Microsoft Intune のエンドポイント セキュリティのウイルス対策ポリシー

Intune エンドポイントのセキュリティ ウイルス対策ポリシーを使用すると、セキュリティ管理者は、管理対象デバイスの個別のウイルス対策設定グループの管理に集中できます。

ウイルス対策ポリシーには、いくつかのプロファイルが含まれています。 各プロファイルには、macOS および Windows デバイス用の Microsoft Defender for Endpoint ウイルス対策、または Windows デバイス上の Windows セキュリティ アプリのユーザー エクスペリエンスに関連する設定のみが含まれます。

Microsoft Intune 管理センターの [エンドポイント セキュリティ] ノードの [管理] でウイルス対策ポリシーを見つけます。

ウイルス対策ポリシーには、デバイス構成ポリシーで見つかったエンドポイント保護またはデバイス制限テンプレートと同じ設定が含まれます。 ただし、これらのポリシーの種類には、ウイルス対策とは無関係の他のカテゴリの設定が含まれます。 追加の設定により、ウイルス対策ワークロードの構成タスクが複雑になる可能性があります。 また、macOS のウイルス対策ポリシーにある設定は、他のポリシーの種類では使用できません。 macOS ウイルス対策プロファイルにより、 .plist ファイルを使用して設定を構成する必要がなくなります。

適用対象:

• Linux
• macOS
• Windows
• Windows Server (Microsoft Defender for Endpoint セキュリティ設定管理シナリオ経由)

ウイルス対策ポリシーの前提条件

Intune (MDM) に登録済みデバイスのサポート:

• macOS

  • サポートされているすべてのバージョンの macOS
  • Intune でデバイスのウイルス対策設定を管理するには、Defender for Endpoint がそのデバイスにインストールされている必要があります。 macOS 用の Microsoft Defender for Endpoint (Defender for Endpoint ドキュメント) を参照してください。

• Windows

  • 追加の前提条件は必要ありません。

Microsoft Configuration Manager クライアントのサポート:

このシナリオはプレビュー段階であり、Configuration Manager の現在のブランチ バージョン 2006 以降を使用する必要があります。

• Configuration Manager デバイスのテナント アタッチを設定する - Configuration Manager によって管理されるデバイスへのウイルス対策ポリシーの展開をサポートするには、テナントのアタッチを構成します。 テナント アタッチのセットアップには、Intune のエンドポイント セキュリティ ポリシーをサポートするように Configuration Manager デバイス コレクションを構成する必要があります。

  テナントのアタッチを設定するには、「 Endpoint Protection ポリシーをサポートするようにテナントのアタッチを構成する」を参照してください。

Defender for Endpoint クライアントのサポート:

• Defender for Endpoint セキュリティ設定の管理 - Defender for Endpoint によって管理されているが、Intune に登録されていないデバイスにウイルス対策ポリシーを展開するためのサポートを構成するには、「Microsoft Intune を使用してデバイスで Microsoft Defender for Endpoint を管理する」を参照してください。 この記事には、この機能でサポートされているプラットフォームと、それらのプラットフォームがサポートするポリシーとプロファイルに関する情報も含まれています。

役割ベースのアクセス制御 (RBAC)

Intune ウイルス対策ポリシーを管理するために適切なレベルのアクセス許可と権利を割り当てるためのガイダンスについては、「エンドポイント セキュリティの役割ベースのアクセス制御」を参照してください。

改ざん防止の前提条件

Intune では、次のいずれかのオペレーティング システムを実行するデバイスでの改ざん防止の管理がサポートされています。

• macOS (サポートされているすべてのバージョン)
• Windows 10 および 11 (Enterprise マルチセッションを含む)
• Windows Server 2016 以降
• Windows Server バージョン 1803 以降
• Windows Server 2012 R2 (最新の統合ソリューションを使用)

Defender for Endpoint では、Intune ポリシーで管理できるプラットフォーム以外のプラットフォームで改ざん防止がサポートされています。 完全な一覧については、「 改ざん防止の前提条件」を参照してください。

保護されている設定やトラブルシューティング オプションなど、改ざん防止の動作の詳細については、Defender for Endpoint ドキュメントの「 改ざん防止とは」 を参照してください。

Intune を使用すると、Windows セキュリティ エクスペリエンス プロファイル (ウイルス対策ポリシー) の一部として、Windows セキュリティ デバイス上の改ざん防止を管理できます。 これには、Intune で管理するデバイスと、テナント接続シナリオを通じて Configuration Manager で管理するデバイスの両方が含まれます。 改ざん防止は、Azure Virtual Desktop でも利用できるようになりました。

