Microsoft Intune を使用してデータとデバイスを保護する

Microsoft Intune は、管理対象デバイスを安全かつ最新の状態に保ちながら、侵害されたデバイスからorganizationのデータを保護するのに役立ちます。 管理対象デバイスと非管理対象デバイスの両方でユーザーが組織データをどのように処理するかを制御し、侵害された可能性のあるデバイスからのデータへのアクセスをブロックします。

この記事では、Intune の組み込みのセキュリティ機能と、連携してorganizationのゼロ トラスト ソリューションをサポートするパートナー テクノロジについて説明します。 概要として、主要な保護機能について説明し、構成と展開のガイダンスに関する詳細なドキュメントへのリンクを示します。

Intune は、デバイス コンプライアンスおよび Mobile Threat Defense (MTD) シグナルを提供するサード パーティ製品と統合することもできます。

プラットフォーム サポート

Intune は、Microsoft Intune 管理センターから以下を実行するマネージド デバイスをサポートします。

  • Android
  • iOS/iPadOS
  • Linux
  • macOS
  • Windows

さらに、Configuration Manager を使用してオンプレミス デバイスを管理する場合は、テナントのアタッチまたは共同管理を通じて Intune ポリシーをそれらのデバイスに拡張できます。

セキュリティ ポリシーを展開してデバイスを保護します

ポリシーを展開して、登録済みデバイスでセキュリティを構成および適用します。 次のポリシーの種類は、連携してデバイスを保護します。

エンドポイント セキュリティ ポリシー - 特定の保護領域に重点を置くセキュリティ ポリシー:

  • アカウント保護 - Windows Hello for Business、Credential Guard、および Windows LAPS
  • ウイルス対策 - Microsoft Defender ウイルス対策の構成と除外
  • ビジネス向けアプリ制御 - Windows Defender アプリケーション制御を使用したアプリケーションの許可リスト
  • 攻撃面の縮小 - エクスプロイトの脆弱性と攻撃ベクトルを減らす
  • ディスク暗号化 - BitLocker、個人データ暗号化 (PDE)、FileVault
  • エンドポイントの検出と応答 - Microsoft Defender for Endpoint オンボード
  • ファイアウォール - ネットワーク保護とファイアウォール規則

デバイス構成ポリシー - エンドポイント保護、証明書、ソフトウェア更新プログラム、VPN など、より広範なデバイス設定。 セキュリティ設定とデバイス機能構成を組み合わせる必要がある場合に使用します。

デバイス コンプライアンス ポリシー - OS バージョン、暗号化状態、脅威レベルなどのデバイス要件を定義します。 準拠していないデバイスはアラートをトリガーし、 条件付きアクセスと組み合わせると組織リソースからブロックできます。

主要なセキュリティ機能

これらのポリシーを使用して、次のセキュリティ領域を管理できます。

  • Authentication and identity

    • 証明書 - SCEP および PKCS プロファイルを使用して証明書を展開するか、 Microsoft Cloud PKI を使用してオンプレミスのインフラストラクチャなしでクラウドベースの証明書管理を簡略化します。 スマートカード シナリオの 派生資格情報を 構成します。
    • 先進認証 - パスワードレス サインインのために Windows Hello for Business を有効にします。 macOS のプラットフォーム SSO を構成して、アプリやサービス間での認証を強化します。
    • 多要素認証 - Microsoft Entra 条件付きアクセスを使用して MFA を要求し、必要に応じて Intune を使用してデバイスの PIN/パスワードおよびその他のサインイン関連設定を構成します。

  • データ暗号化

    • Windows - フル ディスク暗号化用に BitLocker を展開し、Windows 11 のファイル レベルの暗号化用に個人データ暗号化 (PDE) を展開します。
    • macOS - フル ディスク暗号化用に FileVault を管理します。

  • ソフトウェア更新プログラム - デバイスが更新プログラムを受け取るタイミングと方法を制御します。

  • アプリケーション制御 - App Control for Business ポリシーを使用して、Windows デバイスで実行できるアプリケーションを定義します。

  • 攻撃面の縮小 - ASR ポリシー を展開して、エクスプロイト保護、デバイス制御、アプリケーションの分離、ASR ルールを通じて脆弱性を軽減します。

  • セキュリティ ベースライン - Microsoft セキュリティ チームの推奨事項を反映した、Windows デバイス、Microsoft Edge、Microsoft Defender for Endpoint の事前構成済みのセキュリティ ベースラインを展開します。

  • ネットワーク セキュリティ

    • VPN プロファイル - 組織リソースへの安全なリモート アクセスのために VPN 接続 を構成します。
    • ファイアウォール ポリシー - Windows および macOS デバイスに組み込まれているファイアウォール保護を管理します。

  • 特権アクセスの管理

    • Windows LAPS - ローカル管理者のパスワードを自動回転で管理し、Active Directory または Microsoft Entra にセキュリティで保護されたバックアップを行います。
    • エンドポイント特権管理 - 承認されたアプリケーションの昇格を許可しながら、ユーザーを標準アカウントとして実行します。

アプリ保護ポリシーを使用してデータを保護する

Intune で管理されるアプリでアプリ保護ポリシーを使用して、アプリケーション層で組織データを保護します。 これらの保護は、登録済みデバイスと未登録済みデバイスの両方で機能し、Bring Your Own Device (BYOD) シナリオをサポートします。

Intune マネージド アプリは、Intune App SDK を統合するか、Intune App Wrapping Toolを使用します。 サポートされているアプリの一覧については、「Intune で保護されたアプリ」を参照してください。

マネージド アプリが必要な場合 (たとえば、アプリベースの条件付きアクセス ポリシーを使用する場合)、ユーザーはそれらのマネージド アプリを介してのみ組織データにアクセスでき、個人データは影響を受けません。

主なアプリ保護ポリシーの機能:

  • 組織のデータ アクセスには PIN または生体認証を要求します。
  • コピー/貼り付け、スクリーンショット、およびアンマネージド アプリへのデータ転送をブロックします。
  • 個人用ストレージに組織データを保存しないようにします。
  • 保存中の組織データの暗号化を強制します。
  • デバイスを紛失した場合やユーザーが退出した場合に、リモートで組織データを消去します。

デバイス操作を使用してデバイスとデータを保護する

即時 デバイス アクション を実行して、セキュリティ インシデントに対応したり、デバイスのセキュリティを維持したりします。 継続的な構成を維持するポリシーとは異なり、デバイス アクションは呼び出されたときに 1 回実行されます。 アクションは、オンライン デバイスでは直ちに有効になり、オフライン デバイスでは次回のチェックイン時に有効になります。 一括デバイス アクションでは 、複数のデバイスを同時に対象にすることができます。

一般的なセキュリティ アクション:

  • リモート ロック - 不正アクセスを防ぐために、デバイスをリモートでロックします。
  • ワイプ - デバイスを出荷時の設定にリセットし、すべてのデータと設定を削除します。
  • 廃止 - 個人データを保持したまま組織データを削除します。
  • BitLocker キーのローテーション (Windows) - セキュリティを強化するために暗号化キーをローテーションします。
  • ウイルス対策スキャン (Windows) - 完全または迅速なマルウェア スキャンを実行します。
  • Defender インテリジェンスを更新 する - 脅威の定義を更新します。
  • ライセンス認証ロックを無効にする (iOS/iPadOS) - デバイスを再利用するためのライセンス認証ロックを削除します。

これらのアクションは、共同管理またはテナントのアタッチを使用する場合に Configuration Manager を介して管理されているデバイスでも使用できます。

パートナー テクノロジとの統合

Microsoft テクノロジやサード パーティ パートナーとの統合を通じて、Intune の保護機能を拡張します。

コンプライアンス パートナー

サード パーティの MDM ソリューションからのデバイス コンプライアンス データを Microsoft Entra ID と統合します。 これにより、混合管理環境を持つ組織は、どの MDM ソリューションが管理するかに関係なく、すべてのデバイスに統合された条件付きアクセス ポリシーを適用できます。

Configuration Manager

共同管理またはテナントのアタッチを通じて、Intune のクラウドベースのセキュリティ ポリシーをオンプレミスおよびハイブリッド管理デバイスに拡張します。 この統合により、クラウド管理に移行する組織やハイブリッド インフラストラクチャを維持する組織に統一された管理エクスペリエンスが提供されます。

  • 共同管理 - Configuration Manager と Intune の両方を使用して Windows デバイスを同時に管理し、ワークロード スライダーを使用して、特定の機能を管理するサービスを制御します。
  • テナントのアタッチ - Configuration Manager デバイスを Microsoft Intune 管理センターに同期して、一元的な可視性と管理を実現します。

どちらのアプローチでも、エンドポイント セキュリティ ポリシー、コンプライアンス ポリシー、証明書の展開 (SCEP/PKCS)、セキュリティ ベースラインなど、Configuration Manager デバイスで Intune セキュリティ ポリシーが有効になります。 これにより、クラウドとオンプレミスの管理デバイス間で一貫したセキュリティ体制が構築されます。

モバイル脅威防御

Mobile Threat Defense (MTD) パートナーは、デバイス レベルの脅威、ネットワークの脅威、アプリベースの脅威、フィッシングの試みをスキャンすることで、脅威検出を Microsoft の組み込み機能を超えて拡張します。 MTD アプリは、デバイス リスクを継続的に評価し、脅威レベルを Intune に報告します。これにより、コンプライアンス ポリシー、アプリ保護ポリシー、条件付きアクセスを通じてリスクベースのアクセス決定が可能になります。

登録済みデバイスの場合、Intune は、デバイスのコンプライアンス評価で脅威レベル評価を使用しながら、MTD アプリを展開および管理します。 許容可能なリスクしきい値を超えるデバイスは、脅威が修復されるまで組織のリソースへのアクセスをブロックされる可能性があります。

BYOD シナリオで登録されていないデバイスの場合、MTD 脅威レベルがアプリ保護ポリシーの決定を通知し、デバイスのリスクが高すぎる場合に管理対象アプリ内の組織データへのアクセスをブロックします。

Intune は、強化された統合機能を備えた Microsoft Defender for Endpoint と、多様なセキュリティ要件に対応する複数のサード パーティ製 MTD パートナーをサポートしています。

Microsoft Defender for Endpoint

Microsoft Defender for Endpoint は、Windows、macOS、Linux、Android、iOS/iPadOS にわたって Intune と緊密に統合し、デバイス管理と高度な脅威保護を組み合わせた統合セキュリティ プラットフォームを作成します。 この統合により、次のことが可能になります:

  • 脅威インテリジェンスとリスク評価 - Defender の継続的な脅威検出とデバイス リスク スコアは、Intune コンプライアンス ポリシーと条件付きアクセスの決定に直接反映され、動的でリスクベースのアクセス制御を可能にします
  • エンドポイント セキュリティ管理の強化 - ウイルス対策設定、EDR オンボード、攻撃面の減少ルール、制御された構成 (改ざん防止もサポート)、Web 保護、デバイス制御など、Intune ポリシーを使用して Defender 機能を構成および展開します
  • 脆弱性の管理 - セキュリティ タスクは、Defender の脅威と脆弱性の管理によってリスクのあるデバイスが識別され、Intune 管理者が直接対応できる修復ガイダンスを提供するコラボレーション ワークフローを作成します
  • Microsoft Tunnel - Defender for Endpoint は、Android デバイス上の Microsoft Tunnel 用の VPN クライアントとして機能し、個別の Defender ライセンスを必要とせずに安全なリモート アクセスを提供します

条件付きアクセス

条件付きアクセスは、ゼロ トラスト アクセス ポリシーの適用エンジンとして機能する Microsoft Entra 機能です。 Intune やその他のソースからのシグナルを評価してリアルタイムでアクセスを決定するため、準拠したデバイス上の信頼できるユーザーのみが組織のリソースにアクセスできるようにします。

条件付きアクセスでは、複数のシグナルが評価されます。

  • Intune ポリシーからのデバイスのコンプライアンス状態
  • Microsoft Defender for Endpoint および MTD パートナーからのデバイス リスク レベル
  • Microsoft Entra ID 保護 によるユーザー リスクとサインイン リスク
  • 場所、デバイス プラットフォーム、アクセス対象のアプリケーション

Intune を使用した条件付きアクセスを使用すると、次のことが可能になります。

  • デバイスベースのポリシー - デバイスが組織のリソースにアクセスする前に、コンプライアンス要件を満たすことを要求します。
  • アプリベースのポリシー - Intune アプリ保護ポリシーで保護されているアプリのみが Microsoft 365 やその他のサービスにアクセスできるようにします。
  • リスクベースのアクセス - Defender および MTD パートナーからのリアルタイムの脅威インテリジェンスに基づいて、アクセス要件を動的に調整します。

条件付きアクセスは、マネージド デバイスとアンマネージド デバイスで機能し、変化する脅威の状態に適応するアクセス制御レイヤーを作成するのに役立ちます。

エンドポイント特権管理の追加

エンドポイント特権管理 (EPM) は、承認されたアプリケーションの一時的な昇格を許可しながら、Windows ユーザーを標準ユーザーとして実行することで、Windows ユーザーに最小特権アクセスを適用します。 このアプローチは、包括的な管理アクセスを防ぐことで攻撃対象領域を減らします。

EPM のしくみ:

  • ユーザーは、既定で標準アカウントとして実行されます。
  • 昇格ルールは、昇格された特権で実行できるアプリケーションを定義します。
  • アプリケーションは、ファイル ハッシュ、証明書、またはその他の条件を使用して検証されます。
  • 一般的な管理者特権のシナリオ: アプリケーションのインストール、ドライバーの更新、Windows 診断。

注:

EPM は、Windows デバイス用の Microsoft Intune 高度な機能であり、Microsoft Intune 以外の追加のライセンスが必要です。

次の手順

Intune を使用してセキュリティ体制を構築する:

  • Last updated on