この記事は、Linux サーバーからMicrosoft Defender for Endpointをオフボードまたはアンインストールする必要がある IT 管理者とセキュリティの専門家を対象としています。 オフボードとアンインストールの違いについて説明し、シナリオに適したオプションを決定するのに役立ち、各メソッドの詳細な手順を示します。 また、オフボードデバイスとアンインストールされたデバイスがMicrosoft Defenderポータルでどのように表示されるかについても説明します。
概要
Defender for Endpoint からデバイスをオフボードするか、Defender アプリケーションをアンインストールすると、新たな検出、脆弱性データ、またはセキュリティ データは Microsoft Defender ポータルに送信されません。 デバイスのオフボードから 7 日後に、センサーの正常性状態が 非アクティブに変わります。 オフボードまたはアンインストールされたデバイスのアラート、脆弱性、デバイス タイムラインなどの過去のデータは、構成された保持期間が切れるまで、Microsoft Defender ポータルに表示されます。 また、デバイス インベントリにデバイス プロファイル (データなし) が最大 180 日間表示されます。 過去 30 日以内にアクティブになっていないデバイスは、organizationの露出スコアには考慮されません。
アクティブなデバイスのデータのみを表示するには、 センサーの正常性状態、 デバイス タグ、 デバイス グループなどのフィルターを使用できます。
オフボーディングとアンインストールの違いは何ですか?
オフボーディングとアンインストールの間には重要な違いがあります:
- オフボードすると、エージェントをインストールしたままデバイスが Defender サービスから切断され、セキュリティ データの送信が停止します。
- アンインストールすると、Defender for Endpoint のソフトウェアとサービスがデバイスから完全に削除され、セキュリティ データの送信が停止されます。
オフボード化とアンインストールのどちらを選ぶべきか
オフボード は、Defender アプリケーションを Linux サーバーにインストールしたまま、Defender サービスとの通信を一時的に停止したい場合に使用します。 このオプションは、後でエージェントを再インストールせずに Defender を再度有効にする場合に推奨されます。 たとえば、Defender アプリケーションに関する問題のトラブルシューティングを行う必要がある場合や、サーバーのメンテナンスの実行中に Defender を一時的に停止する場合は、オフボードにしたい場合があります。
インストール リング (Prod/Insider Slow/Insider Fast) の変更時など、Linux サーバーから Defender アプリケーションを完全に削除する場合、またはデバイスでMicrosoft Defenderを使用する予定がなくなった場合はアンインストールします。
オフボードデバイスとアンインストールされたデバイスはどのように動作しますか?
デバイスが正常にオフボードまたはアンインストールされると、Defender アプリケーションは次のように動作します。
- Microsoft Defender ポータルへのテレメトリ (アラートや脆弱性など) の送信を停止します。
- ライセンスが付与されておらず、機能しなくなります。
- Microsoft Defenderによって適用されたセキュリティ ポリシーは削除されます。
Defender ポータルにオフボードデバイスとアンインストール済みデバイスを表示するにはどうすればよいですか?
- オフボード化された、またはアンインストールされたデバイスのセンサー正常性の状態は、テレメトリが7日間ない場合、非アクティブに変わります。
- オフボードされ、アンインストールされたデバイスは、最大 180 日間表示されたままになります。 データ保持の詳細については、「Microsoft Defender for Endpointデータ ストレージとプライバシー」を参照してください。
- 保有期間中、履歴データ (アラート、タイムライン、ソフトウェア インベントリ) には引き続きアクセスできます。
- ポータルに明示的な Offboarded または Uninstalled ラベルは表示されません。 オフボードまたはアンインストールされたデバイスと、単に切断または非アクティブなデバイスを区別するには、オフボードまたはアンインストールする前にタグをデバイスに追加することをお勧めします。 これにより、後でこれらのデバイスを識別してフィルター処理しやすくなります。
デバイスの登録を解除する
Microsoft Defender for EndpointからLinuxサーバーをオフボードする方法は3つあります。
- スクリプトを使ってオフボードに出る。
- オフボーディング用の JSON ファイルを使用してオフボードします。
- APIを使ってオフボードで行います。
どの方法でも同じ結果が得られるので、自分の状況に最も合ったものを選べます。
スクリプトを使用してオフボードする
Microsoft Defender ポータル (https://security.microsoft.com) に移動し、サインインします。
ナビゲーション ウィンドウの [システム] で、[設定]> [Endpoints] を選択し、[デバイス管理] で [オフボード] を選択します。
オペレーティング システムとして [Linux サーバー] を選択し、[展開方法] セクションで [ローカル スクリプト] を選択します。
