Microsoft Intune ポリシーを使用して、攻撃面を減らすルールを管理する

Windows デバイスで Defender ウイルス対策を使用している場合は、攻撃面を減らすための Microsoft Intune エンドポイント セキュリティ ポリシーを使用して、デバイス上のそれらの設定を管理できます。

攻撃表面の縮小 (ASR) ポリシーを使用すると、organization がサイバー脅威や攻撃に対して脆弱な場所を最小限に抑えることで、デバイスの攻撃対象領域を減らすことができます。 Intune ASR ポリシーでは、次のプロファイルがサポートされます。

  • 攻撃面の減少ルール: このプロファイルを使用して、マルウェアや悪意のあるアプリが通常コンピューターを感染させるために使用する動作をターゲットにします。 これらの動作の例には、Office アプリでの実行可能ファイルとスクリプトの使用、ファイルをダウンロードまたは実行しようとする Web メール、難読化されたスクリプトやその他の疑わしいスクリプト、通常の日常作業では通常アプリが開始しない動作が含まれます。

  • デバイス制御: このプロファイルを使用すると、承認されていない周辺機器からの脅威がデバイスに侵入することを監視して防止できるコントロールを通じて、リムーバブル メディアの許可、ブロック、その他のセキュリティ保護が可能になります。

詳細については、Windows 脅威に対する保護に関するドキュメントの [攻撃面の縮小の概要](/ /windows/security/threat-protection/microsoft-defender-atp/overview-attack-surface-reduction) を参照してください。

攻撃表面の縮小ポリシーは、Microsoft Intune 管理センターのエンドポイント セキュリティ ノードにあります。

適用対象:

攻撃表面縮小プロファイルの前提条件

  • デバイスは Windows を実行している必要があります
  • Defender ウイルス対策は、デバイス上のプライマリ ウイルス対策である必要があります

Microsoft Defender for Endpoint のセキュリティ管理のサポート:

Intune に登録せずに Defender にオンボードしたデバイスをサポートするために Microsoft Defender for Endpoint のセキュリティ管理を使用すると、攻撃面の縮小が Windows と Windows Server を実行するデバイスに適用されます。 詳細については、Windows 脅威に対する保護に関するドキュメントの「 ASR 規則でサポートされているオペレーティング システム 」を参照してください。

Configuration Manager クライアントのサポート:

このシナリオはプレビュー段階であり、Configuration Manager の現在のブランチ バージョン 2006 以降を使用する必要があります。

  • Configuration Manager デバイスのテナント アタッチを設定する - Configuration Manager によって管理されるデバイスへの攻撃表面の減少ポリシーの展開をサポートするには、テナントのアタッチを構成します。 テナント アタッチのセットアップには、Intune のエンドポイント セキュリティ ポリシーをサポートするように Configuration Manager デバイス コレクションを構成する必要があります。

    テナントのアタッチを設定するには、「 Endpoint Protection ポリシーをサポートするようにテナントのアタッチを構成する」を参照してください。

役割ベースのアクセス制御 (RBAC)

適切なレベルのアクセス許可と権利を割り当てて Intune 攻撃面の減少ポリシーを管理する方法のガイダンスについては、「エンドポイント セキュリティの役割ベースのアクセス制御」を参照してください。

攻撃表面の縮小プロファイル

攻撃表面の縮小ポリシーで使用できるプロファイルは、選択したプラットフォームによって異なります。

攻撃表面の縮小ポリシーを作成するには、「 エンドポイント セキュリティ ポリシーの作成」を参照してください。 ポリシーの作成時にメッセージが表示されたら、 Windows プラットフォームを選択してから、構成するプロファイルを選択します。

注:

ほとんどの攻撃表面の縮小プロファイルでは、設定カタログ形式が使用されます。 アプリケーション制御プロファイルは例外で、古いテンプレートベースの形式のままです。 詳細については、次のプロファイル一覧の アプリケーション制御 プロファイルエントリを参照してください。

Intune によって管理されるデバイス

プラットフォーム: Windows:

このプラットフォームのプロファイルは、Intune に登録されている Windows デバイスでサポートされています。

  • 攻撃面の減少ルール

このプラットフォームで使用できるプロファイルは次のとおりです。

  • 攻撃面の縮小ルール – マルウェアや悪意のあるアプリがコンピューターを感染させるために通常使用する次のような動作を対象とする攻撃表面の縮小ルールの設定を構成します。

