデバイスは、オンボードされていないデバイスを検出するためのネットワーク センサーとデータ ソースとして機能します。
  • デバイス インベントリを表示し、高度なハンティング クエリを実行するための適切なアクセス許可を持つMicrosoft Defender ポータルにアクセスできます。

サポートされるオペレーティング システム

デバイス検出では、次のオペレーティング システムがサポートされています。

  • Windows 10 以降
  • Windows Server 2019 以降。

デバイス インベントリ内のオンボードされていないデバイスを監視する

Defender for Endpoint にオンボードされていない検出されたデバイスのデバイス インベントリを確認できます。

注:

オンボードされていないデバイスは、次のいずれかの条件が満たされた場合、Defender ポータルに (180 日以上) 残ります。

  • デバイスは、同じネットワーク上のオンボード エンドポイントによって検出されます
  • デバイスが OT センサーによって検出される

これらのデバイスを評価するには、デバイス インベントリに移動し、 オンボード状態フィルターを 使用して、次のいずれかの値を使用します。

値 説明
オンボード済み エンドポイントは Defender for Endpoint にオンボードされます。
オンボーディング可能。 Defender for Endpoint は、ネットワーク内のデバイスを検出し、そのオペレーティング システムをサポートしますが、デバイスはオンボードされていません。

注:
- このようなデバイスをオンボードすることを強くお勧めします。
- デバイス インベントリの オンボード可能 に表示されるデバイス数、Microsoft Defender for Endpoint へのオンボード というセキュリティに関する推奨事項のデバイス数、およびダッシュボード ウィジェットの オンボード対象デバイス に表示されるデバイス数には、違いがある場合があります。 セキュリティに関する推奨事項とダッシュボード ウィジェットは、一時的なデバイス、ゲスト デバイスなどを除き、ネットワーク内で安定しているデバイス用です。 この目的は、組織全体のセキュリティ スコアにも影響を与える常時接続されているデバイスを対象に推奨を行うことです。
サポート外 Defender for Endpoint はエンドポイントを検出しますが、デバイスはサポートしていません。
不十分な情報 システムはデバイスのサポート可能性を判断できませんでした。 ネットワーク内の他のデバイスで標準検出を有効にして、検出された属性を強化します。

未管理デバイスをオンボードする

アンマネージド デバイスは手動でオンボードできます。 ネットワーク内のアンマネージド エンドポイントでは、ネットワークに脆弱性とリスクが発生します。 それらをサービスにオンボードすると、セキュリティの可視性が高まる可能性があります。

検出されたデバイスで高度な検索を使用する

高度なハンティング クエリを使用して、検出されたデバイスを可視化できます。 検出されたデバイスの詳細については、DeviceInfo テーブル、またはデバイスに関するネットワーク関連情報については、DeviceNetworkInfo テーブルを参照してください。

ヒント

API クエリのオンボーディング ステータス列を使用して、管理されていないデバイスを除外することもできます。

ネットワーク内のデバイスを探索する

次の高度なハンティング クエリを使用して、特定のネットワークに接続されているオンボードデバイスを特定します。 このクエリでは、過去 7 日間のネットワーク データが接続されたデバイスが、デバイス検出設定のネットワーク一覧からネットワーク名でフィルター処理されて取得されます。

DeviceNetworkInfo
| where Timestamp > ago(7d)
| where ConnectedNetworks  != ""
| extend ConnectedNetworksExp = parse_json(ConnectedNetworks)
| mv-expand bagexpansion = array ConnectedNetworks=ConnectedNetworksExp
| extend NetworkName = tostring(ConnectedNetworks ["Name"]), Description = tostring(ConnectedNetworks ["Description"]), NetworkCategory = tostring(ConnectedNetworks ["Category"])
| where NetworkName == "<your network name here>"
| summarize arg_max(Timestamp, *) by DeviceId

デバイス情報を取得する

次の高度なハンティング クエリを使用して、特定のデバイスの最新の完全な情報を取得できます。

DeviceInfo
| where DeviceName == "<device name here>" and isnotempty(OSPlatform)
| summarize arg_max(Timestamp, *) by DeviceId

検出されたデバイスのクエリの詳細

次のクエリでは、無効またはマージされたエントリを除き、オンボードされていない検出されたデバイスごとに最新の既知のレコードが取得されます。 これを使用すると、管理対象外のデバイスを特定し、その最新の詳細を確認できます。

DeviceInfo
| summarize arg_max(Timestamp, *) by DeviceId  // Get latest known good per device Id
| where isempty(MergedToDeviceId) // Remove invalidated/merged devices
| where OnboardingStatus != "Onboarded"

SeenBy 関数を呼び出すと、高度なハンティング クエリで、検出されたデバイスが見られたオンボード デバイスの詳細を取得できます。 この情報は、検出された各デバイスのネットワークの場所を特定するのに役立ち、その後、ネットワーク内でそれを識別するのに役立ちます。

次のクエリでは、オンボードされていない各デバイスの最新のレコードを取得し、マージされたエントリを除外し、 SeenBy 関数を呼び出して、検出されたオンボード デバイスを表示します。

DeviceInfo
| where OnboardingStatus != "Onboarded"
| summarize arg_max(Timestamp, *) by DeviceId 
| where isempty(MergedToDeviceId) 
| limit 100
| invoke SeenBy()
| project DeviceId, DeviceName, DeviceType, SeenBy

詳細については、 SeenBy() 関数を参照してください。

デバイス検出では、Defender for Endpoint オンボード デバイスをネットワーク データ ソースとして利用し、オンボードされていないデバイスにアクティビティを属性付けします。 Defender for Endpoint オンボード デバイスのネットワーク センサーは、次の 2 つの新しい接続の種類を識別します。

  • ConnectionAttempt - TCP 接続の確立 (syn) の試行
  • ConnectionAcknowledged - TCP 接続が受け入れられたことを確認する (syn\ack)

これらの接続タイプでは、オンボードされていないデバイスがオンボード済みの Defender for Endpoint デバイスとの通信を試みると、その試行によって DeviceNetworkEvent が生成され、オンボードされていないデバイスのアクティビティを、オンボード済みデバイスのタイムラインおよび高度なハンティングの DeviceNetworkEvents テーブルで確認できます。

次のクエリでは、最新の 10 回の接続試行と確認済み接続が返されるため、オンボードされていないデバイスがオンボードエンドポイントと通信しているかどうかを確認できます。

DeviceNetworkEvents
| where ActionType == "ConnectionAcknowledged" or ActionType == "ConnectionAttempt"
| take 10

検出されたデバイスの脆弱性を評価する

Microsoft Defender 脆弱性の管理は、デバイス上のリスクを検出します。 また、ネットワーク内のアンマネージド デバイスもチェックします。

脆弱性を確認するには、Defender ポータルの露出管理>Recommendations に移動します。

たとえば、 SSH を検索して、アンマネージド デバイスとマネージド デバイスで SSH の脆弱性を見つけます。

詳細については、Microsoft Defender 脆弱性の管理を参照してください。

  • Last updated on