mcpField
D
defender-for-iot

defender-for-iot

github.com/vinayaklattheセキュリティ17843 回インストール19 週間前に更新
リポジトリ

defender-for-iot について

工場、公益事業、企業ネットワークのセキュリティ担当者向けに、Microsoft Defender for IoTでOT/ICSと企業IoTを監視する方法をまとめたスキルです。専用OTセンサーと、MDEを使う企業IoTの検出経路を区別します。

主な機能

  1. 01OTセンサー配置の計画
  2. 02産業ネットワークのパッシブ監視
  3. 03デバイスとプロトコルの台帳作成
  4. 04OTアラートをSentinelへ送信
  5. 05MDEによる企業IoTの検出

活用シーン

  1. 01複数OT拠点のセンサー計画
  2. 02企業LAN上のIoTデバイス検出
  3. 03OTアラートのSentinel連携
  4. 04産業デバイスの脆弱性対応計画

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill defender-for-iot

インストール後、Claude Code で/defender-for-iotを入力して読み込まれたか確認します。

詳細

Microsoft Defender for IoT

Defender for IoT は、従来のエンドポイントツールでは検出できない、次の2種類の環境に対して エージェントレスのネットワーク検出と対応 を提供します。

  • OT / ICS（運用技術、SCADA、PLC、産業用ネットワーク）。
  • エンタープライズ IoT（EIoT） — 企業ネットワーク上のプリンター、カメラ、VoIP 電話、スマートビルディング機器。Microsoft Defender for Endpoint センサーを介して検出・保護され、Defender XDR に表示されます。

使用する場面

工場、公益事業、医療施設、ビル自動化ネットワークの保護や、エンドポイントエージェントを実行できない、企業 LAN 上の管理対象外の「モノ」への可視性の拡張に使用します。

IoT Hub / IoT Central のデータプレーンセキュリティ、Azure Sphere のファームウェア設計、またはワークステーション／サーバーの EDR（defender-for-endpoint）には、このスキルを使用しないでください。

OT とエンタープライズ IoT — 適切な経路を選ぶ

環境経路センサー
工場ネットワーク、ICS、SCADA、PLC（Purdue レベル 0～3）Defender for IoT — OTSPAN/TAP に接続する専用 OT ネットワークセンサー（物理または仮想 VM）
企業 LAN 上の管理対象外デバイス（プリンター、カメラ、VoIP）Defender for IoT — EIoTWindows エンドポイント上の既存の MDE センサー。別途アプライアンスは不要

目安： Modbus / DNP3 / S7 / EtherNet/IP を使用するデバイスには、OT センサー が必要です。 オフィス VLAN 上の IP カメラには、MDE 経由の EIoT で十分です。

アプローチ

OT 環境

  1. まず Purdue レベルごとにネットワークをマッピングします。 レベル 0/1（コントローラー、センサー）、レベル 2（SCADA HMI）、レベル 3（運用管理）を特定します。センサーはレベル間およびレベル 2/3 内の東西方向のトラフィックを監視します。

  2. センサーの配置を選びます。 OT サイトごとに1台のセンサーを設置し、OT コアスイッチをミラーリングする SPAN ポートに接続します。複数サイトのセンサーは、クラウド接続型モデル（新規導入に推奨）または従来のオンプレミス管理コンソール（エアギャップ環境向け）に集約します。

  3. パッシブに展開します。 OT センサーは 完全にパッシブ で、プローブもアクティブスキャンも行いません。これは安全性が重要な環境では必須です。ポートを有効にする前に、工場の運用チームに確認してください。

  4. 資産インベントリを作成します。 センサーは14日以内に、デバイス、ファームウェアのバージョン、プロトコルの関連性のベースラインを作成します。アラートを有効にする前に、OT チームとベースラインを検証してください。

  5. アラートを有効にします。 カテゴリは、マルウェア、ネットワークの異常、プロトコル違反、運用上のイベント（例：許可されていない PLC のプログラミング変更）です。工場の状況に合わせて調整してください。「異常」の多くは、正当なメンテナンス時間帯に発生します。