Intune マネージド デバイス

Intune によって管理されるデバイスの改ざん防止をサポートするための前提条件:

• ご使用の環境は、Intune で改ざん防止を管理するための要件を満たしている必要があります
• デバイスは Microsoft Defender for Endpoint (P1 または P2) にオンボードされます

Microsoft Intune によって管理されるデバイスの改ざん防止をサポートするウイルス対策ポリシーのプロファイル:

• プラットフォーム: Windows

  • プロファイル: Windows セキュリティ エクスペリエンス

  注:

  2022 年 4 月 5 日、Windows 10 以降のプラットフォームは Windows プラットフォームに置き換えられました。

  Windows プラットフォームは、Microsoft Intune または Microsoft Defender for Endpoint を介して Intune と通信するデバイスをサポートします。 これらのプロファイルにより、Microsoft Intune ではネイティブにサポートされない Windows Server プラットフォームのサポートも追加されます。

  この新しいプラットフォームのプロファイルでは、設定カタログにある設定形式が使用されます。 この新しいプラットフォームの新しいプロファイル テンプレートには、置き換えられる古いプロファイル テンプレートと同じ設定が含まれます。 この変更により、古いプロファイルの新しいバージョンを作成できなくなります。 古いプロファイルの既存のインスタンスは、引き続き使用および編集できます。

デバイスの構成ポリシーのエンドポイント保護プロファイルを使用して、Intune によって管理されるデバイスの改ざん防止を構成することもできます。

テナントのアタッチ シナリオで管理される Configuration Manager クライアント

これらのプロファイルを使用した改ざん防止の管理をサポートするための前提条件:

• ご使用の環境は、Defender for Endpoint のドキュメントで詳しく説明されているように、Intune で改ざん防止を管理するための要件を満たしている必要があります。
• Configuration Manager の現在のブランチ 2006 以降を使用する必要があります。
• エンドポイント保護ポリシーをサポートするには、テナントのアタッチを構成する必要があります。 これには、Intune と同期するための Configuration Manager デバイス コレクションの構成が含まれます。
• デバイスは Microsoft Defender for Endpoint (P1 または P2) にオンボードされます

Configuration Manager によって管理されるデバイスの改ざん防止をサポートするウイルス対策ポリシーのプロファイル:

• プラットフォーム: Windows (ConfigMgr)
  • プロファイル: Windows セキュリティ エクスペリエンス (プレビュー)

Microsoft Defender の設定の制御された構成 (プレビュー)

[制御された構成] により、Microsoft Intune をデバイス上の Microsoft Defender セキュリティ設定の信頼できる唯一のソースにすることで、改ざん防止が拡張されます。 改ざん防止によって特定のセキュリティ設定がセキュリティで保護された既定値にロックされますが、制御された構成では、適用可能なすべての設定を Intune で構成された値にロックすることでさらに進みます。 未構成の設定は、セキュリティで保護されたプラットフォームの既定値にフォール バックします。

Microsoft Defender for Endpoint を展開している組織は、グループ ポリシー、Configuration Manager、サード パーティ製ツール、ローカル管理者スクリプトなどの複数の管理チャネルがクラウドで提供される設定をオーバーライドすると、不確定なデバイス状態に直面する可能性があります。 これらの競合により、Defender 構成は予測不可能になり、トラブルシューティングが困難になります。

制御された構成により、 権限の明確な優先順位が確立されます。 デバイスで制御された構成が有効になっている場合、Intune または Microsoft Defender for Endpoint セキュリティ設定管理によって提供される設定が排他的に優先されます。 グループ ポリシー、Configuration Manager、ローカルの変更など、他のすべてのチャネルの設定は上書きされます。 他のチャネルでも設定を配信できますが、常に Intune で構成された値が優先されます。

この機能は、次の 2 つの一般的なシナリオで役立ちます。

• 概念実証の展開 — 組織は、最初に従来の GPO またはサードパーティ製ツールの競合を特定して修正することなく、Defender 構成を迅速に展開して検証できます。
• 定常状態管理 — 管理者は、他のすべての管理チャネルを監視または取り締まることなく、決定論的で監査可能な Defender 構成を維持できます。

制御された構成を有効にする

[制御された構成] は、ウイルス対策ポリシーの Windows セキュリティ エクスペリエンス プロファイルの専用設定として使用できます。 [ Defender ] セクションの [ 制御された構成 (デバイス)] 設定では、次の値がサポートされます。