    • ファイルをダウンロードまたは実行しようとする Office アプリまたは Web メールで使用される実行可能ファイルおよびスクリプト
    • 難読化されたスクリプトまたはその他の疑わしいスクリプト
    • 通常の日常業務中に通常アプリが開始しない動作

    攻撃対象領域を減らすということは、攻撃者に攻撃を実行する方法を提供する方法を減らすことを意味します。

    Intune での攻撃表面の減少ルールのマージ動作:

    攻撃表面の縮小ルールでは、さまざまなポリシーの設定のマージがサポートされており、デバイスごとにポリシーのスーパーセットが作成されます。 競合していない設定はマージされますが、競合している設定はルールのスーパーセットに追加されません。 以前は、1 つの設定に対して 2 つのポリシーに競合が含まれる場合、両方のポリシーに競合のフラグが立てられ、どちらのプロファイルの設定も展開されませんでした。

    攻撃表面の縮小ルールのマージ動作は次のとおりです。

    • 次のプロファイルからの攻撃表面の縮小ルールは、ルールが適用されるデバイスごとに評価されます。
      • デバイス > 構成ポリシー > Endpoint Protection プロファイル > Microsoft Defender Exploit Guard >攻撃面の減少
      • エンドポイント セキュリティ > 攻撃表面の縮小ポリシー >攻撃表面の縮小ルール
      • エンドポイント セキュリティ > セキュリティ ベースライン> Microsoft Defender for Endpointベースライン >攻撃面の減少ルール。
    • 競合のない設定は、デバイスのポリシーのスーパーセットに追加されます。
    • 複数のポリシーに競合する設定がある場合、競合する設定は結合されたポリシーには追加されませんが、競合しない設定はデバイスに適用されるスーパーセット ポリシーに追加されます。
    • 競合する設定の構成のみが保持されます。

  • デバイス制御 – デバイス制御の設定を使用して、リムーバブル メディアを保護するための階層化されたアプローチ用にデバイスを構成できます。 Microsoft Defender for Endpoint には、承認されていない周辺機器の脅威がデバイスに侵入するのを防ぐのに役立つ複数の監視および制御機能が用意されています。

    デバイス制御サポートのための Intune プロファイル:

    Microsoft Defender for Endpoint デバイス制御の詳細については、Defender ドキュメントの次の記事を参照してください。

  • アプリとブラウザーの分離 – Defender for Endpoint の一部として、Windows Defender Application Guard (Application Guard) の設定を管理します。 Application Guard は、新旧の攻撃や新しく出現した攻撃を防ぐのに役立ち、どのサイト、クラウド リソース、内部ネットワークを信頼するかを定義しながら、エンタープライズ定義のサイトを信頼できないものとして分離できます。

    詳細については、Microsoft Defender for Endpoint ドキュメントの「Application Guard」を参照してください。

  • アプリケーション制御 - アプリケーション制御の設定は、ユーザーが実行できるアプリケーションとシステム コア (カーネル) で実行されるコードを制限することで、セキュリティの脅威を軽減するのに役立ちます。 署名されていないスクリプトと MSI をブロックできる設定を管理し、制限付き言語モードで実行するように Windows PowerShell を制限します。

    注:

    他の ASR プロファイルとは異なり、 アプリケーション制御 プロファイルの設定は設定カタログ形式に更新されていません。 既存のポリシーは引き続き完全に機能しますが、プロファイルは管理センターで古いテンプレート ベースの形式を使用します。 また、AppLocker CSP の動作では、現在のポリシーの展開時にエンド ユーザーにコンピューターの再起動を求めるメッセージが表示されます。

    詳細については、Microsoft Defender for Endpoint ドキュメントの「アプリケーション制御」を参照してください。

  • Exploit Protection - Exploit Protection の設定は、エクスプロイトを使用してデバイスに感染して拡散するマルウェアから保護するのに役立ちます。 Exploit Protection は、オペレーティング システムまたは個々のアプリに適用できる多くの軽減策で構成されています。

  • Web 保護 (Microsoft Edge 従来版) – 管理できる設定 Microsoft Defender for Endpoint での Web 保護 Web の脅威からマシンを保護するようにネットワーク保護を構成します。 Microsoft Edge または Chrome や Firefox などのサード パーティのブラウザーを統合すると、Web 保護は Web プロキシなしで Web の脅威を阻止し、離れている間やオンプレミスにいるコンピューターを保護できます。 Web 保護により、以下へのアクセスが停止されます。

