defender-for-endpoint

Microsoft Defender for Endpoint

Microsoft Defender for Endpoint（MDE）は、エンタープライズ向けのエンドポイントセキュリティプラットフォームです。防止機能（次世代 AV、ASR）、検出と対応（EDR）、脅威と脆弱性の管理（Defender Vulnerability Management）、自動調査と修復（AIR）を提供します。Defender XDR のエンドポイント領域を担います。

使用する場面

Windows、macOS、Linux、iOS、Android のエンドポイントを保護する場合に使用します。オンボーディングの判断、ポリシー設計、ASR の展開、EDR の調整、対応アクションの範囲設定に適しています。

このスキルは次の用途には使用しないでください。 ワークロード横断の調査（defender-xdr）、Azure リソースの強化（defender-for-cloud-hardening）、ID 側の検出（defender-for-identity）。

プランとオンボーディング方法を選択する

必要な機能	プラン／SKU	備考
次世代 AV、ASR、Web／ネットワーク保護、手動対応	MDE Plan 1	2022 年以降、M365 E3 にバンドルされています
EDR、AIR、高度なハンティング、カスタム検出、脅威と脆弱性の管理	MDE Plan 2	M365 E5／MDE P2 にバンドルされています
脆弱性修復の全ワークフロー、ブラウザー拡張機能の評価	Defender Vulnerability Management add-on	P2 に追加されます
サーバーエンドポイント（Windows／Linux）	Defender for Cloud 経由の MDE for Servers	サーバーごとの課金で、MDE P2 が含まれます

環境	推奨されるオンボーディング方法
クラウド管理の Windows（Intune 管理）	Intune + Security Settings Management
共同管理（MECM + Intune）	Configuration Manager のワークロードスライダーを使用し、その後 Intune に移行
AD のみ参加、MDM なし	GPO オンボーディングスクリプト
サーバー（Windows／Linux）	Defender for Cloud の自動プロビジョニング
macOS／Linux ワークステーション	MDM 登録を使用した Intune
エアギャップ環境／単発	ローカルスクリプト（有効期限 90 日）

目安： デバイスが Intune に登録されている場合は、Intune Security Settings Management を使ってオンボーディングしてください。AV + ASR + EDR を一元管理できます。GPO はレガシー環境向けの代替手段であり、新規構築時の既定の方法ではありません。

アプローチ

1. 計画と資産インベントリを確認する — OS、管理状態、現在の AV ごとにデバイスを棚卸しします。上記のプラン／オンボーディングパスの表に照らし合わせます。 確認方法：サンプルの Win11 デバイスで Get-MpComputerStatus を実行し、AMServiceEnabled = True と表示されることを確認します。Intune では、デバイスが準拠していることを確認します。

2. まず全デバイスで改ざん防止を有効にする — ほかのポリシーを適用する前に有効にします。これが無効だと、攻撃者や善意の管理者でさえ、ほかのすべての機能を無効にできてしまいます。 確認方法：security.microsoft.com → Settings → Endpoints → Advanced features で、デバイスの改ざん防止が「オン」と表示されることを確認します。

3. 段階的にオンボーディングする — まず 100 台のパイロットデバイスを 7 日間運用し、次に代表的な規模のグループ（1,000 台または資産全体の 10%）をオンボーディングしてから、残りのデバイスを追加します。デバイスインベントリを確認し、オンボーディング後 24 時間を過ぎても最終確認日時が更新されないデバイスを特定します。 確認方法：MDE のデバイス数と Intune のデバイス数の差が 5% 以内であることを確認します。

4. 次世代 AV ポリシー — リアルタイム保護とクラウド提供の保護をオンにします（高リスクグループではブロックレベルを「高」に設定）。PUA のブロックは監査モードで開始してから有効にし、改ざん防止をオンにします。ネットワーク保護はブロックモードにし、コントロールされたフォルダーアクセスは監査モードで開始します（その後、ユーザーワークステーションでのみブロックを有効にします。サーバーでは問題が発生します）。 確認方法：パイロットグループについて、Defender の構成管理レポートでこれらの設定がすべて有効になっていることを確認します。

5. ASR ルール — 監査、測定、ブロック — すべてのルールを 14 日間、監査モードで有効にします。ASR ルールレポートで、どのルールが何をブロックするかを確認します。誤検知の多いルールは対象範囲を絞り込み（例：基幹業務アプリを除外）、残りのルールをブロックモードにします。 確認方法：監査中の ASR ルールレポートで、正常なアプリに対するブロックがゼロであることを確認します。週に 1 つずつルールをブロックモードに移行します。

6. ブロックモードの EDR — Defender AV がプライマリでなくても有効にします。Microsoft 以外の AV がプライマリの場合、ブロックモードの EDR は必須です。EDR の検出を自動修復につなげる唯一の方法です。 確認方法：デバイスの正常性ページで、EDR ブロックモードが「オン」と表示されることを確認します。