制御された構成を有効にするには、Windows セキュリティ エクスペリエンス プロファイルを使用するウイルス対策ポリシーを作成または編集します。 [制御された構成 (デバイス)] を [制御された構成 (オン)] に設定してから、保護するデバイスにポリシーを展開します。

• CSP: Defender CSP > 構成/改ざん防止

適用範囲と限界事項

プレビュー中、制御された構成によって、次のエンドポイント セキュリティ ポリシー テンプレートで構成された設定が適用されます。

• ウイルス対策
• 攻撃面の縮小 (ASR)

デバイスが制御された構成状態にある場合、これらのテンプレートを通じて提供される Defender 設定が権限を持ちます。 他のチャネルを介して配信される同じ Defender コンポーネントの設定はオーバーライドされます。

制御された構成で明示的には構成されていない設定は、既定値に戻ります。 ローカル ユーザーはこれらの設定を変更できます。これは、制御された構成によってポリシーが定義されている設定のみがロックされるためです。

制御された構成は、以下には適用 されません 。

• エンドポイントでの検出と応答 (EDR)
• ファイアウォールの設定
• Endpoint Security エクスペリエンスの外部で作成されたポリシー (設定カタログ ポリシーなど)
• Defender コンポーネントで使用されていないエンドポイント セキュリティ ポリシーの種類 (アカウント保護など)

制御された構成でのレポート

デバイスが制御された構成状態の場合、そのデバイスのレポート動作が変化します。

• 制御された構成 (ウイルス対策、ASR) をサポートするテンプレートを使用して構成されたポリシーの場合、設定ごとの状態レポートには、適用された構成が期待どおりに反映されます。
• 制御された構成ポリシーと重複する設定を含む、設定カタログ ポリシーなどの制御されていない構成ポリシーの場合、重複する設定はそのデバイスには 適用されない と報告します。 制御された構成ポリシーは、他のポリシーの構成値に関係なく、それらの設定に対して優先されます。
• 正常でないエンドポイント (エンドポイント セキュリティ>ウイルス対策>正常でないエンドポイント) と ウイルス対策エージェントの状態 (レポート>ウイルス対策>ウイルス対策エージェントの状態) レポートでは、[改ざん防止] 列の名前が [制御された構成] に変更されます。 値は、MDM に登録されているデバイスに対して制御された構成が有効か無効かを表しています。 Defender に登録されているデバイスは、これらのレポートには含まれません。
• デバイスが競合する Intune ポリシー (1 つは制御された構成を有効にし、もう 1 つは改ざん防止を無効または有効にする) を受け取ると、制御された構成ポリシーが優先されます。

改ざん防止の詳細と、制御された構成による拡張方法については、「 改ざん防止を使用してセキュリティ設定を保護する」を参照してください。

ウイルス対策プロファイル

エンドポイント セキュリティ プロファイルの作成に関するガイダンスについては、「 エンドポイント セキュリティ ポリシーの作成」を参照してください。

Microsoft Intune によって管理されるデバイス

Intune で管理するデバイスでは、次のプロファイルがサポートされています。

Linux

• プラットフォーム: Linux

  • プロファイル: Microsoft Defender ウイルス対策 - Linux デバイスのウイルス対策設定を管理します。
  • プロファイル: Microsoft Defender ウイルス対策の除外 - パス、拡張機能、およびプロセスのウイルス対策の除外を定義する Microsoft Defender ウイルス対策の設定を管理します。

  ウイルス対策の除外は、同じ除外設定を含む Microsoft Defender ウイルス対策ポリシーと、EDR とウイルス対策の両方の除外を含む Linux 用 Microsoft Defender グローバル除外 (AV+EDR) の Intune のエンドポイント検出と応答プロファイルなどの他のポリシーによっても管理されます。 複数のソースからの設定はポリシーの統合の対象となり、該当するデバイスとユーザーに対するスーパー セットの除外が作成されます。

  重要

  Microsoft Defender グローバル除外 (AV+EDR) プロファイルは、Microsoft Defender for Endpoint セキュリティ設定管理シナリオを通じて Defender によって管理されている Linux デバイスでのみサポートされます。

  Linux の除外の詳細については、Microsoft Defender ドキュメントの「Linux での Microsoft Defender for Endpoint の除外の構成と検証」を参照してください。

macOS

• プラットフォーム: macOS

  • プロファイル: ウイルス対策 - macOS の ウイルス対策ポリシー設定 を管理します。

    Microsoft Defender for Endpoint for Mac を使用する場合は、.plist ファイルを使用してそれらの設定を構成する代わりに、Intune を使用して管理対象の macOS デバイスにウイルス対策設定を構成して展開できます。

