Microsoft Defenderポータルのエンドポイントセキュリティポリシーを使って、Microsoft Defenderのウイルス対策およびWindows保護機能を設定・テストしてください。 評価にはリアルタイム保護、クラウド配信保護、ネットワーク保護、攻撃面削減(ASR)ルール、改ざん防止が含まれます。
Prerequisites
MDAV が行う検出に関して質問がある場合、または検出が見つからない場合は、 サンプル提出ヘルプ サイトでファイルを送信できます。
開始する前に、以下の項目があることを確認します:
- Windows 10以降、またはWindows Server 2016以降のバージョンです。
- デバイスはMicrosoft Defender for Endpointにオンボーディングされ、Defender for Endpointのセキュリティ設定管理を通じて管理されています。 デバイスはMicrosoft Intuneに登録する必要はありません。
- エンドポイントセキュリティポリシー管理のための事前条件で説明されているライセンス、権限、セットアップ。
評価ポリシーの設定
Microsoft Defenderのアンチウイルス設定、ASRルール、改ざん防止のために別途エンドポイントセキュリティポリシーを作成しましょう。 ポリシーの作成、割り当て、保存、編集、検証の全手順については、「 エンドポイントセキュリティポリシーの作成 」および 「エンドポイントセキュリティポリシーの編集」をご覧ください。
Microsoft Defenderウイルス対策は、標準の Windows 通知による検出を示します。 また、Microsoft Defenderのウイルス対策スキャン結果も確認できます。
Windows イベント ログには、検出イベントとエンジン イベントも記録されます。 イベント ID とそれに対応するアクションの一覧については、「イベント ログとエラー コードを確認して、Microsoft Defender ウイルス対策に関する問題をトラブルシューティングする」を参照してください。
Microsoft Defenderのアンチウイルス設定を設定する
アンチウイルス評価の設定を設定するには、Microsoft Defenderのアンチウイルスポリシーを使用してください。
https://security.microsoft.com/policy-inventory?osPlatform=WindowsのDefenderポータルのエンドポイントセキュリティポリシーページのWindowsポリシータブでポリシーを作成する際は、以下の特定の設定をご利用ください:
- [プラットフォームの選択]: [Windows] を選択します。
- [テンプレートの選択]: [Microsoft Defenderウイルス対策] を選択します。
ポリシーを作成または修正する際は、 構成設定 タブで以下の評価設定を設定してください:
リアルタイム保護:
設定 値 リアルタイム監視を許可する 許可済み。 リアルタイム監視サービス(デフォルト)を起動し実行します。 リアルタイム スキャン方向 すべてのファイルを監視(双方向)(デフォルト)。 動作の監視を許可する 許可済み。 リアルタイムの行動監視(デフォルト)が有効になります。 アクセス保護の許可 許可(デフォルト)。 PUA保護 PUA 保護: オン。 検出された項目はブロックされます。 彼らは歴史に他の脅威とともに登場します。 クラウド保護機能:
設定 値 Cloud Protection を許可する 許可済み。 クラウド保護(デフォルト)をオンにします。 クラウド ブロックのレベル 高 クラウド延長タイムアウト 設定済み、50 サンプルの送信同意 すべてのサンプルを自動的に送信する 通常のセキュリティ インテリジェンスの更新は、準備して配信されるまでに数時間かかることがあります。 Microsoftのクラウド提供型保護は、新興の脅威に対して数秒で最新の保護を提供します。 詳細については、「クラウド提供の保護を通じてMicrosoft Defenderウイルス対策で次世代テクノロジを使用する」を参照してください。
スキャン:
設定 値 Emailスキャンを許可する 許可済み。 メールスキャンを有効にします。 ダウンロードしたすべてのファイルと添付ファイルのスキャンを許可する 許可(デフォルト)。 スクリプトスキャンを許可する 許可(デフォルト)。 アーカイブスキャンを許可する 許可済み。 アーカイブファイルをスキャンします(デフォルト)。 ネットワークFilesのスキャンを許可する 許可済み。 ネットワークファイルをスキャンします(デフォルト)。 リムーバブル ドライブのスキャンのフル スキャンを許可する 許可済み。 リムーバブル ドライブをスキャンします。 ネットワーク保護:
設定 値 ネットワーク保護を有効にする 有効 (ブロック モード) ネットワーク保護のダウン レベルを許可する ネットワーク保護はダウンレベルで有効になります。 Win Server でデータグラム処理を許可する Windows Server上のデータグラム処理はデフォルトで無効化されています。 TCP 解析で DNS を無効にする DNSオーバーTCP解析はデフォルトで有効です。 HTTP 解析を無効にする HTTP解析はデフォルトで有効です。 SSH 解析を無効にする SSHパースはデフォルトで有効化されています。 TLS 解析を無効にする TLS解析はデフォルトで有効になっています。 Note