7. デバイスグループと RBAC — リスクレベル（ワークステーション、サーバー、Tier 0 管理ワークステーション、キオスク）に基づいてデバイスグループを作成します。対応アクション（分離、ライブ応答）の対象範囲をグループごとに設定します。Tier 0 管理デバイスには最も厳しいポリシーを適用し、対応権限を持つアナリストを最小限にします。

8. 脆弱性管理 — CVE の生の件数ではなく、露出スコアと脅威インサイトに基づいて優先順位を決めます。統合機能を使って、修復タスクを Intune に送信します。

9. AIR — デバイスグループごとに修復レベルを設定します。ワークステーションは「完全」、サーバーは「半自動」（アナリストの承認が必要）にします。アクションセンターで保留中のアクションを毎日確認します。

ガードレール

• **何よりも先に改ざん防止を有効にします。**これが無効なら、ほかのすべての制御は単なる推奨にすぎません。
• **ASR ルールは必ず監査モードでパイロット運用します。**一部のルール（例：Office による子プロセスの作成をブロックする）は、正当なマクロのワークフローを妨げることがあります。監査モードで最低 14 日間運用します。
• **サードパーティ製 AV を使用する場合、ブロックモードの EDR は必須です。**これが無効だと、EDR アラートは発生しますが、自動修復は実行されません。
• **ライブ応答を広範囲に許可しないでください。**エンドポイントで任意のコマンドを実行できる機能です。RBAC で少人数の対応チームに対象を限定し、すべてのセッションを監査します。
• **ポリシーと対応の基準となるのはデバイスグループです。**部門別ではなく、リスクレベルに基づいて作成します。
• **両方の AV を有効にしたまま併用しないでください。**Defender をプライマリにするか（推奨）、Defender をパッシブモードに設定し、ブロックモードの EDR を有効にします。
• **サーバーのオンボーディングには Defender for Cloud を使用します。**MDE に直接オンボーディングし、さらに DfC 経由でもオンボーディングしないでください。テレメトリが重複します。

よくあるアンチパターン

• 「管理者がローカルで AV を管理する必要があるため、改ざん防止をオフにする」 - ローカル管理こそが脅威モデルです。Intune で一元管理し、改ざん防止をオンにしてください。
• 「初日からすべての ASR ルールをブロックに設定する」 - Office マクロ、正規のスクリプト、インストーラーが動作しなくなります。14 日間監査し、調整してからブロックしてください。
• 「サードパーティ製 AV を使用しているため、EDR ブロック モードをスキップした」 - 検出は発生しますが、何も実行されません。EDR ブロック モードを有効にしてください。
• 「すべての SOC アナリストに Live Response を使用させる」 - Live Response はリモートシェルです。Tier-3 のみに限定し、監査レビューを実施してください。
• 「Defender for Cloud ではなく Intune スクリプトでサーバーをオンボードした」 - Defender for Servers の課金および管理との統合が失われます。サーバーのオンボードには必ず DfC を使用してください。
• 「CVE の件数で脆弱性管理の優先順位を決める」 - 情報提供のみの CVE が 5,000 件あると、実際に悪用されている 3 件が埋もれてしまいます。エクスポージャースコアと進行中の脅威キャンペーンを基準に並べ替えてください。
• 「サーバーでフォルダーアクセスの制御を有効にする」 - アプリケーションによるファイル書き込みが妨げられます。CFA はユーザーのワークステーション専用です。

プロンプトの例

• Plan MDE Plan 1 vs Plan 2 for a 10,000-user M365 E3 tenant - what do we lose without P2?
• Onboard 5,000 Intune-managed Windows 11 devices to MDE with security settings management.
• Roll out ASR rules safely - audit first, then block. Which rules are safe to block immediately?
• Enable EDR in block mode with CrowdStrike as primary AV.
• Design MDE device groups for a 3-tier estate: workstations, servers, tier-0 admin devices.
• Configure AIR remediation levels - workstations vs servers.
• Prioritise vulnerability remediation using exposure score and threat insight.
• Scope Live Response to a 5-person response team with audit logging.

Microsoft Learn

• 概要：https://learn.microsoft.com/defender-endpoint/microsoft-defender-endpoint
• MDE Plan 1 の概要：https://learn.microsoft.com/defender-endpoint/defender-endpoint-plan-1
• オンボード：https://learn.microsoft.com/defender-endpoint/onboarding
• ASR ルール：https://learn.microsoft.com/defender-endpoint/attack-surface-reduction
• ASR ルールのリファレンス：https://learn.microsoft.com/defender-endpoint/attack-surface-reduction-rules-reference
• EDR ブロック モード：https://learn.microsoft.com/defender-endpoint/edr-in-block-mode
• 改ざん防止：https://learn.microsoft.com/defender-endpoint/prevent-changes-to-security-settings-with-tamper-protection
• デバイス グループ：https://learn.microsoft.com/defender-endpoint/machine-groups
• 脆弱性管理：https://learn.microsoft.com/defender-vulnerability-management/defender-vulnerability-management
• Live Response：https://learn.microsoft.com/defender-endpoint/live-response