Microsoft Defender for Endpoint Plan 1 を設定および構成する

このガイドを使ってMicrosoft Defender for Endpoint Plan 1を展開してください。 要件を確認し、展開方法を選択し、デバイスをオンボードし、プラン1に含まれる保護機能を設定してください。

セットアップと構成のプロセス

Defender for Endpoint Plan 1の一般的なセットアップおよび設定プロセスは以下の通りです。

システム要件を確認する

展開前に、ライセンス、対応OSやブラウザ、ハードウェア、ネットワーク接続、データストレージの要件を確認してください。 現在の要件については、「Microsoft Defender for Endpointの最低要件」を参照してください。

Defender for Endpoint Plan 1およびPlan 2にはサーバーライセンスが含まれていません。 サーバーライセンスおよびオンボーディング要件については、Onboard Windows Serverをご覧ください。

デプロイを計画する

既存のデバイス管理ツールや環境に基づいてアーキテクチャと展開方法を選択してください。 展開アーキテクチャには、クラウドネイティブ、共同管理、オンプレミス、評価またはローカルオンボーディングが含まれます。

Microsoft Intuneは、エンドポイント機能のDefenderを構成してデバイスに配布するための推奨ツールです。 ただし、Intune はエンドポイントのDefenderの一部ではない別個の製品であり、すべてのサブスクリプションに含まれているわけではありません。 Intune を使用するには、Intune を含むサブスクリプションが必要です。または、スタンドアロン サブスクリプションまたはアドオンとして個別に購入することもできます。 Intune をお持ちでない場合は、この記事の他の方法のいずれかを使用できます。 詳細については、「Microsoft Intune のライセンス」を参照してください。

アーキテクチャおよび展開方法の選択に関するガイダンスについては、「Defender for Endpointのアーキテクチャを特定し、デプロイメント方法を選択する」をご覧ください。

以下の展開ポスターは利用可能な選択肢の視覚的な概要を示しています:

デプロイ ポスターを取得する

環境を設定する

以下のタスクを完了して、Defender for Endpointの環境を準備しましょう:

• 免許証を必ず確認してください。
• 組織の設定をしましょう。
• 必要に応じてプロキシ設定を設定してください。
• センサーが正しく動作しているか確認し、データをDefender for Endpointに報告してください。

詳細なセットアップガイダンスについては、「Set up Defender for Endpoint」をご覧ください。

ロールとアクセス許可を割り当てる

セキュリティチームがMicrosoft Defenderポータルにアクセスし、Defender for Endpointの設定を行い、検出された脅威に対応するための権限を与える役割を割り当ててください。 各タスクに必要な権限が最も少ないロールを使いましょう。

Defender for EndpointはMicrosoft Entraの役割とロールベースアクセス制御(RBAC)をサポートしています。 現在の権限に関するガイダンスについては 、「役割と権限の割り当て」をご覧ください。

Defender for Endpoint を導入する

各オペレーティングシステムと管理環境ごとにオンボーディング方法を選択してください。 現在のデプロイメントツール一覧については、「 デプロイメント方法を選択する」をご覧ください。

デバイスをオンボーディングした後は、次世代の保護機能と攻撃面削減機能を設定してください。

次世代の保護を構成する

組織のデバイスやセキュリティ設定の管理には、Microsoft Intuneの使用をお勧めします。

Intuneで次世代保護を設定するには、エンドポイントセキュリティの ウイルス対策 ポリシーを使用します。 詳細な手順は「 エンドポイントセキュリティポリシーの作成」をご覧ください。

ポリシーを作成する際は、以下の具体的な設定をご利用ください:

• ポリシータイプ:エンドポイントセキュリティの管理>アンチウイルス|https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overviewの概要ページにアクセスし、ポリシーを作成。
• [プラットフォーム]: [Windows] を選択します。
• プロファイル: Microsoft Defender Antivirus を選択します。

設定タブで、組織のアンチウイルス設定を設定してください。 利用可能な設定の詳細については、Microsoft Defender AntivirusのWindows防ウイルスポリシー設定をご覧ください。

iOSの設定オプションについては、「iOS 機能でMicrosoft Defender for Endpointを配置する」をご覧ください。

攻撃面の縮小機能を構成する

攻撃面の削減は、組織が攻撃を受けやすい場所を減らすことです。 Defender for Endpoint Plan 1には、以下の攻撃面削減機能が含まれています:

攻撃面の減少 (ASR) ルール

攻撃表面の縮小 (ASR) ルールは、Windows デバイス上のMicrosoft Defenderウイルス対策で使用できます。 使用可能なデプロイ方法については、「 ASR 規則のデプロイと構成方法」を参照してください。

通常、テストを行わずにブロック モードまたは警告モードで標準の保護規則を有効にすることができます。 監査 モードで 他の ASR ルールをテストしてから、[ ブロック ] または [ 警告 ] モードに切り替える必要があります。 詳細については、 ASR ルールのデプロイ ガイドを参照してください。

ランサムウェアの軽減策

制御されたフォルダー アクセスによってランサムウェアの軽減策が得られます。これにより、信頼されたアプリのみがエンドポイント上の保護されたフォルダーにアクセスできるようになります。