  6. Sentinel にストリーミングします。 Defender for IoT データコネクタを使用します。OT 専用のブックとプレイブック（例：許可されていない PLC の再プログラミング時に自動でチケットを作成）を作成します。

  7. 脆弱性プログラムを実施します。 センサーがデバイスのファームウェアを特定し、既知の CVE と照合します。IT と同じ経路でパッチを適用 しないでください — OT の変更時間帯と調整してください。

エンタープライズ IoT 環境
  1. MDE はすでに導入済みですか？ EIoT は MDE に追加するライセンス設定です。Defender XDR の設定で有効にしてください。MDE に登録されたエンドポイントから認識できる LAN セグメント上のデバイスが検出されます。
  2. security.microsoft.com → 資産 → デバイスで、デバイスの種類を IoT に絞り込んでデバイスインベントリを確認します。
  3. 機能別（プリンター、カメラ、VoIP、ビルディングオートメーション）にグループ化してタグ付けします。グループごとにネットワークアクセス ポリシー（NAC / NSG / ファイアウォール）を適用します。
  4. 脆弱性の検出結果と脅威アラートは、エンドポイントの検出結果とともに Defender XDR に取り込まれます。

ガードレール

  • OT センサーはパッシブでなければなりません。 本番環境の OT でアクティブプロービングを有効にしないでください。PLC のリセットや安全システムのトリップにつながるおそれがあります。
  • デプロイに変更を加える前に、OT 運用チームと調整してください。 スイッチ、VLAN、SPAN の設定変更には、OT の変更時間枠が必要です。
  • OT アラートをコンテキストなしで IT SOC に直接送信しないでください。 OT アナリストと IT アナリストではトリアージの方法が異なります。OT を考慮したプレイブックを構築するか、OT SOC に転送してください。
  • EIoT で管理対象外デバイスを検出するには、ネットワークセグメントごとに少なくとも 1 つのエンドポイントで MDE が必要です。 カバレッジの不足は、死角になります。
  • OT デバイスに IT のサイクルでパッチを適用しないでください。 OT の変更時間枠は四半期または年単位です。脆弱性データは計画に使用し、自動修復には使用しないでください。
  • エアギャップサイトではクラウド接続モードを使用できません。 オンプレミス管理コンソールを使用し、接続が許可された後の移行を計画してください。
  • Defender for IoT と Azure IoT Hub のセキュリティは別物です。 製品も対象範囲も異なります。

よくあるアンチパターン

  • 「PLC をより速くインベントリするためにアクティブスキャンを実行する」 — 実際の製油所で安全システムのトリップを引き起こしました。OT では常にパッシブにしてください。
  • 「WAN 経由で複数サイト全体に 1 つのセンサーを配置する」 — SPAN トラフィックは WAN での使用に適していません。サイトごとに 1 つのセンサーを配置してください。
  • 「OT アラートを標準の IT インシデントキューに転送する」 — IT アナリストが「想定内のレガシープロトコル」としてクローズし、実際の攻撃を見逃します。
  • 「すでに MDE があるため EIoT をスキップする」 — 管理対象外デバイスの検出こそが目的です。有効にしてください。
  • 「IT の月次変更時間枠で OT ファームウェアにパッチを適用する」 — 本番環境の停止につながります。OT チームと計画してください。
  • 「Defender for IoT を使って IoT Hub のデバイステレメトリを監視する」 — 製品が違います。

プロンプトの例

  • 5 サイトの製造拠点（各サイトに 1 つのプラントネットワーク）における Defender for IoT OT センサーの配置を計画してください。
  • 80,000 台のエンドポイントがあるテナントで、MDE 経由の EIoT 検出を有効にしてください。
  • 不正な PLC プログラミングに関するワークブックを作成し、OT アラートを Sentinel にストリーミングしてください。
  • 「疑わしい S7 プロトコルのアクティビティ」アラートのランブックを作成してください。トリアージ担当者、変更内容、エスカレーションのタイミングを含めてください。
  • エアギャップ環境のユーティリティ向けに、クラウド接続センサーとオンプレミス管理コンソールを比較してください。
  • EIoT デバイスに機能別のタグを付けてグループ化し、NAC の隔離ポリシーを適用してください。

Microsoft Learn

コメント

Markdown 対応