Windows

• プラットフォーム: Windows
  このプラットフォームのプロファイルは、Intune に登録されているデバイス、および Microsoft Defender for Endpoint のセキュリティ管理で管理されているデバイスで使用できます。

  注:

  2022 年 4 月 5 日、Windows 10 以降のプラットフォームは Windows プラットフォームに置き換えられました。

  Windows プラットフォームは、Microsoft Intune または Microsoft Defender for Endpoint を介して Intune と通信するデバイスをサポートします。 これらのプロファイルにより、Microsoft Intune ではネイティブにサポートされない Windows Server プラットフォームのサポートも追加されます。

  この新しいプラットフォームのプロファイルでは、設定カタログにある設定形式が使用されます。 この新しいプラットフォームの新しいプロファイル テンプレートには、置き換えられる古いプロファイル テンプレートと同じ設定が含まれます。 この変更により、古いプロファイルの新しいバージョンを作成できなくなります。 古いプロファイルの既存のインスタンスは、引き続き使用および編集できます。

  • プロファイル: Microsoft Defender ウイルス対策 - Windows デバイスのウイルス対策ポリシー設定の管理。

    Defender ウイルス対策は、Microsoft Defender for Endpoint の次世代の保護コンポーネントです。 次世代の保護では、機械学習やクラウド インフラストラクチャなどのテクノロジが統合され、企業organization内のデバイスが保護されます。

    Microsoft Defender ウイルス対策プロファイルは、デバイス構成ポリシーのデバイス制限プロファイルにあるウイルス対策設定の別インスタンスです。

    デバイスの制限プロファイルのウイルス対策設定とは異なり、これらの設定は共同管理されているデバイスで使用できます。 これらの設定を使用するには、Endpoint Protection の共同管理ワークロード スライダーを Intune に設定する必要があります。

  • プロファイル: Microsoft Defenderウイルス対策の除外 - ウイルス対策の除外のみのポリシー設定を管理します。

    このポリシーを使用すると、ウイルス対策の除外を定義する次の Microsoft Defender ウイルス対策構成サービス プロバイダー (CSP) の設定を管理できます。

    • Defender/ExcludedPaths
    • Defender/ExcludedExtensions
    • Defender/ExcludedProcesses

    ウイルス対策の除外のためのこれらの CSP は、Microsoft Defender ウイルス対策ポリシーによっても管理されます。これには、除外の同一の設定が含まれています。 両方のポリシーの種類 (ウイルス対策とウイルス対策の除外) の設定はポリシーの統合の対象となり、該当するデバイスとユーザーのスーパー セットの除外が作成されます。

    警告

    除外を定義すると、Microsoft Defender ウイルス対策によって提供される保護が低下します。 除外の実装に関連するリスクを常に評価してください。 悪意のないことがわかっているファイルのみを除外します。

    詳細については、Microsoft Defender ドキュメントの「除外の概要」を参照してください。

  • プロファイル: Windows セキュリティ エクスペリエンス - エンド ユーザーが Microsoft Defender セキュリティ センターで表示できる Windows セキュリティ アプリの設定と、エンド ユーザーが受け取る通知を管理します。

    Windows セキュリティ アプリは、コンピューターの正常性とセキュリティに関する通知を提供するために、多くの Windows セキュリティ機能で使用されます。 セキュリティ アプリの通知には、ファイアウォール、ウイルス対策製品、Windows Defender SmartScreen などが含まれます。

  • プロファイル: Defender Update コントロール - Microsoft Defender CSP から直接取得した次の設定を含む、Microsoft Defender の更新設定を管理します。

    • Engine Updates Channel
    • Platform Updates Channel
    • Security Intelligence Updates チャネル

Configuration Manager によって管理されるデバイス

ウイルス対策

テナント接続を使用するときに、Configuration Manager デバイスのウイルス対策設定を管理します。

ポリシー パス:

• Endpoint security > Antivirus > Windows (ConfigMgr)

プロファイル:

• Microsoft Defender ウイルス対策 (プレビュー)
• Windows セキュリティ エクスペリエンス (プレビュー)

必要な Configuration Manager のバージョン:

• Configuration Manager Current Branch バージョン 2006 以降

サポートされている Configuration Manager デバイス プラットフォーム:

• Windows 8.1 (x86、x64)、Configuration Manager バージョン 2010 以降
• Windows
• Windows Server 2012 R2 (x64)、Configuration Manager バージョン 2010 以降
• Windows Server 2016 以降 (x64)