Intuneで制御されたフォルダー アクセスを構成するには、「エンドポイント セキュリティ ポリシーを使用してIntuneで ASR ルールと除外を構成する」を参照してください。 ポリシーの [ フォルダー アクセスの制御]、[ フォルダー アクセスの保護されたフォルダーの制御] 、および [フォルダー アクセス許可アプリケーションの制御 ] 設定を使用します。

詳細については、「 フォルダー アクセスの制御 (CFA) の概要」を参照してください。

デバイス制御

リムーバブル デバイス上のリムーバブル デバイスとファイルをブロックまたは許可するように Defender for Endpoint を構成できます。 Intuneではエンドポイントセキュリティの 攻撃面削減 ポリシーを使用します。 詳細な手順は「 エンドポイントセキュリティポリシーの作成」をご覧ください。

ポリシーを作成する際は、以下の具体的な設定をご利用ください:

• ポリシーの種類: 管理> に移動し、エンドポイント セキュリティ | 概要 ページで https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overviewポリシーの作成 を選択します。
• [プラットフォーム]: [Windows] を選択します。
• プロファイル: [デバイス制御] を選択します。

設定、再利用可能なグループ、割り当て、展開のガイダンスについては、「Microsoft Intuneでデバイス制御を構成」をご覧ください。

ネットワーク保護

ネットワーク保護は、フィッシング詐欺やエクスプロイト、その他の悪意のあるコンテンツをホストする可能性のある危険なドメインへのアプリ接続を防ぐのに役立ちます。 Intuneではエンドポイントセキュリティの アンチウイルス ポリシーを使いましょう。 詳細な手順は「 エンドポイントセキュリティポリシーの作成」をご覧ください。

ポリシーを作成する際は、以下の具体的な設定をご利用ください:

• ポリシータイプ:エンドポイントセキュリティの管理>アンチウイルス|https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overviewの概要ページにアクセスし、ポリシーを作成。
• [プラットフォーム]: [Windows] を選択します。
• プロファイル: Microsoft Defender Antivirus を選択します。

設定タブのDefenderセクションで、「ネットワーク保護を有効にする」を「Enabled (ブロックモード)」に設定してください。 接続をブロックせずにネットワーク保護を評価するには、「 Enabled(監査モード)」を選択してください。

Web 保護

ウェブ保護は、組織のデバイスをウェブ脅威や不要なコンテンツから守るのに役立ちます。 ウェブ 脅威保護 や コンテンツフィルタリングも含まれます。

Web の脅威に対する保護を構成する

従来のIntuneウェブ 保護 ポリシーは廃止されています。 デバイス上でネットワーク保護とMicrosoft Defender SmartScreenを有効にして、ウェブ脅威保護を設定しましょう。 要件および設定ガイダンスについては 、「ウェブ脅威から組織を守る」をご覧ください。

Web コンテンツ のフィルター処理を構成する

ウェブコンテンツフィルタリングを有効にし、ポリシーを作成するには 、「ウェブコンテンツフィルタリングをオンにする」をご覧ください。

ネットワーク ファイアウォール

ネットワーク ファイアウォールは、ネットワーク セキュリティの脅威のリスクを軽減するのに役立ちます。 セキュリティ チームは、組織のデバイスとの間でどのトラフィックの送受信を許可するかを定めるルールを設定できます。 Microsoft Intuneを使用してネットワーク ファイアウォールを構成することをお勧めします。

IntuneでWindowsファイアウォールを設定するには、エンドポイントセキュリティファイアウォールポリシーを使用してください。 詳細な手順は「 エンドポイントセキュリティポリシーの作成」をご覧ください。

ポリシーを作成する際は、以下の具体的な設定をご利用ください:

• ポリシータイプ:エンドポイントセキュリティの管理>ファイアウォール |https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overviewの概要ページにアクセスし、ポリシーを作成を選択します。
• [プラットフォーム]: [Windows] を選択します。
• プロファイル:Windowsファイアウォールを選択します。

設定タブで、以下の設定をすべてTrue(デフォルト)に設定してください:

• ドメイン ネットワーク ファイアウォールを有効にする
• プライベート ネットワーク ファイアウォールを有効にする
• パブリック ネットワーク ファイアウォールを有効にする

Intuneのファイアウォールプロファイルについての詳細は、「Microsoft Intuneのエンドポイントセキュリティポリシーでファイアウォール設定を管理する」をご覧ください。

アプリケーション制御

Business for App Control は、ユーザーが実行できるアプリやシステムコアで動作するコードを制限することで、Windowsデバイスを保護します。 App Controlはウイルス対策を補完するものであり、ウイルス対策の代替ではありません。

App Controlの展開計画を立てるには、以下のリソースをご覧ください:

• Windows 向けアプリケーション制御
• ビジネスポリシー設計決定のためのアプリコントロール
• ビジネス向け一般的なアプリコントロールのユースケース

次のステップ

セットアップと設定が終わったら、Defender for Endpoint Plan 1を使い始めましょう。