UDPトラフィックが多いサーバーロールでは、 Win Server上でデータグラム処理を許可 する機能を無効にしておきます。 この設定を有効にすると、ネットワークのパフォーマンスや信頼性に影響が出ます。 詳細については、「Microsoft Defender Antivirusのネットワーク保護設定」をご覧ください。
セキュリティ インテリジェンスの更新:
設定 値 署名の更新間隔 設定済み, 4 署名の更新フォールバック順序 - 指定する数のフォールバック ソースに対して [ 追加] を選択します。
- 各ボックスに、必要な順序で次のいずれかの値を入力します。
-
InternalDefinitionUpdateServer: Microsoft Defenderウイルス対策更新プログラムが許可されている独自の WSUS サーバー。 -
MicrosoftUpdateServer: Microsoft Update。 -
MMPC:https://www.microsoft.com/wdsi/definitions
-
フォールバックソース(入力済みまたは空)を削除するには、ボックスの隣にあるチェックボックスを選択し、「 削除」を選択してください。ローカル管理者 AV:
ローカル管理者が除外などのMicrosoft Defenderアンチウイルス設定を変更するのを防ぎましょう。 Defender for Endpointのセキュリティ設定管理で設定を管理してください。
設定 値 ローカル 管理マージを無効にする ローカル 管理マージを無効にする 脅威の重大度の既定のアクション:
設定 値 重大度の高い脅威に対する修復アクション 検疫。 ファイルを検疫に移動します。 重大な脅威に対する修復アクション 検疫。 ファイルを検疫に移動します。 重大度の低い脅威の修復アクション 検疫。 ファイルを検疫に移動します。 重大度の中程度の脅威に対する修復アクション 検疫。 ファイルを検疫に移動します。 隔離の選択肢:
設定 値 クリーニングされたマルウェアを保持する日数 構成済み, 60 ユーザー UI アクセスを許可する 許可済み。 ユーザーがUI(デフォルト)にアクセスできるようにします。
攻撃面の減少ルールを構成する
ASRルール評価設定を設定するには、Attack Surface Reduction Rulesポリシーを使用してください。 ASRルールの詳細については、 ASRルールをご覧ください。
利用可能なルールアクションについては、 ASRルールのモードを参照してください。
https://security.microsoft.com/policy-inventory?osPlatform=WindowsのDefenderポータルのエンドポイントセキュリティポリシーページのWindowsポリシータブでポリシーを作成する際は、以下の特定の設定をご利用ください:
- [プラットフォームの選択]: [Windows] を選択します。
- [テンプレートの選択]: [攻撃面の縮小規則] を選択します。
ポリシーを作成または修正する際は、 構成設定 タブで以下の評価設定を設定してください:
| 設定 | 値 |
|---|---|
| メール クライアントと Web メールで実行可能なコンテンツをブロックする | 監査 |
| Adobe Reader による子プロセスの作成をブロックする | 監査 |
| 難読化された可能性のあるスクリプトの実行をブロックする | 監査 |
| 悪用された脆弱な署名されたドライバーの悪用をブロックする (デバイス) | 監査 |
| Office マクロからの Win32 API 呼び出しをブロックする | 監査 |
| 普及率、経過期間、または信頼リストの条件を満たしていない場合に実行可能ファイルが実行されないようにする | 監査 |
| Office の通信アプリケーションによる子プロセスの作成をブロックする | 監査 |
| すべての Office アプリケーションによる子プロセスの作成をブロックする | 監査 |
| コピーまたは偽装されたシステム ツールの使用をブロックする | 監査 |
| JavaScript または VB スクリプトによる、ダウンロードされた実行可能なコンテンツの起動をブロックする | 監査 |
| Windows ローカル セキュリティ機関サブシステムからの資格情報の盗用をブロックする | 監査 |
| サーバーの WebShell 作成をブロックする | 監査 |
| Office アプリケーションによる実行可能なコンテンツの作成をブロックする | 監査 |
| USB から実行される信頼されていないプロセスまたは署名されていないプロセスをブロックする | 監査 |
| Office アプリケーションによる他のプロセスへのコード挿入をブロックする | 監査 |
| WMI イベント サブスクリプションを介して永続性をブロックする | 監査 |
| ランサムウェアに対して高度な保護を使用する | 監査 |
| PSExec コマンドと WMI コマンドから発生するプロセスの作成をブロックする | 監査 |
| セーフ モードでのコンピューターの再起動をブロックする | 監査 |
| フォルダー アクセスの制御を有効にする | 監査モード |
ヒント
