mcpField
D
defender-for-servers

defender-for-servers

github.com/vinayaklattheセキュリティ17842 回インストール19 週間前に更新
リポジトリ

defender-for-servers について

Azure、ハイブリッド、マルチクラウド環境のサーバー保護を計画・強化するスキルです。Defender for Servers のプラン選択、オンボーディング、サーバー向け制御の設定を扱います。

主な機能

  1. 01Plan 1 と Plan 2 の比較
  2. 02Azure Arc によるハイブリッド接続の計画
  3. 03Just-in-time VM アクセスの設定
  4. 04ファイル整合性監視の計画
  5. 05エージェントレスとエージェント型スキャンの比較

活用シーン

  1. 01本番と開発サーバーのプラン選定
  2. 02Azure Arc によるオンプレミスサーバーの接続
  3. 03管理ポートの Just-in-time アクセス設定
  4. 04重要サーバーでのファイル監視

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill defender-for-servers

インストール後、Claude Code で/defender-for-serversを入力して読み込まれたか確認します。

詳細

Microsoft Defender for Servers

Defender for Servers は、Microsoft Defender for Cloud のサーバーに特化したプランです。 Microsoft Defender for Endpoint (MDE) の保護を Azure VM、Azure Arc 対応マシン（オンプレミス、 AWS EC2、GCP Compute）、VM Scale Sets に拡張し、Just-in-Time VM アクセス、ファイル整合性の監視、 エージェントレスのディスクスキャン、脆弱性評価など、サーバー固有の制御を追加します。

使用する場面

サーバーワークロード（IaaS VM、Arc 経由で接続するハイブリッド／マルチクラウドサーバー、 踏み台ホスト、ドメインコントローラー、基幹業務サーバー）の保護を設計または強化する場合に使用します。 プランの選択、MDE for Servers のオンボーディング、FIM、JIT、エージェントレススキャンと エージェントベーススキャンのトレードオフを検討する際に、このスキルを使用してください。

クライアントエンドポイント（defender-for-endpoint）、AKS／コンテナーのホスト （defender-for-containers）、Azure ストレージアカウント（defender-for-storage）、 または一般的な Defender for Cloud のセキュリティ態勢（defender-for-cloud-hardening）には、 このスキルを使用しないでください。

プランを選択する

必要なものプラン
基本的な CSPM のみ（サーバー EDR なし）を無料で利用Defender CSPM（サーバープランなし）
MDE Plan 2 の EDR、脅威検出、Log Analytics への取り込みが 1 日あたり 500 MB まで無料Defender for Servers Plan 1（サーバーごと）
P1 の全機能に加え、FIM、JIT、エージェントレススキャン、脆弱性評価、アダプティブアプリケーション制御、ネットワークの強化、規制コンプライアンス、500 MB の無料取り込みDefender for Servers Plan 2

目安： Plan 1 は「すべての環境で EDR だけが必要」な場合、Plan 2 は「EDR に加えてセキュリティ態勢、 コンプライアンス、FIM が必要」な場合です。ほとんどのエンタープライズでは、本番環境に P2、開発／テスト環境に P1 を選択します。

オンボーディング方法

環境方法
Azure VMサブスクリプションスコープでプランを有効にします。自動プロビジョニングによって MDE と Azure Monitor Agent がデプロイされます
オンプレミス／VMware サーバーAzure Arc でオンボーディングしてから、プランを有効にします
AWS EC2／GCP ComputeAWS アカウント／GCP プロジェクトを Defender for Cloud に接続します。Arc 経由で自動プロビジョニングされます
VMSS（均一）プランが適用されます。エージェントレススキャンで一時的なインスタンスをカバーします

アプローチ

  1. まずインベントリを作成して接続します。 プランを有効にする前に、Arc を介して Azure 以外のサーバーをオンボードします。そうしないと、サーバーごとに課金される一方で、ハイブリッド環境が保護されません。 確認：Defender for Cloud → Inventory に予期されるすべてのリソースが表示され、Defender プランの列が Plan 1/2 になっていること。

  2. サブスクリプションのスコープで Plan 2 を有効にします（リソースグループではありません）。新しい VM が自動的に継承するようになります。複数のサブスクリプションを対象とする場合は、管理グループで Azure Policy の Configure Microsoft Defender for Servers to be enabled を使用します。

  3. MDE 統合の自動プロビジョニングを有効にします。 統合ソリューションを介して MDE センサーがプッシュされます。テレメトリの重複と二重課金の原因となるため、Intune またはローカルスクリプトを介してサーバーを直接オンボードしないでください。 確認：サンプル VM が 1 時間以内に security.microsoft.com → Device inventory に表示されること。

  4. エージェントレスディスクスキャンを有効にします。 エージェントなしで VM のディスクスナップショットを読み取り、マルウェア、シークレット、脆弱性を検出します。24 時間ごとに 1 回実行され、パフォーマンスへの影響はありません。 確認：MDE Vulnerability Management エージェントのない VM について、Recommendations →「Machines should have a vulnerability assessment solution」が緑色で表示されること。