[ パッケージのダウンロード ] を選択し、[ ダウンロード] を選択します。 ダウンロードされる zip 形式のフォルダーには WindowsDefenderATPOffboardingPackage_valid_until_YYYY-MM-DD.zip という名前が付けられます (YYYY-MM-DD はパッケージの有効期限です)。
Linux サーバーで、ZIP ファイルの内容をローカル ディレクトリに抽出します。
ターミナルを開き、 MicrosoftDefenderATPOffboardingLinuxServer_valid_until_YYYY-MM-DD ファイルがあるディレクトリに移動します。
ターミナルに「
sudo python3 MicrosoftDefenderATPOffboardingLinuxServer_valid_until_YYYY-MM-DD.py」と入力します。 これにより、オフボード スクリプトが実行され、Microsoft Defender for Endpointからデバイスがオフボードされます。
オフボード用の JSON ファイルを使用してオフボードする
注:
この方法は、任意のLinux構成管理ツールを使用して、手動または自動で実行できます。
- Microsoft Defender ポータル (https://security.microsoft.com) に移動し、サインインします。
- ナビゲーション ウィンドウの [システム] で、[設定]> [Endpoints] を選択し、[デバイス管理] で [オフボード] を選択します。
- オペレーティング システムとして [Linux サーバー] を選択し、[展開方法] セクションで、お好みのLinux構成管理ツールを選択します。
- [ パッケージのダウンロード ] を選択し、[ ダウンロード] を選択します。 zip 形式のフォルダーには WindowsDefenderATPOffboardingPackage_valid_until_YYYY-MM-DD.zip という名前が付けられます (ここで、YYYY-MM-DD はパッケージの有効期限です)。
- ZIP ファイルの内容を抽出し、 mdatp_offboard.json ファイルを見つけます。
-
Linux サーバー上の次の場所にmdatp_offboard.jsonをコピーします。
/etc/opt/microsoft/mdatp/mdatp_offboard.json
APIを使ったオフボード
Offboard machine APIを使って、Defender for EndpointからLinuxサーバーのオフボーディングを自動化できます。
Linux サーバーから Defender アプリケーションをアンインストールする
Linux サーバーから Defender アプリケーションをアンインストールするには、Defender 展開ツールを使用したアンインストール (推奨) または手動アンインストールの 2 つの方法があります。 どちらの方法でも同じ結果が得られます。そのため、シナリオに最適なものを選択できます。
Defender 展開ツールを使用したアンインストール (推奨)
これは、1 つの手順で Defender アプリケーションをアンインストールできるため、推奨される方法です。
Microsoft Defender ポータル (https://security.microsoft.com) に移動し、サインインします。
ナビゲーション ウィンドウの System で、Settings>Endpoints を選択し、次に Device management で Onboarding を選択します。
オペレーティング システムとして [Linux サーバー] を選択します。
展開方法として Defender 展開ツールに移動し、[ パッケージのダウンロード ] を選択します (ZIP ファイルがダウンロードされます)。
パッケージを抽出し、次のコマンドを実行します。 これにより、Defender アプリケーションが削除され、リポジトリがクリーンアップされます。
./defender_deployment_tool.sh --remove --clean
手動アンインストール
Defender アプリケーションを手動で削除し、リポジトリをクリーンするには、次のいずれかのコマンドを実行します (Linuxディストリビューションに応じて適切なコマンドのいずれか)。
Red Hat Enterprise Linux (RHEL) とバリアント (CentOS および Oracle Linux)
sudo yum remove mdatp
または
sudo dnf remove mdatp
SUSE Linux Enterprise Server (SLES) とバリアント
sudo zypper remove mdatp
Ubuntu と Debian
sudo apt-get purge mdatp
マリナー
sudo dnf remove mdatp
デバイスのオフボード状態を確認する方法
デバイスのオフボード状態を確認するには、次のコマンドを実行します。
mdatp health --field health_issues
予想される出力
ATTENTION: No license found. Contact your administrator for help. ["missing license"]
Defender アプリケーションは、手動でアンインストールされない限り、デバイスにインストールされたままです。