    • フィッシング サイト
    • マルウェア ベクトル
    • エクスプロイト サイト
    • 信頼されていないサイトまたは評判の低いサイト
    • カスタム インジケーター リストを使用してブロックしたサイト。

    詳細については、Microsoft Defender for Endpoint ドキュメントの「Web 保護」を参照してください。

Defender for Endpoint セキュリティ設定管理によって管理されるデバイス

Microsoft Defender for Endpoint のセキュリティ管理シナリオを使用して、Intune に登録されていない Defender によって管理されるデバイスをサポートする場合、Windows プラットフォームを使用して、Windows および Windows Server を実行するデバイスの設定を管理できます。 詳細については、Windows 脅威に対する保護に関するドキュメントの「 ASR 規則でサポートされているオペレーティング システム 」を参照してください。

このシナリオでサポートされるプロファイルは次のとおりです。

  • 攻撃表面の縮小ルール - マルウェアや悪意のあるアプリがコンピューターを感染させるために通常使用する次のような動作を対象とする攻撃表面の縮小ルールの設定を構成します。
    • ファイルをダウンロードまたは実行しようとする Office アプリまたは Web メールで使用される実行可能ファイルおよびスクリプト。
    • 難読化されたスクリプトまたはその他の疑わしいスクリプト。
    • 通常の日常業務では通常、アプリが開始しない動作 攻撃面を減らすということは、攻撃者に攻撃を実行する方法が少なくなることを意味します。

重要

攻撃表面の縮小ルール プロファイルのみが、Microsoft Defender for Endpoint のセキュリティ管理でサポートされています。 他のすべての攻撃表面縮小プロファイルはサポートされていません。

Configuration Manager によって管理されるデバイス

攻撃面の縮小

Configuration Manager によって管理されるデバイスのサポートはプレビュー段階です。

テナント接続を使用する場合に、Configuration Manager デバイスの攻撃表面の縮小設定を管理します。

ポリシー パス:

  • エンドポイント セキュリティ > Windows >攻撃面の縮小 (ConfigMgr)

プロファイル:

  • アプリとブラウザーの分離 (ConfigMgr)
  • 攻撃面の減少ルール (ConfigMgr)
  • Exploit Protection (ConfigMgr) (プレビュー)
  • Web 保護 (ConfigMgr) (プレビュー)

必要な Configuration Manager のバージョン:

  • Configuration Manager Current Branch バージョン 2006 以降

サポートされている Configuration Manager デバイス プラットフォーム:

  • Windows (x86、x64、ARM64)

重要

2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

デバイス制御プロファイルの再利用可能な設定グループ

パブリック プレビューでは、デバイス制御プロファイルは再 利用可能な設定グループの 使用をサポートし、 Windows プラットフォームのデバイス上の次の設定グループの設定を管理するのに役立ちます。

  • プリンター デバイス: プリンター デバイスでは、次のデバイス制御プロファイル設定を使用できます。

    • PrimaryId
    • PrinterConnectionID
    • VID_PID

    プリンター デバイス オプションの詳細については、Microsoft Defender for Endpoint ドキュメントの「プリンター保護の概要」を参照してください。

  • リムーバブル記憶域: リムーバブル記憶域では、次のデバイス制御プロファイル設定を使用できます:

    • デバイス クラス
    • デバイス ID
    • ハードウェア ID
    • インスタンス ID
    • プライマリ ID
    • 製品 ID
    • シリアル番号
    • ベンダー ID
    • ベンダー ID と製品 ID

    リムーバブル ストレージ オプションの詳細については、Microsoft Defender for Endpoint ドキュメントの「Microsoft Defender for Endpoint Device Control Removable Storage Access Control」を参照してください。

デバイス制御プロファイルで再利用可能な設定グループを使用する場合は、 アクションを 構成して、それらのグループの設定の使用方法を定義します。

プロファイルに追加する各ルールには、再利用可能な設定グループと、ルールに直接追加される個々の設定の両方を含めることができます。 ただし、再利用可能な設定グループに対して、またはルールに直接追加した設定を管理するために、各ルールを使用することを検討してください。 この分離により、将来の構成や変更を簡略化するのに役立ちます。

再利用可能なグループを構成し、それらをこのプロファイルに追加する方法については、「Intune ポリシーで再利用可能な設定グループを使用する」を参照してください。

