Microsoft Defender for Identityをパイロットしてデプロイする

この記事では、organizationでMicrosoft Defender for Identityをパイロットしてデプロイするためのワークフローについて説明します。 これらの推奨を活用して、Microsoft Defender for IdentityをMicrosoft Defenderとのエンドツーエンドソリューションの一部としてオンボーディングしてください。

この記事では、運用環境の Microsoft 365 テナントがあり、この環境でMicrosoft Defender for Identityのパイロットとデプロイを行っていることを前提としています。 この方法により、パイロット導入中に設定した各種設定やカスタマイズは、本番展開でも維持されます。

Defender for Identity は、侵害によるビジネス上の損害を防止または軽減することで、ゼロ トラスト アーキテクチャに貢献します。 詳細については、Microsoft ゼロ トラスト導入フレームワークの侵害によるビジネス上の損害の防止または軽減に関する記事を参照してください。

Microsoft Defenderのエンドツーエンド展開

これは、インシデントの調査や対応など、Microsoft Defender XDRのコンポーネントをデプロイするのに役立つシリーズの 6 の記事 2 です。

このシリーズの記事は、エンドツーエンドデプロイの次のフェーズに対応しています。

Defender for Identity のワークフローをパイロットしてデプロイする

次の図は、IT 環境に製品またはサービスをデプロイするための一般的なプロセスを示しています。

まず、製品またはサービスを評価し、organization内でどのように機能するかを評価します。 次に、テスト、学習、カスタマイズのために、運用環境インフラストラクチャの適切な小さなサブセットを使用して、製品またはサービスをパイロットします。 その後、インフラストラクチャ全体または組織全体を対象とするまで、デプロイの対象範囲を段階的に拡大します。

運用環境で Defender for Identity をパイロットして展開するためのワークフローを次に示します。

次の手順を実行します。

1. Defender for Identity インスタンスを設定する
2. センサーのインストールと構成
3. センサーを使用してマシンでイベント ログとプロキシの設定を構成する
4. Defender for Identity が他のコンピューター上のローカル管理者を識別できるようにする
5. 機能を試す

デプロイ ステージごとに推奨される手順を次に示します。

ハッカーから組織を保護する

Defender for Identity は、独自の強力な保護を提供します。 しかし、Microsoft Defenderの他の機能と組み合わせることで、Defender for Identityは共有信号にデータを提供し、攻撃の防止に役立ちます。

サイバー攻撃の例と、Microsoft Defender XDRのコンポーネントが検出と軽減にどのように役立つかを次に示します。

Defender for Identity は、Active Directory Domain Services (AD DS) ドメイン コントローラーと、Active Directory フェデレーション サービス (AD FS) (AD FS) と Active Directory Certificate Services (AD CS) を実行しているサーバーからシグナルを収集します。 これらのシグナルを使用してハイブリッド ID 環境を保護します。これには、侵害されたアカウントを使用してオンプレミス環境内のワークステーション間を横方向に移動するハッカーからの保護が含まれます。

Microsoft Defenderは、すべてのMicrosoft Defenderコンポーネントからの信号を相関させ、攻撃の全ストーリーを提供します。

Defender for Identity アーキテクチャ

Microsoft Defender for IdentityはMicrosoft Defenderと完全に統合されており、オンプレミスの Active Directoryのアイデンティティからの信号を活用して、組織に向けられた高度な脅威をより正確に特定、検出、調査します。

セキュリティ運用 (SecOps) チームがハイブリッド環境全体で最新の ID 脅威検出と対応 (ITDR) ソリューションを提供できるように、Microsoft Defender for Identityをデプロイします。

• プロアクティブな ID セキュリティ体制の評価を使用して侵害を防止する
• リアルタイム分析とデータ インテリジェンスを使用して脅威を検出する
• 明確で実用的なインシデント情報を使用して、疑わしいアクティビティを調査する
• 侵害された ID に対する自動応答を使用して、攻撃に対応します。 詳細については、「Microsoft Defender for Identityとは」を参照してください。

Defender for Identity は、Microsoft Entra ID テナントに同期されたオンプレミスの AD DS ユーザー アカウントとユーザー アカウントを保護します。 Microsoft Entraユーザー アカウントのみで構成される環境を保護するには、「Microsoft Entra ID保護」を参照してください。

次の図は、Defender for Identity のアーキテクチャを示しています。

この図について:

• AD DS ドメイン コントローラーと AD CS サーバーにインストールされているセンサーは、ログとネットワーク トラフィックを解析し、分析とレポートのためにMicrosoft Defender for Identityに送信します。
• センサーは、サード パーティの ID プロバイダーの AD FS 認証を解析することもできます。また、フェデレーション認証 (図の点線) を使用するようにMicrosoft Entra IDが構成されている場合も解析できます。
• Microsoft Defender for IdentityはMicrosoft Defenderにシグナルを共有します。

Defender for Identity センサーは、次のサーバーに直接インストールできます。

• AD DS ドメイン コントローラー。 センサーは、専用サーバーやポート ミラーリングの構成を必要とせずに、ドメイン コントローラーのトラフィックを直接監視します。
• AD FS サーバー/AD CS サーバー。 センサーは、ネットワーク トラフィックと認証イベントを直接監視します。

Defender for Identity のアーキテクチャの詳細については、「Microsoft Defender for Identity アーキテクチャ」を参照してください。

手順 1: Defender for Identity インスタンスを設定する

Defender ポータルにサインインして、サポートされているサービス (Microsoft Defender for Identityなど) のデプロイを開始します。 詳細については、「Microsoft Defenderを使い始める」をご覧ください。

手順 2: センサーをインストールする

Defender for Identity では、オンプレミスの ID とネットワーク コンポーネントが環境に Defender for Identity センサーをインストールするための最小要件を満たしていることを確認するための前提条件となる作業が必要です。

環境の準備ができていることを確認したら、容量を計画し、Defender for Identity への接続を確認します。 準備ができたら、オンプレミス環境のドメイン コントローラー、AD FS、AD CS サーバーで Defender for Identity センサーをダウンロード、インストール、構成します。

手順 3: センサーを使用してマシンでイベント ログとプロキシ設定を構成する

センサーをインストールしたマシンで、検出機能を有効にして強化するように Windows イベント ログ収集を構成します。

手順 4: Defender for Identity が他のコンピューター上のローカル管理者を識別できるようにする

横移動パス (LMP) 検出Microsoft Defender for Identityは、特定のマシン上のローカル管理者を識別するクエリに依存します。 これらのクエリは、Defender for Identity Service アカウントを使用して SAM-R プロトコルで実行されます。

Windows クライアントとサーバーで Defender for Identity アカウントが SAM-R を実行できるようにするには、ネットワーク アクセス ポリシーに記載されている構成済みのアカウントに加えて、Defender for Identity サービス アカウントを追加するために、グループ ポリシーを変更する必要があります。 ドメイン コントローラーを除くすべてのコンピューターにグループ ポリシーを適用してください。

これを行う方法については、「sam-R を構成して、Microsoft Defender for Identityで横移動パスの検出を有効にする」を参照してください。

手順 5: 機能を試す

Defender for Identity ドキュメントには、さまざまな攻撃の種類を特定して修復するプロセスについて説明する次の記事が含まれています。

• 不審なユーザー、グループ、デバイスなど、資産を調査する
• Microsoft Defender for Identityを使用した LMP の理解と調査
• セキュリティ アラートについて

詳細については、以下を参照してください:

• 偵察アラート
• 侵害された資格情報アラート
• 横移動アラート
• ドメイン支配アラート
• 流出アラート
• ユーザー アカウントを調査する
• コンピューターを調査する
• 横方向の移動パスを調査する
• エンティティを調査する

SIEM 統合

Defender for Identity を、Defender ポータルの統合セキュリティ操作用のMicrosoft Sentinelと統合することも、一般的なセキュリティ情報とイベント管理 (SIEM) サービスと統合して、接続されたアプリからのアラートとアクティビティの一元的な監視を可能にすることもできます。 Microsoft Sentinelを使用すると、organization全体のセキュリティ イベントをより包括的に分析し、プレイブックを構築して効果的かつ即時に対応できます。

DefenderポータルはMicrosoft Sentinelとの統合セキュリティ運用をサポートし、Defender for Identityを含むDefenderからの信号をMicrosoft Sentinelに届けます。

詳細については、以下を参照してください:

• Microsoft Defender ポータルにMicrosoft Sentinelを接続する
• 一般的な SIEM 統合

次の手順

SecOps プロセスに以下を組み込みます。

• ID セキュリティ ダッシュボードを表示する
• Defender for Identity の正常性に関する問題を表示および管理する

Microsoft Defenderのエンドツーエンド展開の次のステップ

パイロットを使用してMicrosoft Defender XDRのエンド ツー エンドのデプロイを続行し、Defender for Office 365を展開します。