macOSでMicrosoft Defender for Endpointネットワーク保護を使用してください

Microsoft Defender for Endpointのネットワーク保護は、macOSデバイス上のアプリケーションや非ブラウザプロセスが危険なドメインに接続するのを防ぐのに役立ちます。 Microsoft EdgeのMicrosoft Defender SmartScreenを超え、対応ブラウザやその他のプロセスにもウェブ保護を拡張します。

この記事を使って要件を確認し、執行レベルを選択し、ネットワーク保護を展開し、サポートされているウェブ保護やMicrosoft Defender for Cloud Appsのシナリオを理解しましょう。

前提条件

ネットワーク保護を設定する前に、環境が以下の要件を満たしているか確認してください:

• Microsoft Defender for Endpoint プラン1、Microsoft Defender for Endpoint Plan 2、トライアル、またはMicrosoft Defender for Businessライセンスのいずれかです。
• 対応するmacOSバージョンとエンドポイントバージョン101.94.13(2023年1月)以降のDefenderを動作させるオンボーディングデバイス。
• 対応ブラウザ:
  • Brave、Chrome、Firefox、Opera、SafariなどのMicrosoft以外のブラウザです。
  • macOS用のMicrosoft Edge。

ブラウザの設定要件

Microsoft Edge以外のプロセスでは、ネットワーク保護はTCP/IPハンドシェイク後に発生するトランスポート層セキュリティ(TLS)ハンドシェイクを調べることで、各HTTPS接続の完全資格ドメイン名を特定します。 HTTPS接続はユーザーデータグラムプロトコル(UDP)やクイックUDPインターネット接続(QUIC)ではなくTCP/IPを使用し、ClientHelloメッセージは暗号化されてはなりません。 QUICおよびEncrypted Client Helloを無効にするには、以下の記事をご覧ください:

• Google Chrome: QuicAllowed と EncryptedClientHelloEnabled。
• Mozilla Firefox: EncryptedClientHello を無効 にし、 network.http.http3.enable。

ロールアウトを計画する

macOSのネットワーク保護は、最低要件を満たすすべてのオンボーディング済みDefender for Endpointデバイスで利用可能です。 macOSのネットワーク保護は、以下のセキュリティ、調査、アプリケーション制御機能をサポートしています:

• ドメインやIPアドレスのカスタム侵害インジケーター。
• 対応ブラウザ(macOS版Microsoft Edgeを含む)でデバイスグループのウェブサイトカテゴリをブロックするウェブコンテンツフィルタリングポリシーです。
• 高度なハンティング や デバイスタイムラインは、セキュリティ調査のための ネットワークイベント データを提供します。
• Microsoft Defender for Cloud Appsは、クラウドアプリの利用を検出し、監視されているアプリについてユーザーに警告し、非公認アプリをブロックするコントロールです。 これらのシナリオはより多くのライセンス要件や製品要件があります。
• 企業向け仮想プライベートネットワーク(VPN)の利用。 現時点では、VPN の競合は特定されません。 競合が発生した場合は、Microsoft 365 管理センターを通じてMicrosoft サポートに連絡してください。

すべての設定済みネットワーク保護およびウェブ脅威保護ポリシーは、ネットワーク保護がブロックモードのmacOSデバイス上で強制されます。 展開リスクを減らすために:

• ネットワーク保護をテストするために、少数のデバイスでデバイスグループを作成しましょう。
• ウェブ脅威保護、カスタムインジケーター、ウェブコンテンツフィルタリング、Defender for Cloud Appsの強制ポリシーがブロックモードのmacOSデバイスにどのように影響するかを評価してください。
• 監査モードまたはブロックモードのポリシーをデバイスグループに展開し、そのポリシーがワークフローを妨げていないか確認してください。
• 徐々にネットワーク保護を大規模なデバイスグループに展開します。