監査イベントによって組織内で許容される動作が確認された場合は、Attack Surface Reduction Only Exclusions にルールごとの除外を追加してください。 詳細については、「 ASR ルールのファイルとフォルダーの除外」を参照してください。
ASRルールを有効にしたり、ブロックモードでフォルダアクセスを制御する前に監査イベントを確認しましょう。 詳細については、「ASR ルールのデプロイをテストする」をご覧ください。
改ざん防止の設定
改ざん防止を設定するには、Windows セキュリティ Experienceポリシーを使用します。
https://security.microsoft.com/policy-inventory?osPlatform=WindowsのDefenderポータルのエンドポイントセキュリティポリシーページのWindowsポリシータブでポリシーを作成する際は、以下の特定の設定をご利用ください:
- [プラットフォームの選択]: [Windows] を選択します。
- テンプレートを選択してください:Windows セキュリティ Experienceを選択します。
ポリシーを作成または修正する際は、 設定 タブの以下の特定の設定をご利用ください:
| 設定 | 値 |
|---|---|
| 改ざん保護 (デバイス) | タンパープロテクション(オン) |
Microsoft Defenderのウイルス対策を検証する
以下の手順でクラウド接続を確認し、評価デバイスのバージョンを更新してください。
クラウド保護ネットワークの接続性を確認してください
クラウド保護はクラウドベースの機械学習と分析を用いて、より迅速な脅威検出を提供します。 この機能が正しく動作するには、デバイスがMicrosoftのクラウド提供保護に到達できなければなりません。
以下の手順はWindows 10以降およびWindows Server 2019以降に適用されます。
昇格されたコマンドプロンプト( 管理者として実行して開いたコマンドプロンプトウィンドウ)で以下のコマンドを実行します:
ヒント
最初のコマンドは、ディレクトリを < の最新バージョンの >antimalware プラットフォーム バージョン%ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>に変更します。 そのパスが存在しない場合は、 %ProgramFiles%\Windows Defenderに移動します。
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -ValidateMapsConnection
詳細については、「MpCmdRun コマンド ライン ツールを使用してMicrosoft Defenderウイルス対策を構成および管理する」を参照してください。
プラットフォームの更新プログラムのバージョンを確認する
昇格されたPowerShellセッションで、デバイスにインストールされたMicrosoft Defender Antivirusプラットフォームのバージョンを表示するために、以下のコマンドを実行してください。
Get-MPComputerStatus | Format-Table AMProductVersion
出力をMicrosoft Update Catalogの最新の本番チャネルバージョンと比較してください。
セキュリティインテリジェンスのアップデート版を確認してください
昇格されたPowerShellセッションで以下のコマンドを実行し、デバイスにインストールされたセキュリティインテリジェンスのバージョンを表示します。
Get-MPComputerStatus | Format-Table AntivirusSignatureVersion
Microsoft Defender Antivirusのセキュリティインテリジェンスおよび製品アップデートページのセキュリティインテリジェンスアップデート版と、その結果を比較してください。
エンジンアップデートのバージョンを確認してください
アップグレードされたPowerShellセッションで以下のコマンドを実行し、デバイスにインストールされたMicrosoft Defender Antivirusエンジンのバージョンを表示します:
Get-MPComputerStatus | Format-Table AMEngineVersion
Microsoft Defender Antivirusのセキュリティインテリジェンスおよび製品アップデートページで、Engine版と出力を比較してください。
設定が有効になっていない場合は、競合している可能性があります。 競合を解決する方法については、「Microsoft Defenderウイルス対策設定のトラブルシューティング」を参照してください。
見逃した検出を送信してください
Microsoft Defender Antivirusが評価中に悪意のあるファイルや活動を検出しない場合は、検出されなかったファイルをMicrosoftに提出して分析してください:
- Microsoft Defender、Microsoft Defender for Endpoint P2/P1、またはMicrosoft Defender for Businessがある場合は、Microsoft Defender for Endpointでファイルを送信します。
- ウイルス対策をMicrosoft Defenderしている場合は、分析のためにファイルを送信します。