WindowsデバイスをMicrosoft Defender for Endpointにグループポリシー付きでオンボードする

  • 適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Active Directory Domain Services(AD DS)のグループポリシーを使って、対応するWindowsクライアントやWindows ServerデバイスをMicrosoft Defender for Endpointにスケールでオンボードできます。 この記事では、オンボーディングパッケージの展開方法、サンプル収集の設定、デプロイの検証、そしてオフボードデバイスの設置方法について説明します。 始める前に、デプロイの前提条件を確認し、グループポリシーがあなたの環境に適したデプロイ方法であるかを確認してください。

注:

Defender 展開ツールを使用して、Windows および Linux デバイスに Defender エンドポイント セキュリティを展開できます。 このツールは、デプロイ プロセスを合理化する軽量で自己更新型のアプリケーションです。 詳細については、「Defender 展開ツールを使用して Windows デバイスにMicrosoft Defenderエンドポイント セキュリティを展開する」および「Defender 展開ツール(プレビュー)を使用してLinux デバイスにMicrosoft Defenderエンドポイント セキュリティを展開する」を参照してください。

前提条件

  • Microsoft Defender for Endpointの最低要件を確認し、デバイス接続設定をしてください。
  • オンボーディングおよびオフボーディングパッケージをダウンロードするには、Defender for Endpointへの完全なアクセスが必要です。 Microsoft Entraセキュリティ管理者の役割がこのアクセス権を付与します。 詳細については、「 基本権限の割り当て」をご覧ください。
  • グループポリシー管理コンソール(GPMC)をインストールし、アカウントがグループポリシーオブジェクト(GPO)を作成・編集し、ターゲットサイト、ドメイン、または組織ユニット(OU)にリンクできることを確認してください。 詳細については、 グループポリシー管理コンソールをご覧ください。
  • 中央ストアで最新のWindows管理テンプレートファイルを使用してください。 現在のテンプレートは、統合されたDefender for Endpointソリューションを搭載したWindows Server 2012 R2またはWindows Server 2016を実行するデバイスにとって特に重要です。 詳細については、「 グループポリシー管理テンプレートのための中央ストアを作成および管理」をご覧ください。

グループポリシーを他のデプロイメントオプションと比較するには、「Identify Defender for Endpoint architecture and deployment methods」をご覧ください。

グループ ポリシーを使用してデバイスを登録する

オンボーディングパッケージをダウンロードし、即時にスケジュールされたタスクを作成し、オンボーディングしたいWindowsデバイスにタスクをデプロイしてください。

  1. https://security.microsoft.com/securitysettings/endpoints/onboardingのMicrosoft Defenderポータルのオンボーディングページで、パッケージを設定してください:

    1. ステップ1:展開を開始するオペレーティングシステムを選択してください:対象デバイスのオペレーティングシステムのバージョングループを選択します。 Windowsを選択しないでください。そうすると別のDefenderデプロイメントツールのワークフローが始まります。
    2. 接続 タイプ が利用可能であれば、環境に合った接続方法を選択します。
    3. デプロイ方法には、グループ ポリシーを選択します。
    4. [オンボーディング パッケージをダウンロードする] を選択します。

  2. ダウンロードした .zip ファイルを、ターゲットデバイスがアクセスできる共有の読み取り専用場所に抽出します。 解凍されたパッケージには WindowsDefenderATPOnboardingScript.cmd ファイルが含まれています。

  3. GPMCを開き、右クリックで 「グループポリシーオブジェクト」を選び、「 新」を選択します。 GPOの名前を入力し、 OKを選択してください。

  4. 新しいGPOを右クリックし、「 編集」を選択します。

  5. グループポリシー管理エディターで、コンピュータ設定>設定>コントロール パネルへ行きます。

  6. 「スケジュールタスク」を右クリックし、「新設」を選択し、「即時タスク」(少なくともWindows 7)を選択してください。

  7. Generalタブでタスクを設定します:

    1. セキュリティオプションで「ユーザーまたはグループの変更」を選択してください。
    2. SYSTEMを入力し、「名前を確認してからOK」を選択してください。 アカウントは NT AUTHORITY\SYSTEMとして表示されます。
    3. [ユーザーがログオンしているかどうかにかかわらず実行する] をオンにします。
    4. [ 最高の特権で実行] を選択します。
    5. Defender for Endpoint onboardingのような記述的なタスク名を入力してください。