ネットワーク保護を構成する

Microsoft AutoUpdate を使用して最新の製品バージョンをインストールします。 Microsoft AutoUpdateを開くには、ターミナルで以下のコマンドを実行します:

open /Library/Application\ Support/Microsoft/MAU2.0/Microsoft\ AutoUpdate.app

ネットワーク保護は既定で無効になっています。 以下のいずれかの執行レベルを設定することができます:

• 監査:ネットワーク保護が事業ラインアプリケーションにどのような影響を与えるか、またブロックが発生する頻度を評価します。
• ブロック:悪意のあるウェブサイトへの接続を防ごう。
• 無効化:すべてのネットワーク保護コンポーネントを無効にしてください。

ネットワーク保護は手動で、Jamf Pro、Microsoft Intune、または.mobileconfigファイルで展開できます。

ネットワーク保護を手動で設定してください

強制レベルを設定するには、ターミナルで以下のコマンドを実行します:

mdatp config network-protection enforcement-level --value <disabled | audit | block>

例えば、以下のコマンドはブロックモードでネットワーク保護を設定するものです:

mdatp config network-protection enforcement-level --value block

ネットワーク保護が正常に開始されたかを確認するために、ターミナルで以下のコマンドを実行し、返 startedを確認します。

mdatp health --field network_protection_status

Jamf Proでネットワーク保護を設定する

Jamf Proは別のサードパーティ製品で、Defender for Endpointの一部ではなく、Defender for Endpointのサブスクリプションにも含まれていません。 Jamf Proを使用するには、組織内で別のJamf Proサブスクリプションが必要です。 製品およびサブスクリプション情報については、 Jamf Proをご覧ください。 もし御社でJamf Proを使用していない場合は、この記事の別の設定方法を使ってください。

Jamf Proの導入には、ネットワーク保護の強制レベルを設定する設定プロファイルが必要です。

この構成プロファイルを作成した後、ネットワーク保護を有効にするデバイスに割り当てます。

Jamfの指示に従って カスタムコンピュータ構成プロファイルを展開してください。 プリファレンスドメインをcom.microsoft.wdavに設定し、以下のプロパティリストをアップロードしてブロックモードでネットワーク保護を設定してください:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>networkProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Microsoft Intuneでネットワーク保護を設定する

Microsoft Intuneは、エンドポイント機能のDefenderを構成してデバイスに配布するための推奨ツールです。 ただし、Intune はエンドポイントのDefenderの一部ではない別個の製品であり、すべてのサブスクリプションに含まれているわけではありません。 Intune を使用するには、Intune を含むサブスクリプションが必要です。または、スタンドアロン サブスクリプションまたはアドオンとして個別に購入することもできます。 Intune をお持ちでない場合は、この記事の他の方法のいずれかを使用できます。 詳細については、「Microsoft Intune のライセンス」を参照してください。

Microsoft Intuneでネットワーク保護を設定するには、設定カタログポリシーを作成または変更してください。 詳細な手順については、Microsoft Intuneの設定カタログを使ってポリシーを作成する方法をご覧ください。

デバイス |Microsoft Intune管理センターの設定ページでhttps://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration、ポリシータブを選択し、作成。 新しいポリシーを選択し、以下の設定をご利用ください:

• プラットフォーム: macOS を選択します。
• プロファイルの種類: [設定カタログ] を選択します。

ポリシーを作成または修正する際は、 設定 タブで以下の特定の設定を設定してください:

• Microsoft Defender>ネットワーク保護>執行レベル:ブロックを選択します。

モバイル構成プロファイルを展開する

.mobileconfigファイルで構成を展開するには、非Microsoftモバイルデバイス管理(MDM)ソリューションを使用するか、ファイルを直接デバイスに配布してください:

1. 次のペイロードを com.microsoft.wdav.mobileconfigとして保存します。

   <?xml version="1.0" encoding="utf-8"?>
   <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
   <plist version="1">
       <dict>
           <key>PayloadUUID</key>
           <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
           <key>PayloadType</key>
           <string>Configuration</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender ATP settings</string>
           <key>PayloadDescription</key>
           <string>Microsoft Defender ATP configuration settings</string>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
           <key>PayloadRemovalDisallowed</key>
           <true/>
           <key>PayloadScope</key>
           <string>System</string>
           <key>PayloadContent</key>
           <array>
               <dict>
                   <key>PayloadUUID</key>
                   <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                   <key>PayloadType</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadOrganization</key>
                   <string>Microsoft</string>
                   <key>PayloadIdentifier</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadDisplayName</key>
                   <string>Microsoft Defender ATP configuration settings</string>
                   <key>PayloadDescription</key>
                   <string/>
                   <key>PayloadVersion</key>
                   <integer>1</integer>
                   <key>PayloadEnabled</key>
                   <true/>
                   <key>networkProtection</key>
                   <dict>
                       <key>enforcementLevel</key>
                       <string>block</string>
                   </dict>
               </dict>
           </array>
       </dict>
   </plist>
   

2. ファイルが正しくコピーされているか確認してください。 ターミナルで以下のコマンドを実行し、返 OKを確認します:

   plutil -lint com.microsoft.wdav.mobileconfig
   

ネットワーク保護シナリオ

次のシナリオがサポートされています。

Web の脅威に対する保護

ウェブ脅威保護は、Defender for Endpointのウェブ保護の一部です。 Microsoft Edge for macOSおよびBrave、Chrome、Firefox、Opera、Safariなどの非Microsoftブラウザで、ネットワーク保護を用いてデバイスをウェブ脅威から守ります。 ウェブプロキシを必要とせず、オンプレミスのデバイスを組織から遠ざけて保護します。 ブラウザの要件については「 Prerequisites」を参照してください。

Web 脅威保護は、次の種類のサイトへのアクセスを停止します。

• フィッシングサイト。
• マルウェアのベクター。
• サイトを探索します。
• 信頼できない、または評判の低いサイト。
• カスタムインジケーターでブロックされたサイト。

詳細については、「 ウェブ脅威から組織を守る」をご覧ください。

侵害のカスタム インジケーター

侵害の指標(IoC)マッチングは、セキュリティ運用(SecOps)チームが検出やブロックのための指標のリストを作成することを可能にします。

エンティティの検出、防止、除外を定義するインジケーターを作成します。 各指標ごとに、アクションを定義し、アクションを適用する時間、デバイスグループの範囲を定義します。

現在サポートされているソースは、Defender for Endpoint のクラウド検出エンジン、自動調査と修復エンジン、エンドポイント防止エンジン (Microsoft Defender ウィルス対策) です。

詳細については、「 IPアドレス、URL、ドメインのインジケーター作成」をご覧ください。

Web コンテンツ フィルタリング

ウェブコンテンツフィルタリングは、Defender for EndpointおよびMicrosoft Defender for Businessのウェブ保護の一部です。 これは、組織がコンテンツカテゴリに基づいてウェブサイトへのアクセスを追跡・管理するのに役立ちます。 悪意のないウェブサイトでも、コンプライアンス要件や帯域幅の使用、その他の懸念で問題が生じることがあります。

デバイスグループごとに特定のカテゴリをブロックするポリシーを設定しましょう。 カテゴリーをブロックすると、そのグループのユーザーが関連するURLにアクセスできなくなります。 ブロックされていないカテゴリのURLは自動的に監査されます。 ユーザーは中断なくURLにアクセスでき、アクセス統計を使ってポリシーを調整できます。 ユーザーは、ウェブページの要素がブロックされたリソースを呼び出すと通知を受け取ります。

ウェブコンテンツフィルタリングは、Brave、Chrome、Firefox、Opera、Safariなどの主要なウェブブラウザに対応しています。 ネットワーク保護がブロックを強制します。