攻撃面の減少ルールの除外

Intune では、攻撃面の減少ルールによる評価から特定のファイルとフォルダーのパスを除外する、次の 2 つの設定をサポートしています。

  • グローバル: 攻撃面の縮小の除外のみを使用します。

    [攻撃面の縮小のみ] 除外設定の画面キャプチャ。

    攻撃 面の縮小のみの除外を構成するポリシーが少なくとも 1 つデバイスに割り当てられている場合、構成された除外は、そのデバイスを対象とするすべての攻撃表面の減少ルールに適用されます。 この動作は、デバイスが適用可能なすべてのポリシーから攻撃表面の縮小ルール設定のスーパーセットを受け取り、個々の設定の設定の除外を管理できないために発生します。 デバイス上のすべての設定に除外が適用されないようにするには、この設定を使用しないでください。 代わりに、個々の設定に対して 規則の除外に従って ASR のみ を構成します。

    詳細については、Defender CSP のドキュメント「 Defender/AttackSurfaceReductionOnlyExclusions」を参照してください。

  • 個々の設定: ルールの除外に従って ASR のみを使用する

    [ASR のみ] \[ルールごとの除外] 設定のスクリーン キャプチャ。

    攻撃表面の縮小ルール プロファイルの該当する設定を [未構成] 以外に設定すると、Intune はその個々の設定に対してルールの除外に従って ASR のみを使用するオプションを表示します。 このオプションを使用すると、個々の設定に分離されたファイルとフォルダーの除外を構成できます。これは、デバイス上のすべての設定に除外を適用するグローバル設定 [攻撃面の減少 のみの除外] とは対照的です。

    既定では、[ ASR のみルールごとの除外 ] は [ 未構成] に設定されています。

設定のポリシー マージ

ポリシーのマージは、同じデバイスに適用される複数のプロファイルが同じ設定を異なる値で構成して競合を引き起こす場合に競合を回避するのに役立ちます。 競合を回避するために、Intune は、デバイスに適用される各プロファイルの適用可能な設定を評価します。 これらの設定は、設定の 1 つのスーパーセットにマージされます。

攻撃表面の縮小ポリシーの場合、次のプロファイルはポリシーのマージをサポートします。

  • デバイス制御

デバイス制御プロファイルのポリシー マージ

デバイス制御プロファイルは、USB デバイス ID のポリシーのマージをサポートします。 デバイス ID を管理し、ポリシーのマージをサポートするプロファイル設定には、次のものがあります。

  • デバイス識別子によるハードウェア デバイスのインストールを許可する
  • デバイス識別子によるハードウェア デバイスのインストールのブロック
  • セットアップ クラスによるハードウェア デバイスのインストールの許可
  • セットアップ クラスによるハードウェア デバイスのインストールをブロックする
  • デバイス インスタンス識別子によるハードウェア デバイスのインストールを許可する
  • デバイス インスタンス識別子によるハードウェア デバイスのインストールのブロック

ポリシーのマージは、その特定の設定をデバイスに適用するさまざまなプロファイル間の各設定の構成に適用されます。 その結果、デバイスに適用されているサポートされている設定ごとに 1 つのリストが作成されます。 例:

  • ポリシーの統合は、デバイスに適用されるセットアップ クラスによるハードウェア デバイスのインストールを許可の各インスタンスで構成されたセットアップ クラスのリストを評価します。 リストは 1 つの許可リストにマージされ、重複するセットアップ クラスは削除されます。

    リストからの重複の削除は、競合の共通の原因を削除するために行われます。 結合された許可リストは、デバイスに配信されます。

ポリシーのマージでは、異なる設定の構成は比較またはマージされません。 例:

  • [ セットアップ クラスによるハードウェア デバイスのインストールを許可する] の複数のリストが 1 つのリストにマージされた最初の例を拡張すると、同じデバイスに適用される セットアップ クラスによる [ハードウェア デバイスのインストールをブロック ] のインスタンスがいくつかあります。 関連するすべてのブロックリストは、デバイスの 1 つのブロックリストにマージされ、デバイスに展開されます。

    • セットアップ クラスの許可リストは、セットアップ クラスのブロック リストと比較もマージもありません。
    • 代わりに、デバイスは 2 つの異なる設定から両方のリストを受け取ります。 その後、デバイスは、 セットアップ クラスによるインストールに対して最も制限の厳しい設定を適用します。

    この例では、ブロックリストで定義されたセットアップ クラスが、許可リストで見つかった場合、同じセットアップ クラスをオーバーライドします。 その結果、セットアップ クラスがデバイスでブロックされます。

次の手順

エンドポイント セキュリティ ポリシーを構成します。

攻撃表面の縮小プロファイルの設定の詳細を表示します。

  • Last updated on