設定のポリシー マージ

一部のウイルス対策ポリシー設定は 、ポリシーの統合をサポートします。 ポリシーの統合は、複数のポリシーが同じデバイスに適用され、同じ設定を構成する場合に競合を回避するのに役立ちます。 Intune は、適用可能なすべてのポリシーから取得したユーザーまたはデバイスごとに、ポリシーのマージによってサポートされる設定を評価します。 これらの設定は、ポリシーの 1 つのスーパーセットにマージされます。

たとえば、異なるウイルス対策ファイル パスの除外を定義する 3 つの個別のウイルス対策ポリシーを作成します。 最終的に、3 つのポリシーすべてが同じユーザーに割り当てられます。 Microsoft Defender ファイル パスの除外 CSP はポリシーのマージをサポートするため、Intune はユーザーに適用されるすべてのポリシーからのファイル除外を評価して結合します。 除外はスーパーセットに追加され、除外の単一のリストがユーザーのデバイスに配信されます。

設定でポリシーのマージがサポートされていない場合、競合が発生する可能性があります。 競合により、ユーザーまたはデバイスが設定のポリシーを受信しない可能性があります。 たとえば、ポリシーのマージでは、一致するデバイス ID のインストールを防止するための CSP (PreventInstallationOfMatchingDeviceIDs) はサポートされていません。 この CSP の構成はマージされず、個別に処理されます。

ポリシーの競合を個別に処理すると、次のように解決されます。

1. 最も安全なポリシーが適用されます。
2. 2 つのポリシーが同じように保護されている場合は、最後に変更されたポリシーが適用されます。
3. 最後に変更されたポリシーで競合を解決できない場合、ポリシーはデバイスに配信されません。

ポリシーの統合をサポートする設定と CSP

次の設定は、ポリシーのマージをサポートします。

• 除外されたプロセス - CSP: Defender/ExcludedProcesses
• 除外された拡張機能 - CSP: Defender/ExcludedExtensions
• 除外されたパス - CSP: Defender/ExcludedPaths

ウイルス対策ポリシー レポート

ウイルス対策ポリシー レポートには、エンドポイントのセキュリティ、ウイルス対策ポリシー、およびデバイスの状態に関する状態の詳細が表示されます。 これらのレポートは、Microsoft Intune 管理センターのエンドポイント セキュリティ ノードで入手できます。

レポートを表示するには、Microsoft Intune 管理センターで [エンドポイントのセキュリティ] に移動し、[ウイルス対策] を選択します。 ウイルス対策を選択すると、[概要] ページが開きます。 追加のレポート ビューとステータス ビューは、追加ページとして使用できます。

次のセクションで詳しく説明するレポートに加えて、Microsoft Defender ウイルス対策の追加レポートは、Intune レポートの記事に記載されているように、Microsoft Intune 管理センターの [レポート] ノードにあります。

• Antivirus agent status (ウイルス対策エージェントの状態) レポート (組織)
• Detected malware (検出されたマルウェア) レポート (組織)

概要

[ 概要] ページでは、 新しいポリシーを作成し 、以前に作成したポリシーの一覧を表示できます。 この一覧には、ポリシーに含まれるプロファイル (ポリシーの種類) に関する高レベルの詳細と、ポリシーが割り当てられているかどうかが含まれます。

リストからポリシーを選択すると、そのポリシー・インスタンスの 「概要 」ページが開き、詳細情報が表示されます。 このビューからタイルを選択すると、Intune はそのプロファイルの追加の詳細 (使用可能な場合) を表示します。

異常なエンドポイント

[ 正常でないエンドポイント] ページでは、MDM で管理されている Windows デバイスのウイルス対策の状態に関する情報を表示できます。 この情報は、デバイスで実行されている Windows Defender ウイルス対策から、脅威エージェントの状態として返されます。 このページで、[ 列] を選択して、レポートで使用できるすべての詳細の一覧を表示します。

問題が検出されたデバイスのみがこのビューに表示されます。 このビューには、クリーンとして識別されるデバイスの詳細は表示されません。

このレポートの情報は、Windows クライアント管理ドキュメントに文書化されている、次の CSP から入手できる詳細に基づいています。

• Defender CSP
• WindowsAdvancedThreatProtection CSP。

次の手順

エンドポイント セキュリティ ポリシーを構成する

非推奨の Windows 10 以降のプラットフォームの非推奨プロファイルで、Windows 設定の詳細を表示します。

• ウイルス対策ポリシー設定
• ウイルス対策の除外
• Windows セキュリティ アプリの設定