新しいDefenderサーバーのセキュリティ体験

新しい Defender サーバー セキュリティ エクスペリエンスは、Microsoft Defender ポータルで Defender for Endpoint と Defender for Servers をまとめます。 クラウドとエンドポイントの情報を1か所に集約して、サーバー保護を管理し、脅威を調査できます。

このパブリックプレビューはAzure環境およびオンプレミスサーバーをカバーしています。 リリース概要は 「What's new」 をご覧ください。

このページでは: サーバー アセット ページ | インシデントの調査 | | RBAC とデバイス グループ。

すでにDefender for Endpointを稼働させているサーバー

すでにDefender for Endpointを実行しているサーバーは、既存の構成で動作を継続します。 既存の保護を維持するために、オンボードや再インストール、移行は必要ありません。 構成を変更する前に、各統合機能の要件を確認してください。

サーバー アセット ページを確認

サーバーアセットページは、別々の調査ページを必要とする代わりに、同じサーバーの利用可能なクラウドリソースおよびエンドポイントデバイス情報をまとめます。

1. Microsoft Defenderでサーバーに関するアラートを開き、サーバーのメニューから「アセットページを開く」を選択してください。 インシデントグラフからサーバーノードのメニューを開き、「 アセット詳細」を選択します。
2. エンドポイントデバイスIDと、利用可能な場合はAzureリソースIDを確認してください。 サーバーの名前だけで特定しないでください。
3. サーバーのアイデンティティ、オンボーディング状況、利用可能なリソースやオペレーティング システムの詳細を確認してください。
4. エンドポイントのアクティビティをチェックするには デバイス タイムラインを開く を選択し、関連イベントを調査するには ハンティングに移動 を選択してください。

記録が重複または誤って一致している場合は、対応前に両方の識別子を確認してください。 利用可能なコンテキストは接続されたデータソースに依存します。手動のオンボーディングではAzureリソースが作成されません。

応答のアクションは、あなたの権限、プラットフォーム、サーバーの状態によって異なります。 ワークロードに影響を与える可能性のある操作を行う前に、サポートされているデバイス応答に関するガイダンスを参照してください。

アラートとインシデントを調査する

サーバーを調査するには、その調査データへのアクセスが必要であり、サーバーには関連するアラートやインシデントが必要です。

1. サーバーに関するインシデントを作成して攻撃グラフを確認しましょう。
2. サーバーノードを選択してください。 クラウドとエンドポイントのレコードが相関しているサーバーの場合、グラフは1つのサーバー ID と調査メニューを提供します。
3. ノードを右クリックするか、その三点メニューを開いてください。 コンテキストを確認するには アセットの詳細 を、関連する検出をチェックするには 関連アラートをピン留め を、またはアクティビティを調査するには ハンティングに移動 を選択してください。
4. 関連するアラートを開き、そのサーバーリンクをたどってください。 レスポンスアクションを検討する前に、同じサーバーアイデンティティにつながることを確認してください。

クラウドアラートとエンドポイントアラートは、同じサーバーを参照していても単一のアラートにはなりません。 共有資産のアイデンティティがあっても、すべてのアラートが1つのインシデントにまとめられる保証はありません。

Go hunt を使用する

クエリされているデータに対して Advanced hunting へのアクセス が必要です。 アセットページを開けるからといって、すべてのハンティングテーブルにアクセスできるわけではありません。

1. インシデントグラフからサーバーノードのメニューを開き、「 Go hunt」を選択します。 利用可能な場合は、サーバーのアラートまたはアセットのコンテキストからそのアクションを使用できます。
2. 「すべてのアクティビティ」、「関連アラート」、または「利用可能なクエリをすべて表示」を選択し、次に必要なクエリを選択します。
3. 生成されたクエリとその結果を高度な検索で確認しましょう。 Go Huntは生成されたクエリをレビュー用に表示するだけでなく自動で実行できます。
4. クエリが対象サーバーを対象としているか確認してください。 両方のアイデンティティがある場合は、エンドポイントデバイスおよびクラウドリソース識別子、選択したテーブル、時間範囲を確認しましょう。
5. 別のタイムウィンドウを調べる場合は、クエリのタイムスタンプフィルターを調整して再度実行してください。 クエリ式にはUTCを使いましょう。
6. 関連する結果を開き、そのタイムスタンプをアラートと比較し、インシデントに戻って調査を続けてください。

特定のエンドポイントイベントについては、 デバイスタイムラインを開き、イベントを選択し、利用可能な場合は 関連するイベントをHuntで検索 してください。 これはサーバー全体から始めるのではなく、そのイベント周辺で検索します。

すべてのアクティビティが、すべてのデータ ソースが確実に含まれていることを保証するものではありません。 結果が空の場合や不完全な場合は、クエリのフィルター、利用可能なテーブル、データ保持期間、エンドポイントのレポート、データのアクセス許可を確認してください。 空のクエリ結果はサーバーが影響を受けていないことを証明しません。 クエリ調整のガイダンスについては Go huntクエリの動作 を参照してください。