    注:

    Windows Server 2019以降で、グループポリシーの優先XMLにNT AUTHORITY\Well-Known-System-Accountが含まれている場合は、その値をNT AUTHORITY\SYSTEMに置き換えます。

  8. アクションタブで「新」を選択し、アクションを設定します:

    1. アクションでは、プログラムを開始を選択します。
    2. プログラム/スクリプトの場合は、共有WindowsDefenderATPOnboardingScript.cmdファイルに対してユニバーサル命名規則(UNC)パスを入力します。 パスにはファイルサーバーの完全限定ドメイン名(FQDN)を使用します。
    3. [OK] を選択.

  9. OKを選択し、グループポリシー管理エディターを閉じます。

  10. GPMCでは、ターゲットデバイスを含むサイト、ドメイン、またはOUにGPOをリンクします。 広範囲に展開する前に、限定されたデバイスグループでGPOをテストしてください。

GPOのリンクおよび検証に関する情報は、 グループポリシー管理コンソールをご覧ください。

サンプル採取の設定

Defender for Endpointは、アナリストが詳細な分析のためにファイルを要求した際にオンボーディングデバイスからファイルを収集できます。 サンプル収集ポリシーを設定し、デバイスがこれらの要求に応答できるかどうかを制御します。

  1. グループポリシーを管理しているデバイスで、抽出したオンボーディングパッケージからDefender for Endpointの管理テンプレートファイルをコピーします。

    • ローカルのポリシー定義フォルダの場合:
      • AtpConfiguration.admxをC:\Windows\PolicyDefinitionsにコピーします。
      • AtpConfiguration.admlをC:\Windows\PolicyDefinitions\en-USなど、該当する言語フォルダにコピーしてください。
    • 中央店舗の場合:
      • AtpConfiguration.admxを\\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitionsにコピーします。
      • AtpConfiguration.admlを\\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions\en-USなどの該当言語フォルダにコピーします。

  2. GPMCでDefender for Endpointの設定で使っているGPOを右クリックし、「編集」を選択します。

  3. グループポリシー管理エディターで、Computer Configuration>Policies>Administrative Templates>Windows Components>Windows Defender ATPに進みます。

    注:

    Windows Defender ATPはこの管理テンプレートに登場するレガシー名です。

  4. サンプル 収集を有効化または無効にし、 有効化を選択し、 機械でサンプル収集を有効にすると、 OKを選択してください。

このポリシーを設定していない場合、サンプル収集はデフォルトで有効になっています。

オンボーディングはデバイスをDefender for Endpointに接続しますが、Microsoft Defender Antivirusやその他のエンドポイント保護機能の設定は行いません。 組織で必要なセキュリティコントロールを設定するには、同じGPOまたは別々のGPOを使用してください。

エンドポイント保護の構成を更新する

Microsoft Defender Antivirus プラットフォーム バージョン 4.18.2208.0 以降では、Turn off Windows Defender ポリシーを使用しても、Windows Server 2012 R2 以降を実行するオンボード済みデバイス上の Defender Antivirus は完全には無効化されなくなりました。 代わりに、このポリシーはDefender Antivirusを受動的なモードに置いています。 サーバーオンボーディング前にポリシーが有効になっている場合、Defender Antivirusは無効のままです。 この動作はDefender for Endpointにオンボーディングされたサーバーにのみ適用されます。

Microsoft以外のウイルス対策ソフトを使用している場合は、アンチウイルスモードを設定する前にMicrosoft Defender Antivirusの互換性を確認してください。 それ以外の場合は、グループポリシー管理エディターで、コンピュータ設定>ポリシー>管理テンプレート>Windowsコンポーネント>Microsoft Defenderウイルス対策を選択し、「アンチウイルスMicrosoft Defender無効」または「設定されていない」に設定してください。 Windows ServerモードおよびForceDefenderPassiveModeガイダンスについては、「Windows Server Microsoft Defenderアンチウイルスの設定」を参照してください。

