Microsoft Defender for Endpointでデバイス検出を構成する

デバイス検出を設定して、組織のネットワーク上の管理されていないデバイスを特定し、そのセキュリティ状況を評価し、保護が必要なデバイスを特定できます。 基本検出か標準検出を選択し、アクティブスキャンを行うオンボーディングデバイスを選択し、機密対象を除外し、監視ネットワークを管理します。

始める前に、サポートされているオペレーティングシステムと 前提条件の必要な権限を確認しましょう。

前提条件

環境が以下の要件を満たしているか確認してください:

• Microsoft Defender for Endpoint プラン2のサブスクリプションです。
• サポートされているオペレーティングシステムを実行するオンボーディングスキャンデバイス。
• Defender for Endpointのセキュリティ設定を管理する権限を持つアカウントです。 詳細については 、権限オプションをご覧ください。
• 標準的な検出をタグ付きデバイスに限定するなら、スキャナーデバイスにデバイスタグを割り当ててください。

デバイス検出を設定する

https://security.microsoft.com/settings/device-discoveryのMicrosoft Defenderポータルのデバイスディスカバリーページで、ディスカバリーモードを設定してください:

1. ディスカバリーモードで、以下のいずれかのオプションを選択してください:

   • 標準ディスカバリー(推奨):パッシブオブザベーション、共通ディスカバリープロトコル、マルチキャストクエリ、アクティブスキャンを用いて、より完全なデバイスインベントリを提供します。
   • 基本:機器を積極的に探査せずにネットワークトラフィックを受動的に観察します。 このモードは、アクティブスキャンが適切でない敏感またはレガシーネットワークに使用してください。

2. 標準ディスカバリーを選択した場合、どのオンボーディングデバイスがアクティブスキャンを行うかを選択してください:

   • すべてのデバイス(推奨):デバイスディスカバリーをサポートするすべてのオンボーディングデバイスを使用してください。
   • タグ選択:選択したデバイスタグを持つデバイスのみを使用してください。 このオプションは、特定のネットワークセグメントにスキャナー機器を設置したい場合に役立ちます。

3. [保存] を選択します。

標準検出を実行するデバイスを制御する

セットアップデバイスディスカバリーで選択されたデバイスは、標準ディスカバリーのためのスキャナーとして機能します:

• デバイスディスカバリーをサポートするすべてのオンボーディングデバイスを使うには 「すべてのデバイス(推奨) 」を選択してください。
• 指定されたタグを持つオンボーディングデバイスのみを使用するために 「選択タグ 」を選択します。 選択したタグ外のオンボーディングデバイスは基本的なディスカバリーを継続します。

標準検出からデバイスを除外する

アクティブスキャンが敏感なデバイスやネットワークのルアー、その他のセキュリティツールに干渉する可能性がある場合は、IPアドレスやサブネットを除外してください。 除外はアクティブスキャンを止めますが、パッシブやマルチキャストの検出を防ぐことはできません。

デバイスを除外するには:

1. Microsoft Defenderポータルのデバイス発見ページで、https://security.microsoft.com/settings/device-discoveryの「除外」を選択してください。
2. [ 除外の追加] を選択します。
3. 除外追加ページで、標準スキャンから除外するIPアドレスまたはサブネットを入力します。
4. 除外の説明を入力してください。
5. [保存] を選択します。

除外事項は 除外 リストに表示されます。 除外を選択して閲覧、編集、削除してください。

監視対象ネットワークの表示と管理

監視ネットワークタブでは、オンボーディングデバイスによって検出されたネットワークが一覧化され、デバイスディスカバリーが各ネットワークを監視するか無視するかを示します。

デフォルトでは、Defender for Endpointは企業ネットワークを自動監視し、非企業ネットワークは無視します。 このページには、過去7日間に各ネットワークで見られたデバイス数で並べ替えた最大50のネットワークが表示されます。

Defender for Endpointが企業ネットワークをどのように識別するかについては、「監視ネットワーク」をご覧ください。

監視対象ネットワークを管理する

ネットワークの自動割り当てされた監視状態を上書きできます。 非企業ネットワークを監視する前に、組織がそのネットワーク上のデバイスを検出する権限を持っているかを確認してください。

https://security.microsoft.com/settings/device-discoveryの Microsoft Defender ポータルのデバイス検出ページで、「監視ネットワーク」を選択し、ネットワークの横にある三点メニューを選択し、以下のいずれかを選択します。

ネットワーク リストをフィルター処理する

監視ネットワークタブで「フィルター」を選択し、「ネットワーク監視状態」を選択し、以下のいずれかの状態を選択してから「適用」を選択してください:

• 監視対象: デバイス検出がアクティブなネットワーク。
• 無視: デバイス検出がアクティブでないネットワーク。
• 全員:監視され無視されたネットワーク。

デバイスの確認と評価

オンボードされていないデバイスを確認して評価し、その他のデバイスの詳細を見つけるには、「 デバイスの確認と評価」を参照してください。

デバイス検出を無効にする

https://security.microsoft.com/securitysettings/endpoints/integrationのMicrosoft Defenderポータルの「その他のオプション」ページで、デバイス発見をオフに設定し、「保存設定」を選択してください。 設定の詳細については、 詳細は「詳細機能」をご覧ください。

デバイスディスカバリーを無効にすると、Defender for Endpointがネットワーク上のデバイスを検出できなくなります。 ネットワーク検出および応答センサーのプロセスは、 SenseNDR.exeオンボーディングデバイス上で引き続き動作しています。

デバイス検出のトラブルシューティング

デバイス検出または認証済みネットワーク スキャンで問題が発生した場合は、「 デバイス検出と認証済みネットワーク スキャンのトラブルシューティング」を参照してください。

ネットワーク内のデバイスを探索する

DeviceNetworkInfo表を使って、過去7日間に監視ネットワークリストに表示されたネットワークに接続したオンボーディングデバイスを特定してください。 テーブルおよびカラムの詳細については、 DeviceNetworkInfoのテーブル参照を参照してください。

DeviceNetworkInfo
| where Timestamp > ago(7d)
| where ConnectedNetworks  != ""
| extend ConnectedNetworksExp = parse_json(ConnectedNetworks)
| mv-expand bagexpansion = array ConnectedNetworks=ConnectedNetworksExp
| extend NetworkName = tostring(ConnectedNetworks ["Name"]), Description = tostring(ConnectedNetworks ["Description"]), NetworkCategory = tostring(ConnectedNetworks ["Category"])
| where NetworkName == "<your network name here>"
| summarize arg_max(Timestamp, *) by DeviceId

デバイスに関する情報を取得する

DeviceInfoテーブルを使って、指定されたデバイス名に関連付けられた各デバイスIDの最新の利用可能なレコードを返します。 返却されたデバイスIDやプラットフォーム情報は、その後の検索クエリで利用できます。 テーブルおよびカラムの詳細は 、DeviceInfoのテーブル参照を参照してください。

DeviceInfo
| where DeviceName == "<device name here>" and isnotempty(OSPlatform)
| summarize arg_max(Timestamp, *) by DeviceId

関連するコンテンツ

• デバイス検出の概要
• デバイス検出および認証済みネットワークスキャンのトラブルシューティング
• デバイスの確認と評価