  5. 管理ポート（RDP 3389、SSH 22、WinRM 5985/5986）を持つすべての VM で JIT VM アクセスを構成します。 リクエストの最大時間は 3 時間、送信元 IP はリクエスト元のみをデフォルトにします。 確認：NSG に保護対象ポートの JIT 管理拒否ルールが表示され、アクセスリクエストがアクティビティログに記録されること。

  6. MDE を介してファイル整合性監視を行います（Log Analytics ベースの FIM は廃止予定です）。まず、Tier 0 サーバー（DC、PKI、ジャンプホスト）で有効にします。ルールセットを調整します。デフォルトでは Windows のシステムファイルが含まれるため、アプリの構成パスを追加します。 確認：監視対象パスで ActionType = FileCreated/Modified の FIM イベントが、MDE の高度なハンティング DeviceFileEvents に表示されること。

  7. アダプティブアプリケーション制御（Plan 2）を有効にします。 監査モードで 14 日間実行し、VM グループごとのアプリのベースラインを学習してから、強制モードにします。動的なワークロード（CI ビルドエージェントなど）ではスキップします。

  8. Log Analytics への取り込みは 1 日あたり 500 MB まで無料です。 Sentinel からクエリできるワークスペースにセキュリティイベントセットをストリーミングします。ただし、取り込み量の上限に注意してください。大量のデータを生成する DC では、簡単に 500 MB を超えます。

  9. 規制コンプライアンスダッシュボード（PCI、ISO 27001、NIST 800-53、CIS）を毎月確認し、失敗したコントロールを Azure Policy の割り当てに変換します。

ガードレール

  • ハイブリッド環境のオンボードにはローカルの MDE スクリプトではなく、Arc を使用します。 MDE に直接オンボードすると、Defender for Cloud の課金とセキュリティ態勢の管理を回避することになり、JIT、FIM、エージェントレススキャンが利用できなくなります。
  • 同じスコープで Plan 1 と Plan 2 の両方を有効にしないでください。 P2 は P1 に優先するため、最上位のスコープで構成し、継承に任せます。
  • JIT が変更するのは NSG ルールであり、Azure Firewall / NVA のルールではありません。 管理トラフィックがファイアウォールを経由する場合、JIT だけでは保護できないため、ファイアウォールポリシーを追加してください。
  • エージェントレススキャンは特定時点のスキャンです。 24 時間ごとに構成の変化を検出しますが、リアルタイムではありません。ランタイム検出のために MDE を有効にしておいてください。
  • FIM は MDE を介して利用する方法がサポートされています。 従来の Log Analytics エージェントによる FIM は非推奨です。新しいデプロイをこれに基づいて設計しないでください。
  • 2 つのウイルス対策エンジンを同時にアクティブにしないでください。 サードパーティ製ウイルス対策ソフトをプライマリにする場合は、Defender をパッシブモード + EDR ブロックモードに設定します（defender-for-endpoint を参照）。

よくあるアンチパターン

  • 「コスト削減のため、すべての環境でプラン 1 を有効にした」後に FIM／JIT を要求する — これらは P2 の 機能です。本番環境を P2 に移行してください。
  • 「Arc サーバーに GPO で MDE を直接オンボードした」 — DfC を迂回するため、課金との 統合が失われ、二重にオンボードされます。必ず DfC の自動プロビジョニングを使用してください。
  • 「JIT の要求ウィンドウを 24 時間に設定し、任意の送信元 IP を許可する」 — JIT の目的が損なわれます。上限を 3 時間にし、送信元 IP を固定してください。
  • 「すべてのサーバーのすべてのファイルパスで FIM を有効にする」 — アラート疲れを招きます。Tier-0 システムと アプリ固有の構成パスのみにしてください。
  • 「適応型アプリケーション制御を初日から強制する」 — 正規の管理ツールがブロックされます。 14 日間監査した後、強制してください。
  • 「MDE 脆弱性管理をすでに実行しているため、エージェントレススキャンを省略した」 — これらは 相互に補完する機能です。エージェントレススキャンは、管理対象外のディスクや停止中の VM を検出します。

プロンプトの例

  • Plan Defender for Servers P1 vs P2 for a 2,000-VM estate split 70/30 prod/dev.
  • Onboard 500 on-prem Windows Servers via Arc and enable P2.
  • Roll out JIT VM access to all production Linux jump hosts with a 2-hour max window.
  • Configure FIM via MDE on tier-0 domain controllers — which paths and registry keys?
  • Stream Defender for Servers events into Sentinel using the 500 MB free allowance — what do we ingest?
  • Connect an AWS account with 300 EC2 instances and enable Defender for Servers P2.
  • Tune adaptive application controls for a fleet of IIS web servers.

Microsoft Learn

コメント

Markdown 対応