defender-tvm

Microsoft Defender TI と Vulnerability Management

このスキルでは、相互に補完する 2 つの機能を扱います。

• Microsoft Defender Vulnerability Management（MDVM） — エンドポイント（Windows、macOS、Linux、モバイル）、ファームウェア、ブラウザー拡張機能、証明書、セキュリティベースラインを対象とする、リスクベースの脆弱性管理です。
• Microsoft Defender Threat Intelligence（Defender TI / MDTI） — 脅威アクターの追跡、インフラストラクチャのピボット、脅威ハンティングの情報強化に役立つ、Microsoft の分析済みインテリジェンスと生の IOC を提供する製品です。

どちらも Defender XDR と Sentinel にデータを提供します。

使用する場面

• 大規模なエンドポイント群で、パッチ適用や修復の優先順位を決める場合。
• 露出スコアとセキュリティベースラインの乖離を測定する場合。
• 脅威アクターのインテリジェンスやインフラストラクチャデータを使って、脅威をハンティングし、対応する場合。
• インテリジェンスプロファイルやインジケーターのコンテキストで SIEM アラートを強化する場合。

エンドポイントポリシーやオンボーディング（defender-for-endpoint）、SIEM 検出ルール（sentinel-detection-engineering）、外部から見た攻撃対象領域（defender-easm）には、このスキルを使用しないでください。

MDVM — MDE Plan 2 のコア機能とアドオン

機能	MDE Plan 2	MDVM アドオン
CVE ベースの脆弱性インベントリ	✅	✅
露出スコア、推奨事項	✅	✅
脅威を考慮した優先順位付け	✅	✅
セキュリティベースラインの評価（CIS、STIG）	—	✅
ブラウザー拡張機能のインベントリ	—	✅
デジタル証明書のインベントリ	—	✅
ネットワーク共有の構成評価	—	✅
ハードウェアとファームウェアのインベントリ	—	✅
脆弱なアプリケーションのブロック	—	✅
管理対象外の Windows を対象とする認証付きスキャン	—	✅

目安： すでに MDE P2 を利用しており、監査チームから CIS に準拠した証拠を求められている場合は、MDVM アドオンが必要です。

アプローチ

MDVM のワークフロー

1. CVE の件数ではなく、露出スコアでトリアージします。 露出スコアは、悪用可能性、資産の重要度、進行中の脅威キャンペーンを加味します。CVE が 5,000 件あるバックログも、露出スコア順に並べれば 50 件のアクションリストになります。

2. 脅威インサイトのフィルターを使用します。 Microsoft は CVE に「公開済みエクスプロイト」、「Microsoft による検証済み」、「進行中の脅威キャンペーン」、「エクスプロイトキットで利用可能」のタグを付けます。CVSS に関係なく、「進行中の脅威キャンペーン」から先にパッチを適用します。

3. 修復を Intune に連携します。 「修復要求の作成」を選ぶと、影響を受けるデバイスの一覧とともにタスクが Intune 管理者のキューに送られ、パッチ適用のライフサイクルを一元管理できます。

4. セキュリティベースライン（Plan 2 アドオン）。CIS または STIG を選択し、デバイスグループを対象に設定して、設定ごとの準拠状況を確認し、セキュリティに影響する設定に優先的に対応します。

5. 脆弱なアプリをブロック（アドオン）。慎重に使用してください。Adobe Reader 21.x や Chrome <120 などを環境全体でブロックします。正当な理由から特定のバージョンを固定しているユーザーもいるため、少数のグループで試験運用してください。

6. 実施頻度。 露出を最も低減できる上位 10 件のアクションを毎週確認し、露出スコアの推移を月次で経営層に報告し、ベースラインの乖離レポートを四半期ごとに作成します。

Defender TI のワークフロー

1. インテリジェンスプロファイル — Storm-#### などの名前付き脅威アクター、脅威ツール、CVE、キャンペーンを追跡します。関連するプロファイルを購読すると、更新情報が Defender XDR に表示されます。