組織の要件に応じて以下の保護を設定し、テストしてください:

デバイスの登録を確認する

グループポリシーはDefender for Endpointにデプロイ状況を報告しません。 グループポリシーの結果を使ってGPOが適用されたか確認し、その後Defenderポータルでデバイスを確認します。

  1. https://security.microsoft.com/machines?category=all-devicesのMicrosoft Defenderポータルのデバイスインベントリページで、デバイスを検索してください。

  2. デバイスページを開き、デバイスがオンボーディングされているか、センサーの健康状態が有効かを確認しましょう。

GPOが適用され、スケジュールされたタスクが実行されると、デバイスは通常数分以内にインベントリに現れます。 グループポリシーのレプリケーション、ポリシーの更新、ネットワーク接続は報告を遅らせることがあります。

テストアラートを生成し、エンドツーエンドのレポートを確認するには、「 新たにオンボーディングしたデバイスで検出テストを実行する」をご覧ください。 デバイスが期待通りに表示または報告しない場合は、「Microsoft Defender for Endpointのオンボーディング問題のトラブルシューティング」をご覧ください。

グループ ポリシーでデバイスをオフボードする

オフボーディングパッケージはダウンロード後7日で期限切れです。 Defender for Endpointは期限切れのパッケージを拒否し、有効期限がパッケージファイル名に表示されます。

重要

オンボーディングとオフボーディングポリシーを同じデバイスに同時に展開しないでください。 オフボーディングGPOを展開する前に、オンボーディングGPOをターゲットデバイスから削除またはリンク解除してください。

グループポリシーを使ってデバイスをオフボードするには、オフボーディングタスク用の別のGPOを作成してください:

  1. https://security.microsoft.com/securitysettings/endpoints/offboardingのMicrosoft Defenderポータルのオフボーディングページで、パッケージを設定してください:

    1. 対象デバイスのオペレーティングシステムバージョングループを選択します。 Windowsを選択しないでください。そうすると別のDefenderデプロイメントツールのワークフローが始まります。
    2. デプロイ方法には、グループ ポリシーを選択します。
    3. パッケージの ダウンロードを選択し、確認ダイアログで ダウンロード を選択します。

  2. ダウンロードした .zip ファイルを、ターゲットデバイスがアクセスできる共有の読み取り専用場所に抽出します。 抽出されたパッケージには「 WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd」というファイルが含まれています。

  3. GPMCでオフボーディング用のGPOを作成し、そのGPOを編集します。

  4. グループポリシー管理エディターで、コンピュータ設定>設定>コントロール パネルへ行きます。

  5. 「スケジュールタスク」を右クリックし、「新設」を選択し、「即時タスク」(少なくともWindows 7)を選択してください。

  6. Generalタブでタスクを次のように設定します:

    • NT AUTHORITY\SYSTEM として実行。
    • ユーザーがログインしているかどうかに関わらず実行してください。
    • 最高の権限で実行する。
    • Defender for Endpoint offboardingのような説明的な名前を使いましょう。

  7. アクションタブで「新」を選択し、アクションを設定します:

    1. アクションでは、プログラムを開始を選択します。
    2. プログラム/スクリプトの場合は、共有WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmdファイルのUNCパスを入力します。 パス内でファイルサーバーのFQDNを使いましょう。
    3. [OK] を選択.

  8. OKを選択し、グループポリシー管理エディターを閉じて、オフボーディングGPOをターゲットサイト、ドメイン、またはOUにリンクしてください。

オフボーディングは、デバイスが新たな検出データ、脆弱性データ、セキュリティデータをDefender for Endpointに送信するのを防ぎます。 過去データは、構成された保持期間が期限切れになるまで Defender ポータルに残ります。 データがない場合、デバイスプロファイルは最大180日間デバイスインベントリに残ります。 詳細は「 オフボードデバイス」をご覧ください。

関連するコンテンツ

  • 最終更新: