STIG 監査ベースラインを使用して、Microsoft Intune で Windows デバイスのコンプライアンスを評価する

Intune では、国防情報システム局 (DISA) によって発行されたセキュリティ技術実装ガイド (STIG) で定義されている推奨構成に対して Windows デバイスを監査するためのセキュリティ ベースラインがサポートされています。 デバイスに設定を構成して適用する他の Intune セキュリティ ベースラインとは異なり、STIG 監査ベースラインは読み取り専用です。 デバイスの構成の現在の状態を評価し、設定を変更することなく詳細な監査レポートを生成します。

このベースラインは、国防総省 (DoD) のセキュリティ要件の一部として STIG への準拠を実証する必要がある組織向けに設計されています。

概要

セキュリティ技術実装ガイド (STIG) は、DISA が国防総省向けに開発した構成規格です。 これらのガイドでは、脆弱性を軽減するためのソフトウェア、ハードウェア、およびネットワーク システムをどのように構成するかを定義します。 連邦政府機関と国防総省の請負業者は、STIG に従い、デバイスが必要な構成を満たしていることを実証する必要があります。

利用可能な STIG ベースライン

Intune では、次の STIG 監査ベースラインを使用できます。

DISA は通常、四半期ごとに STIG を更新します。 Intune で新しいバージョンが使用可能になったら、新しい監査プロファイルを作成するか、最新バージョンを使用するように既存のプロファイルを更新できます。 各 STIG のルールの詳細については、 DISA STIG ライブラリを参照してください。

STIG 監査ベースラインが行うこと

Intune の STIG 監査ベースラインは、次の方法で組織がこの評価を行うのに役立ちます。

• デバイス構成の監査 — 監査では、DISA が公開したスキーマで定義されている STIG 監査ルールに対して、各デバイスの現在の設定を評価します。
• 詳細な監査レポートの生成 — Intune は、管理センターで表示したり、Microsoft Graph API を介して取得したり、CSV にエクスポートしたりできる、設定ごとおよびデバイスごとの監査レポートを生成します。
• XCCDF コンプライアンス レポートのサポート — 監査結果は NIST XCCDF (Extensible Configuration Checklist Description Format) 結果カテゴリにマッピングされ、DISA および DoD の監査人が要求する正式なレポート形式をサポートします。

前提条件

STIG 監査ベースラインを使用する前に、環境が次の要件を満たしていることを確認してください。

STIG 監査ベースライン プロファイルの作成

STIG 監査ベースライン プロファイルを作成するには、次の手順を使用します。

1. Microsoft Intune 管理センターにサインインします。

2. エンドポイント セキュリティ>セキュリティ ベースライン に移動して、使用可能なベースラインの一覧を表示します。

3. 使用可能なベースラインの種類の一覧から Microsoft Windows 11 STIG SCAP ベンチマークを選択します。

   注:

   一覧に STIG ベースラインが表示されない場合は、テナントがテナントの種類とライセンスの 前提条件 を満たしていることを確認します。

4. [ プロファイルの作成] を選択します。

5. [基本] タブで、次の操作を行います。

   • プロファイルのわかりやすい 名前 ( STIG audit - Windows クライアントなど) を入力します。
   • 必要に応じて、[ 説明] を追加して、この監査プロファイルの目的と範囲を明確にします。

6. [ 構成設定 ] タブでは、構成は必要ありません。 このタブでは、プロファイルに現在の STIG バージョンからの推奨設定が含まれていること、およびプロファイルを割り当てることでターゲット デバイスでそれらの設定の監査が有効であることを確認します。

   注:

   STIG 監査ベースラインは、ベースライン内のすべての設定を 1 つのプロファイルとして監査します。 個々の設定を選択または変更することはできません。 監査ルールとその期待値は、Intune ではなく、一般公開されている SCAP ベンチマーク ファイル内の DISA によって定義されます。

7. [ スコープ タグ] タブで、必要に応じてスコープ タグを追加して、このプロファイルを表示できる管理者を制御します。

8. [ 割り当て ] タブで、STIG ベースラインに対して監査するデバイス グループを選択します。 すべてのデバイスまたは特定のグループを対象にすることができます。

9. [ レビュー + 作成 ] タブで設定を確認し、[ 作成] を選択します。

プロファイルを作成してグループに割り当てると、Intune はデバイスのチェック時にターゲット デバイスを STIG ベースラインに照らして評価します。 デバイスが評価結果を報告すると、監査レポートのデータが入力され始めます。 新たにターゲットを絞ったデバイスの初期結果が現れるまでに最大 24 時間かかることがあります。

STIG 監査結果を確認する

デバイスがチェックすると、Intune 管理センターの監査レポート ビューを使用して監査結果を確認できます。

1. [エンドポイント セキュリティ]>セキュリティ ベースラインに移動し、[Microsoft Windows 11 STIG SCAP ベンチマーク] を選択します。

2. 確認する監査プロファイルを選択します。

3. [ 監査レポート] を選択してレポート ビューを読み込みます。 データの入力を開始するには、[初めて 生成 ] を選択する必要がある場合があります。

デバイスの割り当ての状態

デバイスの割り当て状態レポートには、ポリシーの割り当てが保留中の状態のデバイスを含め、ポリシーの対象となるすべてのデバイスが表示されます。 このレポートを使用して、監査プロファイルを受け取ったデバイスを確認し、割り当ての進行状況を追跡します。

監査レポート

監査レポートには、デバイス値がベースライン バージョンの設定の推奨値を満たしているかどうかが表示されます。 このレポートには、すべてのターゲット デバイスの設定ごとの概要が表示されるため、エラー率が最も高い STIG ルールをすばやく特定し、修復作業に優先順位を付けることができます。 各行は 1 つの STIG ルールを表し、そのルールに合格、失敗、またはその他のステータスを報告したデバイスの数を示します。

このレポートには、以下の列があります。

レポートを [重大度] でフィルター処理して、特定の領域に焦点を当てることができます。 [検索] フィールドを使用して、名前または参照 ID で特定の設定を検索します。

デバイスごとのドリルダウン

[ 成功したデバイスの数] の下の値など、ルールのデバイス数を選択して、そのルールの詳細ビューを開きます。 ドリルダウン ビューには、次のものが含まれます。

• 各状態 (保留中、適用不可、成功、エラー、競合、合計) にあるデバイスの数を示す概要バー。
• 各ターゲット デバイスの監査結果を示す デバイス リスト 。 状態で一覧をフィルター処理し、特定のデバイスを検索して、結果をエクスポートできます。

デバイスの一覧には、次の列が含まれます。

状態値の監査

各デバイスは設定ごとに評価され、次のいずれかの状態値が割り当てられます。

XCCDF マッピング列には、各 Intune ステータスが監査人への正式な DISA 報告で使用される NIST XCCDF 結果カテゴリーにどのようにマップされるかが表示されます。

監査データのエクスポート

次の方法を使用して、監査結果をエクスポートできます。

• Graph API 一括エクスポート (推奨) — Intune レポート エクスポート API を使用して、1 つのジョブでテナントのすべての STIG 監査データをダウンロードします。 この方法は、大規模またはテナント間のレポートに最も効率的です。 詳しくは、「 STIG 監査データを一括でエクスポートする」を参照してください。
• CSV エクスポート — 監査レポート ビューの [エクスポート] オプションを使用して、個々のルールのデバイスごとの結果をダウンロードします。
• 設定ごとの Graph API — Microsoft Graph API キャッシュされたレポート エンドポイントを使用して、一度に 1 つの設定の監査データを取得します。 このアプローチはターゲットを絞った検索に役立ちますが、完全なベースラインのエクスポートには多くの API 呼び出しが必要になります。 詳しくは、「STIG 監査レポートに Graph API を使用する」を参照してください。

データの鮮度

監査レポートのデータはリアルタイムではありません。 レポート データは、ポリシーの展開より 1 から 2 デバイスのチェック サイクル遅れる可能性があります。 新たにターゲットを対象とするデバイスの初期評価期間の後、システムは次のサイクルに基づいて監査データを更新します。

• 各デバイスは、定期的に STIG ルールをローカルで評価します。
• デバイスは定期的に Intune サービスにチェックして結果を報告します。
• 評価サイクルとデバイスチェックインのタイミングによっては、デバイスの評価と監査レポートに表示される更新データの間に1〜2回のチェックインサイクルの遅延が生じる可能性があります。

利用可能な最新のデータでレポートを更新するには、監査レポートの [再生成 ] ボタンを使用します。

STIG 監査レポートに Graph API を使用する

Microsoft Graph API を使用して、プログラムで STIG 監査データを取得できます。 このアプローチは、監査結果を外部の評価ツールと統合したり、STIG レポート ワークフローを自動化したり、複数のテナント間で評価データを集約したりするのに役立ちます。

STIG 監査データを一括でエクスポートする

すべての STIG 監査データを一度にエクスポートする必要がある組織の場合は、次のセクションで説明する設定ごとのキャッシュ レポート パターンではなく、Intune レポート エクスポート API を使用します。 エクスポート API は 3 つの点で異なります。

• ページネーションなし — 複数の要求でスキップ/トップ ページングを必要とするのではなく、1 つのダウンロード可能なファイルで完全なデータセットを返します。
• 設定ごとの反復なし — 1 つのジョブのすべての設定の結果を取得します。 キャッシュされたレポート パターンでは、SettingId ごとに 3 つの API 呼び出しが必要です (作成、ポーリング、取得)。 197 の STIG ルールを含むベースラインの場合、1 つのテナントに対して少なくとも 591 の API 呼び出しが含まれます。 エクスポート API は、合計 2 - 3 回の呼び出しでこれを実行します。
• BLOB ストレージの配信 — 結果は一時的な BLOB URL に書き込まれ、HTTP 応答本文で返されるのではなく、ZIP/CSV としてダウンロードされます。 これにより、大規模なデータセット (数十万のデバイス設定行) がタイムアウトなしで処理されます。

要求パラメーターや調整制限など、エクスポート API パターンの詳細については、「Graph API を使用して Intune レポートをエクスポートする」を参照してください。

一括エクスポートでは、 exportJobs エンドポイントが使用され、作成、ポーリング、ダウンロードのパターンに従います。 すべての呼び出しで /beta/ エンドポイントが使用されます。

1. ターゲット テナントの Microsoft Graph で認証します。

2. https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs への POST 要求を使用してエクスポート ジョブを作成します。 IndustryBaselinePerSettingDeviceAuditList レポート名を使用し、必要な列を選択します。

   POST https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs
   
   {
       "reportName": "IndustryBaselinePerSettingDeviceAuditList",
       "filter": "(PolicyId eq '{PolicyId}')",
       "format": "csv",
       "select": [
           "PolicyId",
           "SettingId",
           "DeviceId",
           "MaxSettingStatus",
           "UserId",
           "DeviceName",
           "PspdpuLastModifiedTimeUtc"
       ]
   }
   

   ここで、 {PolicyId} は STIG 監査プロファイルの GUID です。 PolicyId を見つけるには、「 PolicyId を取得する」を参照してください。 応答には、エクスポート ジョブの id 値が含まれます。

3. statusが completed を返すまで、GET 要求を使用してジョブの状態をポーリングします。

   GET https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs('{exportJobId}')
   

   ここで、 {exportJobId} は前の手順で返された id 値です。

4. ジョブが完了すると、応答には一時的な BLOB ストレージ リンクを含む url フィールドが含まれます。 その URL から ZIP ファイルをダウンロードします。 ZIP には、テナントのすべての STIG 監査結果を含む CSV が含まれています。

ベースライン メタデータを取得する

まず、STIG ベースライン テンプレートに関するメタデータを取得します。 次の手順で PolicyId を検索するには、この応答から id したテンプレートが必要です。

GET /beta/deviceManagement/templates?$filter=templateFamily eq 'baseline'

応答には、STIG ベースライン テンプレートの次のフィールドが含まれます。

PolicyId を取得する

レポート API を呼び出す前に、STIG 監査プロファイルの PolicyId (GUID) が必要です。 PolicyId は、管理センターで確認するか、Graph API を介してプログラムで取得できます。

• 管理センター — Intune管理センターで STIG 監査ポリシーを開き、/policyID/後に URL から GUID をコピーします。 この GUID はテナント固有です。

• Graph API — 前のセクションのテンプレート idを使用して、そのテンプレートから作成されたすべてのポリシーを一覧表示します。

  GET /beta/deviceManagement/configurationPolicies?$filter=templateReference/templateId eq '{templateId}'
  

  ここで、 {templateId} は前のセクションで取得したテンプレート ID (例: c64bf257-bce5-4c4d-8ad8-03222f13d84c_1) です。 返される各ポリシーの id フィールドは、レポート API 呼び出しで使用する PolicyId です。

ポリシーごとの監査概要を取得する

PolicyIdを取得したら、すべてのSTIG設定の概要と、各ルールに渡されたデバイスの数を取得できます。 このレポートには、管理センターの 監査レポート ビューと同じデータが表示されます。

ポリシーごとのレポートでは、キャッシュされたレポート構成の作成、その状態の監視、結果の取得という 3 つの手順が使用されます。

手順 1 — キャッシュされたレポート構成を作成します。

POST /beta/deviceManagement/reports/cachedReportConfigurations

{
  "id": "IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>')",
  "orderBy": [],
  "select": [
    "SettingName",
    "SettingId",
    "StigRuleId",
    "StigSeverity",
    "NumberOfCompliantDevices"
  ]
}

手順 2 — レポートの状態を監視します (状態が完了するまで繰り返します)。

GET /beta/deviceManagement/reports/cachedReportConfigurations('IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>')

ステップ 3 — 結果を取得します。

POST /beta/deviceManagement/reports/getCachedReport

{
  "id": "IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>')",
  "orderBy": [],
  "select": [
    "SettingName",
    "SettingId",
    "StigRuleId",
    "StigSeverity",
    "NumberOfCompliantDevices"
  ],
  "skip": 0,
  "top": 50
}

応答列には次のものが含まれます。

設定ごとのデバイスの詳細を取得する

特定の STIG ルールに合格または不合格したデバイスを識別するには、設定ごとのレポートを使用します。 このレポートも、同じ 3 ステップのパターンに従います。 PolicyId と SettingId (ポリシーごとのレポート結果から取得) の両方が必要です。

手順 1 — キャッシュされたレポート構成を作成します。

POST /beta/deviceManagement/reports/cachedReportConfigurations

{
  "id": "IndustryBaselinePerSettingDeviceAuditList_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>') and (SettingId eq '<SettingId>')",
  "orderBy": [],
  "select": [
    "DeviceName",
    "MaxSettingStatus",
    "PspdpuLastModifiedTimeUtc"
  ]
}

手順 2 — レポートの状態を監視します。

GET /beta/deviceManagement/reports/cachedReportConfigurations('IndustryBaselinePerSettingDeviceAuditList_<PolicyId>')

ステップ 3 — 結果を取得します。

POST /beta/deviceManagement/reports/getCachedReport

{
  "id": "IndustryBaselinePerSettingDeviceAuditList_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>') and (SettingId eq '<SettingId>')",
  "orderBy": [],
  "select": [
    "DeviceName",
    "MaxSettingStatus",
    "PspdpuLastModifiedTimeUtc"
  ],
  "skip": 0,
  "top": 50
}

応答列には次のものが含まれます。

監査のみの動作を理解する

STIG 監査ベースラインは、他の Intune セキュリティ ベースラインとは異なる仕組みをします。

STIG 監査ベースラインは構成をデバイスにプッシュしないため、他の Intune ポリシーやベースラインと競合することはありません。 既存の構成ベースライン、コンプライアンス ポリシー、およびデバイス構成プロファイルと共に安全に展開できます。

STIG 監査結果を修復する

STIG 監査ベースラインでは、構成のギャップが特定されますが、修正されません。 デバイスの準拠を遵守するには、次のアプローチを使用します。

• 設定カタログ プロファイル — Intune で設定カタログ プロファイルを作成または更新して、STIG 監査で特定された特定の設定を適用します。 この方法は、STIG 修復に推奨されます。
• Intune セキュリティ ベースライン - Windows MDM セキュリティ ベースラインは、STIG 要件と重複する多くの設定を適用します。
• コンプライアンス ポリシー — コンプライアンス ポリシー を使用して要件を定義し、デバイスがコンプライアンスから外れた場合にアクションを実行します。
• グループ ポリシー (ハイブリッド環境) — 共同管理環境の場合は、Intune でまだ利用できない設定にはグループ ポリシーを使用します。

手動検証が必要な STIG ルール

一部の STIG ルールは、デバイスの構成サービス プロバイダーが検出できない物理的な検査、管理上の判断、または条件の検証を必要とするため、自動的に評価することはできません。 監査レポートでは、これらの規則は除外されます。 個別の手動手順で評価します。 organization は、これらのルールのコンプライアンスを評価し、文書化するプロセスを確立する必要があります。

