デバイスのオンボードおよびレポート サービスを検証するための EDR 検出テスト

  • 適用対象: Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business

前提条件

EDR 検出テストを実行する前に、環境が次の要件を満たしていることを確認します。

  • Windows クライアント デバイスは、Windows 11 バージョン 1709 ビルド 16273 以降、Windows 8.1、または Windows 7 SP1 Windows 10実行されている必要があります。
  • Windows Server デバイスでは、Windows Server 2008 R2 SP1、Windows Server 2012 R2 以降、または Azure Stack HCI OS バージョン 23H2 以降を実行している必要があります。
  • Linuxサーバーでサポートされているバージョンが実行されている必要があります (LinuxでのMicrosoft Defender for Endpointの前提条件に関するページを参照してください)
  • デバイスは Defender for Endpoint にオンボードする必要があります

Microsoft Defender for Endpointのエンドポイント検出と応答 (EDR) は、高度でほぼリアルタイムで実用的な検出を提供します。 セキュリティ アナリストは、効率的にアラートの優先順位を設定し、違反の全容を可視化して、脅威に対処する対応策を講じることができます。 EDR 検出テストを実行して、デバイスが適切にオンボードされ、サービスに報告されていることを確認できます。 この記事では、新しくオンボードされたデバイスで EDR 検出テストを実行する方法について説明します。

EDR 検出テストを実行する

EDR 検出テストを実行するには、次のプラットフォーム固有の手順を使用します。

Windowsで EDR 検出テストを実行する

ヒント

次のコマンドを機能させるには、Windows デバイスが TCP ポート 80 の要求をリッスンしている必要があります。 確認するには、次の PowerShell コマンドを実行します: Test-NetConnection 127.0.0.1 -Port 80。

コマンド プロンプト ウィンドウで、次のコマンドを実行して、EDR 検出をトリガーするテスト ファイルをダウンロードして起動します。

powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference='silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-WDATP-test\\invoice.exe');Start-Process 'C:\\test-WDATP-test\\invoice.exe'

コマンドが正常に実行され、テスト ファイルが実行されると、Windows EDR 検出テストは完了としてマークされ、数分以内に新しいアラートが表示されます。

Linux で EDR 検出テストを実行する

Linux で EDR 検出テストを実行するには、次の手順を実行します。

  1. テスト スクリプトをローカルで抽出して実行できるように、オンボードされた Linux サーバーに MDE Linux EDR DIY パッケージをダウンロードします。 詳細については、 MDE Linux EDR DIY テスト スクリプトを参照してください。

    curl -o ~/Downloads/MDE-Linux-EDR-DIY.zip -L https://aka.ms/MDE-Linux-EDR-DIY

  2. ダウンロードしたアーカイブを抽出して、DIY テスト スクリプトとサポート ファイルにアクセスします。

    unzip ~/Downloads/MDE-Linux-EDR-DIY.zip

  3. ターミナルから起動できるようにスクリプトを実行可能にします。

    chmod +x ./mde_linux_edr_diy.sh

  4. DIY スクリプトを実行して EDR テスト シナリオを開始し、エンドポイント検出の動作を確認します。

    ./mde_linux_edr_diy.sh

    数分後に、Microsoft Defender ポータルで検出を発生させる必要があります。 アラートの詳細、マシンのタイムラインを確認し、一般的な調査手順を実行します。

macOS で EDR 検出テストを実行する

macOS で EDR 検出テストを実行するには、次の手順を実行します。

  1. ブラウザーで Mac または Safari 用Microsoft Edge、macOS EDR DIY テスト ファイルのダウンロード ページから MDATP macOS DIY.zip をダウンロードし、zip 形式のフォルダーを抽出します。

    次のプロンプトが表示されます。

    "mdatpclientanalyzer.blob.core.windows.net" でダウンロードを許可しますか?
    [Web サイトの基本設定] でファイルをダウンロードできる Web サイトを変更できます。

  2. [ 許可] を 選択して "mdatpclientanalyzer.blob.core.windows.net" からのダウンロードを許可します。

  3. [ダウンロード] を開きます。

  4. MDATP MacOS DIY を表示できる必要があります。

    ヒント

    MDATP MacOS DIY をダブルクリックすると、次のメッセージが表示されます。

    開発者が検証できないため、"MDATP MacOS DIY" を開くことができません。
    macOS は、このアプリがマルウェアから解放されていることを確認できません。
    [ごみ箱に移動][完了]

  5. 開発者確認の警告ダイアログで、[ 完了] をクリックします。

  6. MDATP MacOS DIY を右クリックし、[開く] をクリックします。

    次のメッセージが表示されます。

    macOS は MDATP MacOS DIY の開発者を検証できません。 開いてよろしいですか?
    このアプリを開くと、コンピュータや個人情報をMacに害を与えたりプライバシーを侵害したりする可能性のあるマルウェアに公開できるシステムセキュリティをオーバーライドすることになります。

  7. macOS のセキュリティ確認ダイアログで、[ 開く] をクリックします。

    次のメッセージが表示されます。

    Microsoft Defender for Endpoint - macOS EDR DIY テスト ファイル
    対応するアラートは、MDATP ポータルで使用できます。

  8. [EDR DIY テスト ファイル] ダイアログで、[ 開く] をクリックします。

    数分後に、アラートmacOS EDR Test Alertが生成されます。

  9. Microsoft Defender ポータル (https://security.microsoft.com/) に移動します。

  10. [アラート キュー] に移動します。

    重大度、カテゴリ、検出ソース、およびアクションの折りたたまれたメニューを示す macOS EDR テスト アラートを示すスクリーンショット

    macOS EDR テスト アラートには、重大度、カテゴリ、検出ソース、および折りたたまれたアクションのメニューが表示されます。 アラートの詳細とデバイスのタイムラインを確認し、定期的な調査手順を実行します。

次の手順

アプリの互換性やパフォーマンスの問題がある場合は、除外を追加することを検討してください。 詳細については、以下を参照してください:

また、「Microsoft Defender for Endpoint セキュリティ操作ガイド」も参照してください。

  • Last updated on