RBACとサーバーアクセスを確認する

役割は個人が 何をできるかを定義し、スコープは どのデータにアクセスできるかを定義します。

クラウドデータとエンドポイントデータの両方で表されるサーバーについては、関連するクラウドスコープ と デバイスグループを設定してください。 デバイスグループをクラウドスコープにリンクすることでサーバーメンバーシップが整合します。役割の割り当てを置き換えるものではなく、それ自体でユーザーにアクセス権を付与するものでもありません。 既存のエンドポイント専用の展開は、運用を続けるためにクラウド接続を必要としません。

チームの権限を割り当てる

テナントで有効の権限モデルを活用してください。 このガイドに従うためだけに別のモデルを起動しないでください。

Microsoft Defender unified RBACを使用しているテナントの場合、セキュリティ管理者または必要な委任された認可アクセス許可を持つ管理者は、以下のことができます:

1. 権限>Microsoft Defender XDR>ロールの順に選択し、適切なロールを作成または編集します。
2. チームが必要とする権限を選択してください。 調査アクセスは対応権限や管理権限とは分けておきましょう。
3. チームのMicrosoft Entraセキュリティグループと必要なデータソースの割り当てを追加してください。 Defender for EndpointのデータへのアクセスだけではDefender for Cloudのデータへのアクセスは認められません。
4. クラウド データについては、対象とするクラウド スコープを選択してください。 課題を確認して提出してください。

カスタムロールの作成の手順に従って、ウィザードのすべての手順を進めます。 以前のエンドポイントモデルを使い続けるテナントは、Defender for Endpoint RBACを使うべきです。既存の役割はこの体験で置き換えられるわけではありません。

サーバーデバイスグループを定義する

デバイス条件や既存のクラウドスコープを使ってサーバーへのアクセスを管理するデバイスグループを作成しましょう。 始める前に、割り当てたいMicrosoft Entraユーザーグループに適切なロールベースアクセス制御(RBAC)ロールがあることを確認してください。

1. Microsoft Defenderポータルで設定>エンドポイント>>デバイス グループに移動します。

2. デバイス グループを追加するか、既存のグループを編集してください。 説明名を入力し、自動修復レベルを確認してください。

3. デバイスページで、グループへの追加方法を選択してください:

   Option	Description
   条件を使用して定義する	デバイス名、ドメイン、タグ、OSプラットフォームなど、サポートされるデバイス属性を使用してサーバーをマッチングします。
   このグループにデータを反映させるクラウド スコープを選択します	既存のクラウドスコープを1つ以上選択します。 選択したすべてのスコープのデバイスが含まれています。 (プレビュー)

4. 次へを選択して、先に進む前にデバイスのプレビューページで対応するデバイスを確認しましょう。

5. ユーザーアクセスページで、アクセス権を持つべき Microsoft Entra ユーザー グループを選択し、送信を選択します。

6. グループのメンバーシップとアクセス割り当てを確認しましょう。 状態ベースのグループについては、グループランキングを確認しましょう。複数の条件ベースのグループにマッチする装置は、最も高いランクのグループに属します。

クラウド スコープとデバイス グループを調整する

1. 必要に応じて、System>Permissions>Microsoft Defender XDR>Scopes>Add cloud scope で Azure スコープを作成します。 対象の接続されている Azure サブスクリプションを選択してください。
2. チームのクラウドデータ権限をそのスコープに割り当て、デバイスグループの デバイス ステップで選択します。
3. チームのエンドポイント ロールとデバイスグループのユーザー アクセス割り当てはそのまま維持してください。 両方のデータソースへのアクセスを確認しましょう。

スコープの有効化が必要な場合は、クラウド スコープの管理を参照してください。 アクティベーションは不可逆的な設定変更です。進める前に既存の割り当てとアクティベーションウィザードを確認してください。

クラウドスコープリンクは、選択したスコープの内容が変わるごとにデバイスのメンバーシップを更新します。 新たに接続された環境が自動的にクラウドの範囲に追加されるわけではありません。 Azure環境を追加する際はスコープメンバーシップを確認してください。

実効アクセスを確認してください

セキュリティ管理者アカウントだけでなく、通常のアナリストアカウントでテストしてください。広範な管理者権限はスコープミスを隠すことができます。 表示フィルターはビューを絞り込みますが、権限の代わりにはなりません。

期待されるアクセスが欠けている場合は、ロール権限、データソース割り当て、Entra グループメンバーシップ、デバイスの実効グループ、クラウド スコープを確認してください。 アナリストが意図しないサーバーデータを発見した場合は、展開拡大前に他の役割の割り当てや広範なアクセス権を見直してください。

サーバー保護を解除

Azure での自動オフボードやその他のサポートされているオフボード方法については、オフボード対象デバイスを参照してください。

関連するコンテンツ

• サーバー セキュリティの質問
• 新機能: パブリック プレビュー ハブ