次の STIG ルールでは、手動検証が必要です。

既知の制限

• 監査のみ — STIG 監査ベースラインは、設定を適用または修正しません。 構成には、設定カタログ プロファイルを使用します。
• カスタムベースラインなし — カスタムSTIGプロファイルをアップロードすることはできません。 ベースラインには、サポートされているベンチマークの STIG ルールの完全なセットが含まれています。
• 実際のデバイス値なし — 監査レポートには各ルール チェックの合格または不合格の結果が表示されますが、デバイスの実際の設定値は表示されません。
• 単一のベースライン バージョン — サポートされている最新のベースライン バージョンのみを使用して、新しい監査プロファイルを作成できます。 古いベースライン バージョンに対してプロファイルを作成することはできません。 ただし、以前のバージョンで以前に作成したプロファイルは引き続き実行できます。
• GCC High のみ — STIG 監査ベースラインは、商用、GCC、または DoD クラウド環境では使用できません。
• UX のみのプロファイルの作成 — Intune 管理センターを通じて STIG 監査プロファイルを作成する必要があります。 API ベースのプロファイル作成はサポートされていません。
• データ遅延 — 監査データはリアルタイムではありません。 デバイスの評価からレポートに表示されるデータまでに数時間の遅延が生じる可能性があります。 詳細については、「 データの更新」を参照してください。

よく寄せられる質問

STIG 監査ベースラインはデバイスの設定を適用しますか?

その必要はありません。 STIG 監査ベースラインは監査のみです。 現在のデバイス構成を評価し、各デバイスが推奨される STIG 値を満たしているかどうかを報告します。 設定を変更または強制することはありません。 結果を修正するには、設定カタログまたは他の Intune ポリシーの種類を使用して適切なポリシーを構成します。

ベースラインで使用される STIG バージョンはどれですか?

Microsoft Windows 11 STIG SCAP ベンチマーク、バージョン 2、リリース 7 (ベンチマーク日: 2026 年 1 月 5 日) に対する初期ベースライン監査。 Intune で新しいバージョンを使用できるようになったら、新しい監査プロファイルを作成するか、既存のプロファイルを更新してその新しいバージョンを使用する必要があります。

商用クラウド テナントで STIG 監査ベースラインを使用できますか?

その必要はありません。 STIG 監査ベースラインは、 GCC High テナントでのみ使用できます。

監査対象の STIG ルールをカスタマイズできますか?

その必要はありません。 STIG 監査ベースラインは、サポートされているベンチマークのすべてのルールを 1 つのプロファイルとして評価します。 監査するルールのサブセットを選択することはできません。 CAT I、CAT II、CAT III のルールはすべて 1 つのベースラインに含まれます。重大度カテゴリ別の個別のプロファイルはありません。

STIG 監査ベースラインが他のベースラインまたはポリシーと競合していませんか?

その必要はありません。 STIG 監査ベースラインは読み取り専用であり、構成をデバイスにプッシュしないため、他の Intune ベースライン、コンプライアンス ポリシー、またはデバイス構成プロファイルと競合することはありません。

Graph API呼び出しのPolicyIdを見つける操作方法

Intune 管理センターで STIG 監査ポリシーを開き、/policyID/後に URL から GUID をコピーします。 PolicyId は、Graph API を使用してプログラムで取得することもできます。 どちらの方法でも、「 PolicyId の取得」を参照してください。

複数のテナントの STIG 監査データを集計できますか?

はい。 Graph API を使用して、プログラムで監査ポリシーを検出し、テナント間で監査データを取得します。 設定 ID は、同じ STIG テンプレート バージョンのテナント間でグローバルに一貫しているため、設定によって結果を関連付けることができます。 ポリシー ID はテナント固有であり、テナントごとに検出する必要があります。 詳細については、「 PolicyId の取得」を参照してください。

関連コンテンツ

• セキュリティ ベースラインの概要 - 使用可能なすべての Intune セキュリティ ベースラインについて説明します。
• セキュリティ ベースライン プロファイルの作成 - Intune で構成ベースラインをデプロイする方法について説明します。
• ベースラインの監視 - ベースラインのコンプライアンス状態を監視します。
• 米国政府機関向け Microsoft Intune GCC High および DoD - Intune の GCC High サービスについて説明します。
• DISA STIG - DISAから完全なSTIGライブラリにアクセスします。
• DISA SCAP ベンチマーク - STIG 監査プロファイルの生成に使用される SCAP ベンチマーク ファイルをダウンロードします。