Intune を使用してエンドポイントの検出と応答ポリシーを展開する

Microsoft Defender for Endpoint を Intune と統合すると、エンドポイントの検出と応答 (EDR) のエンドポイント セキュリティ ポリシーを使用して EDR 設定を管理し、デバイスを Microsoft Defender for Endpoint にオンボードできます。

EDR の Intune ポリシーには、Microsoft Defender for Endpoint のオンボード (インストール) を管理するプラットフォーム固有のプロファイルが含まれています。 オンボード パッケージの使用は、Microsoft Defender for Endpoint と連携するようにデバイスを構成する方法です。 Intune EDR ポリシーを使用した Defender へのオンボードでは、セキュリティ テレメトリを Microsoft Defender for Endpoint に送信するようにデバイスが構成され、高度な脅威の検出、調査、対応機能が可能になります。

この記事では、コネクタベースの自動展開から特殊な環境の手動構成まで、EDR 展開シナリオについて説明します。

EDR のオンボードについて

EDR オンボードは、Defender for Endpoint テナントにセキュリティ テレメトリを送信できるようにデバイスを構成します。 オンボード パッケージは、以下を含むプラットフォーム固有の構成ファイルです。

• テナント構成: 特定の Defender for Endpoint organization を識別します。
• サービス エンドポイント: Defender サービスと通信するための URL。
• 認証資料: セキュアなデバイスからサービスへの通信のための証明書とトークン。
• 基本構成: デバイス登録設定と初期通信パラメーター。

主な概念:

• デバイスは、オンボードが成功し、最初のテレメトリを送信した後すぐに Defender ポータルに表示されます。
• オンボードを使用するとテレメトリ フローが有効になりますが、攻撃面の縮小、ファイアウォール、ウイルス対策ポリシーなどの高度な設定は構成されません。
• EDR ポリシーでは、脅威の捜索ルール、カスタム検出ロジック、応答の自動化、調査ワークフローは管理されません。

技術的な詳細については、「デバイスを Microsoft Defender for Endpoint にオンボードする」を参照してください。

適用対象:

• Linux
• macOS
• Windows
• Windows Server 2012 R2 以降は、デバイスが次のいずれかを使用して管理されている場合にサポートされます。
  • Configuration Manager (テナントのアタッチ)
  • Microsoft Defender for Endpoint セキュリティ設定の管理

前提条件

EDR ポリシーを展開する前に、organization がライセンスとアクセス許可の要件を満たしていることを確認します。

ライセンス

• Microsoft Intune プラン 1

Microsoft Defender のライセンスが必要です:

• Defender for Endpoint プラン ユーザー 1 人につき 1 ライセンス
• Microsoft 365 E5/A5/G5 (Defender for Endpoint プラン 2 を含む)
• Microsoft Defender XDR (スタンドアロン)

ライセンス情報の詳細については、以下を参照してください。

• Microsoft Intune のライセンス
• Microsoft Defender for Endpoint のライセンス

役割ベースのアクセス制御

EDR ポリシーを構成するには、十分なロールベースのアクセス制御 (RBAC) アクセス許可を持つ Intune ロールがアカウントに割り当てられている必要があります。

• エンドポイント セキュリティ マネージャー: エンドポイント セキュリティ マネージャーの役割には、エンドポイント セキュリティ ポリシーを作成および管理する権限が含まれます。
• カスタム ロール: 少なくとも、エンドポイント セキュリティの Create/Read/Update/Delete アクセス許可が付与されます。

サービス接続を確立するには、Microsoft Defender for Endpoint のアクセス許可も必要です。

• Microsoft Entra ID のセキュリティ管理者ロール、または
• 同等のアクセス許可を持つカスタム ロール: microsoft.directory/applications/create、microsoft.directory/applications/delete、microsoft.directory/servicePrincipals/create

アクセス許可の詳細については、「 エンドポイント セキュリティの役割ベースのアクセス制御」を参照してください。

サポートされているプラットフォームとプロファイル

Windows:

• プロファイル: エンドポイントの検出と応答
  • サンプルの共有: デバイスがファイル サンプルを Defender for Endpoint に送信する方法を選択します。
  • オンボード オプション: コネクタからの自動 (サービス接続が構成されている場合に使用可能) またはオン ボード または オフボード パッケージを手動で追加します。
    • コネクタからの自動送信 (サービス間接続が構成されている場合に推奨)。
    • Defender ポータルからオン ボード または オフボード パッケージを使用した手動オンボーディング。
  • 管理: Intune に登録されているデバイス、または Defender for Endpoint セキュリティ設定の管理によって登録されていないデバイス。

macOS:

• プロファイル: エンドポイントの検出と応答
  • デバイス タグ: デバイス タグには、Defender for Endpoint でデバイスを整理するために使用される 名前 と 値 のペアが含まれます。
  • 管理方法:
    • Intune-enrolled
    • Defender for Endpoint のセキュリティ設定の管理

Linux:

• プロファイル:
  • エンドポイントでの検出と対応
    • デバイス タグ: デバイス タグには、Defender for Endpoint でデバイスを整理するために使用される 名前 と 値 のペアが含まれます。
    • 管理方法:
      • Intune-enrolled
      • Defender for Endpoint のセキュリティ設定の管理
  • Microsoft Defender グローバル除外 (AV+EDR) - この記事で後述する Linux グローバル除外プロファイルを参照してください。

Windows Server 2012 R2+:

• プロファイル: エンドポイントの検出と応答 (ConfigMgr)
  • 管理:
    • Configuration Manager テナントのアタッチ
    • Defender for Endpoint セキュリティ設定の管理。
  • コレクションのターゲット設定: Entra ID グループではなく Configuration Manager コレクションに割り当てます。
  • 要件:
    • KB4563473 修正プログラム
    • 割り当てのために Intune に同期されたコレクション
    • 割り当ては、Entra ID グループではなく、Configuration Manager コレクションに適用されます

Intune-Defender for Endpoint 接続の構成

Intune では、オンボード パッケージを自動的に取得し、EDR ポリシーの展開をサポートするために、Microsoft Defender for Endpoint に接続する必要があります。

接続が有効な場合:

• Intune は、Defender for Endpoint から最新のオンボード パッケージを取得します。
• ポリシーの作成では、最新のオンボード構成が使用されます。
• EDR プロファイルでコネクタ から自動 を使用できます。

接続を構成するには:

1. Microsoft Intune 管理センターで、[テナント管理>コネクタとトークン>Microsoft Defender for Endpoint] に移動します。
2. [Microsoft Defender for Endpoint を Intune に接続する] を選択します。
3. 接続を有効にし、データ共有の基本設定を構成します。
4. 接続状態が [接続中] と表示されていることを確認します。

セットアップ手順の詳細については、「Microsoft Defender for Endpoint を Intune に接続する」を参照してください。

EDR ポリシーの展開

エンドポイントの検出と応答ノードについて:

Intune 管理センターの [エンドポイントの検出と応答] ノードには、次のタブが含まれています。

• [概要] - すべての EDR ポリシー、コネクタの状態を一覧表示し、[Defender for Endpoint にオンボードされた Windows デバイス] グラフと [ポリシーの作成 ] オプションが含まれます。
• EDR オンボード ステータス - オンボードの概要グラフ、詳細な状態を含むデバイス リストを表示し、[ 事前構成済みポリシーを展開 する] オプションが含まれます。 このタブの使用に関する詳細なガイダンスについては、「 EDR オンボーディング ステータス レポート」を参照してください。

セキュリティ テレメトリを Microsoft Defender for Endpoint に報告するすべてのデバイスは、構成パッケージ (オンボード "BLOB" と呼ばれます) を使用してオンボードする必要があります。 オンボード パッケージの内容の詳細については、「 EDR オンボーディングについて」を参照してください。

自動展開と手動展開のどちらを使用する場合でも、Intune は同じオンボード構成をデバイスに適用します。 違いは、Intune がその構成を取得する方法です。

• 自動 (推奨) - Intune は、構成されたサービス接続を通じて Defender for Endpoint からオンボード パッケージを取得します。
• 手動 - 自動取得が使用できない場合は、Defender ポータルからダウンロードしたオンボード パッケージを使用します。

展開方法の選択:

自動 EDR ポリシーの作成

標準の Intune + Defender 統合と、単一の Defender for Endpoint テナントを持つ環境に最適です。

前提条件:Intune と Defender for Endpoint 間のアクティブなサービス間接続。

事前構成された Windows EDR ポリシーを展開する

EDR オンボードをすべての Windows デバイスに展開する最も高速な方法は、[EDR オンボードの状態] タブから使用できる構成済みのポリシー オプションを使用することです。この方法では、Defender for Endpoint テナントの最新のオンボード パッケージが自動的に使用され、推奨設定で展開されます。

詳細な手順については、「EDR オンボード状態レポート」セクションの「 事前構成されたポリシーを使用したクイック デプロイ 」を参照してください。

カスタム EDR ポリシーの作成 (すべてのプラットフォーム)

EDR ポリシーを、カスタマイズした設定を使用して特定のグループまたはプラットフォームに展開する必要がある場合は、[概要] タブの [ ポリシーの作成 ] オプションを使用します。この方法を使用すると、プラットフォームの選択、構成設定、グループの割り当てを完全に制御できます。

主な構成オプションは次のとおりです。

• Microsoft Defender for Endpoint クライアント構成パッケージの種類: 使用可能な場合は [コネクタから自動] を選択する
• サンプルの共有: データの機密性の要件に基づいて選択する
• デバイス タグ (macOS および Linux): デバイスのフィルター処理とグループ化の構成

ポリシー作成の詳細なガイダンスについては、「EDR オンボード状態レポート」セクションの 「対象を絞った修復 」を参照してください。

EDR ポリシーの手動作成

この方法は、organization がサービス接続を使用できない場合 (複数のテナント、エアギャップ環境、または厳密な変更制御) 場合に使用します。

オンボード パッケージをダウンロードします。

1. Microsoft Defender ポータルで、[設定]>エンドポイント>デバイス管理>オンボードの順に移動します。
2. オペレーティング システムを選択し、[モバイル デバイス管理] / Microsoft Intune を選択します。
3. ダウンロード パッケージ を選択します。

ポリシーを作成します:

1. Intuneで、[エンドポイント セキュリティ]>[エンドポイントの検出と対応]>[ポリシーの作成] に移動します。
2. プラットフォームとプロファイルを選択します。
3. [ パッケージの種類] で、[ オンボード ] または [オフボード] を選択します。
4. ダウンロードしたオンボード ファイルの内容を貼り付けます。
5. 残りの設定を構成し、ポリシーを割り当てて作成します。

Linux デバイス用の追加プロファイル

コア EDR ポリシーを作成したら、セキュリティ管理を強化するために特殊なプロファイルを追加でデプロイできます。

Linux グローバル除外ポリシーを作成する

1. 「 エンドポイント セキュリティ>エンドポイントの検出と対応>ポリシーの作成」の順に移動します。
2. プラットフォームに Linux を選択し、プロファイルに Microsoft Defender グローバル除外 (AV+EDR) を選択します。
3. 次のエントリを追加して、除外を構成します。
   • パス: 除外するファイルまたはディレクトリのパス (ワイルドカードはサポートされていません)。
   • プロセス名: EDR 監視から除外するプロセス名 (ワイルドカードはサポートされていません)。
4. MDEセキュリティ設定管理で管理されるLinuxデバイスグループに割り当てます。

Configuration Manager の展開

テナントのアタッチ

テナントのアタッチにより、Intune は EDR ポリシーを Configuration Manager で管理される Windows デバイスに展開できます。

Configuration Manager の要件:

• Current Branch 2002 以降
• 2002 の場合は、KB4563473 (修正プログラム) をインストールします

テナント アタッチ構成:

• デバイス コレクションを Intune (クラウド同期) に同期します。
• すべてのデスクトップ クライアントとサーバー クライアントが有効で同期されていることを確認します (事前構成された Windows EDR ポリシーに必要)。

アクセス許可:

• Intune サービス管理者 Entra ID 組み込みロール、またはテナントのアタッチおよびエンドポイント セキュリティ ポリシー管理のための同等のロール。

EDR 用に Configuration Manager を設定する

1. 更新プログラムConfiguration Managerインストール: Configuration Manager 2002 KB4563473修正プログラムを適用します。
2. テナントのアタッチの構成: Configuration Manager コレクションを Intune に同期します。
3. 接続の確認: コレクションが Configuration Manager と Intune の両方の管理センターに表示されることを確認します。

EDR ポリシーを Configuration Manager コレクションに展開する

1. Intune 管理センターで、[エンドポイント セキュリティ]>エンドポイントの検出と対応>ポリシーの作成の順に移動します。
2. Windows (ConfigMgr) プラットフォームとエンドポイントの検出と応答 (ConfigMgr) プロファイルを選択します。
3. Intune で管理されるデバイスで使用できるのと同じポリシー設定を構成します。
4. [割り当て] で、[Entra ID グループ] ではなく Configuration Manager コレクションを選択します。
5. ポリシーを作成して展開します。

ポリシーを展開した後、デバイスがオンボードとして表示される前に、Intune-ConfigMgr 同期と Configuration Manager クライアント ポリシーの評価のための時間を許可します。

テナント アタッチ構成の詳細については、「 Endpoint Protection ポリシーをサポートするためのテナント アタッチの構成」を参照してください。

EDR オンボーディング状態レポート

EDR オンボーディング状態レポートは、管理者にorganization全体のデバイスオンボーディングの進行状況の包括的なビューを提供します。 このレポートは、Microsoft Defender for Endpoint に正常にオンボードされているデバイスを追跡し、注意が必要な可能性があるデバイスを特定するのに役立ちます。

EDR オンボーディング状態レポートへのアクセス

1. Microsoft Intune 管理センターで、[エンドポイントのセキュリティ]>[エンドポイントの検出と応答] に移動します。
2. [ EDR オンボーディング ステータス ] タブを選択します。

レポートについて

[EDR オンボーディング状態] タブには、次のものが含まれます。

• オンボードの概要グラフ: Defender for Endpoint にオンボードされた Windows デバイス - このグラフには、オンボードされたデバイスとオンボードされていないデバイスの数が表示されます。

• 詳細情報を含むデバイス リスト: このデバイス リストには、詳細の次の列が含まれます。

  • デバイス名: organization 内の各デバイスの名前
  • 管理者: デバイスの管理方法 (Intune、テナント接続を介した Configuration Manager、または MDE セキュリティ設定管理)
  • Defender センサーの状態: Defender for Endpoint センサーの現在の正常性状態。
    • アクティブ: センサーは正常に実行中で通信しています
    • 非アクティブ: センサーは最近報告していません
    • Impaired: センサーに問題が発生しています
  • オンボード状態: 各デバイスの現在のオンボード状態。
    • オンボード済み: デバイスはテレメトリを Defender for Endpoint に正常に送信しています
    • オンボードなし: デバイスはオンボード プロセスを完了していません
    • 保留中: デバイスはオンボード処理中です
    • 最終チェック: デバイスから Intune への最新の通信の日時
    • プライマリ UPN: デバイスに関連付けられているプライマリ ユーザー プリンシパル名

EDR 展開のためのレポートの使用

事前構成されたポリシーを使用した迅速な展開

EDR の [オンボード状態] タブから直接、対象となるすべての Windows デバイスに迅速に展開するには、次の手順を実行します。

1. [ EDR オンボードの状態 ] タブで、[ 事前構成されたポリシーのデプロイ] を選択します。

   

2. デプロイ スコープを選択します。

   • Windows + エンドポイントの検出と応答: Intune で管理されるデバイスの場合
   • Windows (ConfigMgr) + エンドポイントの検出と応答 (ConfigMgr): Configuration Manager コレクションの場合

3. ポリシー名とオプションの説明を指定します。

4. [ 作成] を選択してすぐにデプロイします。

この事前構成されたポリシーは、自動的に次のようになります。

• Defender for Endpoint テナントの最新のオンボード パッケージを使用します
• organization 内のすべての該当するデバイスに展開します
• 推奨されるセキュリティ設定を適用します

対象を絞った修復のためのレポートの使用

EDR オンボーディング状態レポートは、注意が必要なデバイスを特定するのに役立ちます。これは、ターゲットを絞ったポリシー展開で対処できます。

問題のあるデバイスを特定

EDR の [オンボード状態] タブのデバイス一覧を使用して、注意が必要な特定のデバイスを識別します。

1. 状態でデバイスをフィルター処理する: "オンボードされていない" または "保留中" のデバイスにフォーカスします
2. 管理方法の確認: 適切なチャネルを通じてデバイスが管理されていることを確認する
3. センサーの正常性を確認する: 非アクティブなセンサーまたは損傷しているセンサーを持つデバイスを識別する

対象となるポリシーを作成する

問題のあるデバイスを特定したら、[概要] タブの [ポリシーの作成] オプションを使用して特定の EDR ポリシーを作成します。

監視シナリオ

EDR オンボーディング状態レポートは、いくつかの重要な管理シナリオをサポートしています。

初期展開の検証

EDR ポリシーを展開した後:

• "オンボード" カウントが増加していないか、オンボードの概要グラフを監視します
• デバイス リストで個々のデバイスの進行状況を確認する
• 予想される期間内にオンボードに失敗したデバイスを特定します

継続的なコンプライアンス監視

継続的なセキュリティ体制の管理の場合:

• オンボーディング ステータスの定期的なレビューを設定します。
• デバイス フリート全体でセンサーの正常性を追跡します。
• 時間の経過と共に非アクティブになったデバイスや機能低下したデバイスを識別します。

展開に関する問題のトラブルシューティング

デバイスのオンボードに失敗した場合:

• デバイス リストを使用して、問題のあるデバイスを識別します。
• 管理方法を確認して、適切なポリシー ターゲティングを確保します。
• "オンボードされていません" 状態を示すデバイスのセンサーの状態を確認します。
• EDR ポリシー コンプライアンス レポートとの相互参照。

レポートを使用するためのベスト プラクティス

• 定期的な監視: EDR オンボーディング ステータス レポートを毎週確認して、継続的な保護範囲を確保します。
• プロアクティブな修復: セキュリティ体制を維持するために、"オンボードされていない" デバイスに迅速に対処する。
• 他のレポートとの相関関係: 個々の EDR ポリシー コンプライアンス レポートと併用して、展開を包括的に可視化します。
• ベースライン指標を文書化する: オンボーディングの成功率を時間の経過とともに追跡して傾向を特定します。

オンボーディングの追加の可視性

専用の EDR オンボーディング状態レポート以外にも、Intune の Microsoft Defender ウイルス対策レポートを使用してデバイスのオンボーディング状態を表示することもできます。 これらのレポートには、Windows MDM デバイスのオンボーディング状態情報が含まれており、organization の Defender for Endpoint の展開を監視するための別の方法を提供します。

• ウイルス対策エージェントの状態レポート: Defender for Endpoint のオンボード状態を含む包括的なデバイス状態を表示します
• 異常なエンドポイント レポート: オンボードの問題など、問題が検出されたデバイスを表示します

これらのレポートは、管理センターの次の場所から入手できます。

• [レポート]>エンドポイント セキュリティ>Microsoft Defenderウイルス対策>レポート>ウイルス対策エージェントの状態のタイルに移動します。
• [エンドポイント セキュリティ]>ウイルス対策>異常なエンドポイント タブに移動します。

EDR 展開の監視と検証

Intune レポート:

展開とオンボードの結果は、Intune管理センターのエンドポイント セキュリティ>エンドポイントの検出と応答で確認できます。

• ポリシー コンプライアンス: [ 概要] タブで、ポリシーを選択して、そのデプロイ状態を表示できます。
• デバイスの詳細: EDR の [オンボード状態 ] タブでは、デバイス数を示す簡単なレポートを表示し、オンボードの状態とセンサーの正常性の詳細を含むデバイスの一覧を確認してから、詳細を確認するためにさらにドリルダウンするデバイスを選択します。

デバイス オンボードを包括的に監視するには、 EDR オンボード状態レポートを使用します。

Microsoft Defender ポータルでの検証:

Defender ポータル内:

1. デバイス インベントリ (資産>デバイス) には、テレメトリを受信した直後にオンボードされたデバイスが一覧表示されます。

2. センサーの正常性には 、最終表示時刻、センサーのバージョン、通信状態が表示されます。

3. リスク評価 は、デバイスが最初の利用統計情報を送信した後に開始されます。

継続的な監視

オンボードを確実に成功させるために、以下を確認します。

• ポリシーの展開の成功率
• デバイスのオンボード ステータス
• センサーの正常性と通信
• 修復が必要な失敗したデプロイ

トラブルシューティング

デバイスが Defender ポータルに表示されない

• デバイスが必要なエンドポイント (*.securitycenter.windows.com や *.protection.outlook.com など) に到達できることを確認します。
• Intune で EDR ポリシーのコンプライアンス状態を確認し、EDR オンボード状態レポートでデバイス固有の詳細を確認します。
• デバイスで Microsoft Defender for Endpoint サービスが実行されていることを確認します。

[コネクタから自動送信] オプションは使用できません

• Defender 接続の [テナント管理>コネクタとトークン] で [接続済み] と表示されていることを確認します。
• 接続を有効にしてからオプションが表示されるまで、最大で 15 分間かかります。
• アカウントに適切な管理アクセス許可があることを確認してください。

詳細については、「Microsoft Defender for Endpoint オンボードの問題のトラブルシューティング」を参照してください。

デバイスのオフボーディング

Intune EDR ポリシーでは、オフボード BLOB を使用してデバイスをオフボードするオプションがサポートされています。 Defender for Endpoint からのデバイスのオフボードは、通常はまれですが、計画されているプロセスです。 オフボードが必要な状況には、テスト ラボからのデバイスの移動、デバイスのライフサイクル管理の一部、またはテナントの統合中に必要になることなどがありますが、これらに限定されません。

オフボード ポリシーを作成するには:

1. Microsoft Defender ポータルから [設定]>エンドポイント>デバイス管理>オフボードに移動して、新しいオフボード パッケージをダウンロードします。
2. オペレーティング システムを選択し、[モバイル デバイス管理] / Microsoft Intune を選択します。
3. ダウンロード パッケージ を選択します。
4. パッケージの種類を [オフボード] に設定して新しい EDR ポリシーを作成し、オフボード BLOB コンテンツを貼り付けるか、BLOB コンテンツを置き換えて既存のオフボード ポリシーを更新します。

Intune でオフボード EDR ポリシーを展開する場合:

• セキュリティ上の理由から、オフボードする BLOB または Defender からのパッケージは、ダウンロードから 7 日後に期限切れになります。 デバイスに送信された期限切れのオフボード パッケージは拒否されます。
• デバイスに展開すると、オフボード BLOB によって Defender for Endpoint センサーが無効になりますが、Defender for Endpoint クライアントは削除されません。
• デバイスが Defender for Endpoint ポータルへのテレメトリの送信を停止します。
• デバイスは 7 日後に Defender で "非アクティブ" と表示されます。
• Intune EDR ポリシーのコンプライアンス状態は、展開が成功したことを示す必要があります。
• 履歴データは、アイテム保持ポリシーによって削除されるまで Defender に残ります。

オフボード後、デバイスはテレメトリの送信を停止し、7 日後にその状態が 非アクティブ に変わります。 過去データは、構成された保持期間が期限切れになるまで Defender ポータルに残ります。 オフボード後の処理の詳細については、「 デバイスのオフボード」を参照してください。

詳細については、Microsoft Defender for Endpoint ドキュメントの次の主題を参照してください。

• モバイル デバイス管理ツールを使用してデバイスをオフボードする
• デバイスのオフボード

関連コンテンツ

EDR ポリシーを使用してデバイスをオンボードした後、追加のエンドポイント セキュリティ制御を展開することを検討してください:

• 攻撃面の減少ルール
• マルウェア対策ポリシー
• ファイアウォール ポリシー
• デバイス コンプライアンス ポリシー