ブラウザーのサポートの詳細については、「 前提条件」を参照してください。

レポートの詳細については、「 Web コンテンツのフィルター処理」を参照してください。

Microsoft Defender for Cloud Apps（クラウドアプリを守るマイクロソフトのセキュリティサービス）

Microsoft Defender for Cloud Appsは、監視対象とタグ付けされたアプリにアクセスしたユーザーに警告し、非認可タグのアプリをブロックすることができます。 このセクションでは、監視対象アプリの警告体験に焦点を当てています。 両方のコントロールの詳細については、Microsoft Defender for Endpoint を使用して検出されたアプリを管理するを参照してください。

Cloud App Catalogで、ユーザーがアクセスしたときに警告が表示されるべきアプリを特定し、そのアプリを 「監視中」とマークしてください。 監視対象アプリのドメインはDefender for Endpointと同期されます。

通常、数分以内にドメインはMicrosoft Defenderポータルの指標ページにhttps://security.microsoft.com/securitysettings/endpoints/custom_ti_indicatorsに現れます。 URLs/Domainsタブでは、アクション値が警告されています。 執行サービスレベル協定(SLA)では、ユーザーはドメインにアクセスしようとすると警告を受けます。

ユーザーが監視対象ドメインにアクセスしようとすると、Defender for Endpointは一時的にアクセスをブロックし、警告を表示します。 オペレーティングシステムの通知には、影響を受けたアプリケーション名が含まれています。 例えば、通知が Blogger.com を特定することがあります。

ユーザーは警告を回避したり、教育用ウェブページを開くことができます。

ユーザーバイパス

通知で「 ブロック解除」を選択し、ウェブページを読み込み直してください。 ユーザーはDefender for Cloud Appsで設定されたバイパス期間中、クラウドアプリにアクセスできます。 使用時間が終了すると、ユーザーが次にアプリにアクセスする際に警告が表示されます。

ユーザー教育

通知を選択して、Defender for Cloud Appsでグローバルに設定されたカスタムリダイレクトURLを開きます。

エンドユーザー教育センターを設立する

必要に応じて制限を設定し、ユーザーに以下のことを教育するために、Defender for Cloud Appsのクラウドコントロールを活用してください。

• 具体的な出来事について。
• なぜこの事件が起きたのか。
• その決定の理由です。
• ユーザーがブロックされたサイトを回避する方法。

ユーザーが何が起こったのか理解し、次にクラウドアプリを選ぶ際に十分な情報を提供しましょう。 例えば、以下を含みます:

• あなたの組織のインターネットおよびクラウド利用に関するセキュリティおよびコンプライアンスポリシー。
• 承認または推奨されているクラウドアプリ。
• 制限されたりブロックされたクラウドアプリ。

展開のタイミングと制限を理解する

• アプリを 監視中としてマークした後、エンドポイントデバイスへのドメイン伝播に最大2時間かかることがあります。

• スコーププロファイルを適用しない限り、このアクションは組織内のすべてのオンボーディングエンドポイントで 監視 されているすべてのアプリとドメインに適用されます。

• 現在、フルURLはサポートされておらず、Defender for Cloud AppsからDefender for Endpointへの送信もされていません。 監視対象のアプリに完全なURLが含まれている場合、ユーザーはサイトにアクセスしようとした際に警告されません。 例えば、 google.com/drive はサポートされていませんが、 drive.google.com はサポートされています。

• テスト時には、暗号化されたクライアントHelloとQUICを無効にしてサイトを正しくブロックしてください。 ブラウザの設定手順については 、ブラウザ設定要件を参照してください。

関連するコンテンツ

• macOS での Microsoft Defender for Endpoint
• Microsoft Defender for EndpointとMicrosoft Defender for Cloud Appsの統合
• Microsoft Edge の革新的な機能について知る
• ネットワークを保護する
• ネットワーク保護を有効にする
• Web 保護
• インジケーターの作成
• Web コンテンツ フィルタリング