2. インフラストラクチャのピボット。 インジケーター（IP、ドメイン、ハッシュ）を指定すると、Defender TI に pDNS、WHOIS の履歴、証明書との関連付け、関連するインフラストラクチャが表示されます。ピボットして、SIEM でまだ検出されていない脅威アクターのインフラストラクチャを見つけます。

3. ハンティングにインテリジェンスを活用します。

   • Defender XDR の高度なハンティングでは、インジケーターをエンティティとして他のデータと結合できます。
   • Sentinel では、Threat Intelligence Premium データコネクタを使って MDTI に接続します。ThreatIntelligenceIndicator と記事が取り込まれます。

4. 自動化には MDTI API を使用します。 記事やインジケーターを SOAR プレイブックに取り込み、インシデントを自動的に情報強化します。

5. 無料版と Premium。 Defender TI ポータルには無料プランがありますが、利用できる記事や 1 日あたりのピボット回数に制限があります。Premium では、ピボットが無制限になり、インテリジェンスプロファイルの全カタログと API のスループットを利用できます。ほとんどの企業 SOC では Premium が必要です。

注意事項

• CVE 件数にとらわれないでください。 実際に役立つ視点は、エクスポージャースコアと脅威インサイトです。 CVE の件数を数えるのは、見栄えだけの指標です。
• MDVM の修復には担当者が必要です。 Intune との連携やパッチ適用の担当者がないまま、ダッシュボードに 200 件の推奨事項を表示しても、パッチは適用されません。
• 脆弱なアプリのブロックは影響が大きい機能です。 まずはパイロット導入し、周知してください。業務上の理由で固定しておく必要があるアプリもあります。
• セキュリティベースラインへの準拠は、一朝一夕には達成できません。 CIS への 100% 準拠は、達成も望ましいこともほとんどありません。セキュリティに影響する項目を選んでください。
• コンテキストのないインテリジェンスはノイズです。 「一致したらアラートを出す」ために、MDTI のすべてのインジケーターを Sentinel のウォッチリストに取り込まないでください。一致率が高くても精度が低ければ、アラート疲れにつながります。
• ライセンスを確認してください。 MDTI Premium と MDVM アドオンは個別にライセンスが必要です。M365 E5 に含まれていると思っているお客様は多いですが、含まれていません。
• スキャン結果の反映には数時間かかります。 脆弱性の状況が分単位で更新されることは期待しないでください。

よくあるアンチパターン

• 「重大な悪用済み CVE が 60 日間放置されている間に、中程度の CVE 1,000 件にパッチを適用した」 — CVSS の区分ではなく、脅威キャンペーンごとに優先順位を付けてください。
• 「MDE P2 ですでに確認できるエクスポージャースコアのために MDVM アドオンを購入した」 — 機能が重複しています。購入前に機能を比較してください。
• 「MDTI のインジケーターをすべてファイアウォールで自動ブロックした」 — 誤検知による大きな影響が生じます。まず関連情報をたどり、検証してください。
• 「セキュリティベースラインの『準拠』スコアをセキュリティスコアとして扱った」 — これらは同じものではありません。多くのベースライン設定は運用面の強化を目的としており、セキュリティ上重要ではないものもあります。
• 「インテリジェンスプロファイルをサブスクライブすれば、トリアージは不要」 — 記事を検知やブロックに反映するには、アナリストによるトリアージが必要です。
• 「スコープを定めずに、管理対象外のすべての Windows ホストで認証スキャンを実施した」 — サービスアカウントの認証イベントが大規模に発生します。ID チームと調整してください。

プロンプトの例

• 今四半期にエクスポージャースコアを 20% 下げるための上位 10 件のアクション。
• パッチ適用の優先順位付け手順書：脅威インサイトを使って、未対応の CVE 8,000 件をトリアージする方法。
• 30,000 台のエンドポイントに CIS Windows ベースライン評価を展開する。
• MDVM の修復要求を Intune と ITSM チケットキューに接続する。
• 不審なドメインから MDTI を使って、関連する攻撃者のインフラストラクチャをたどる。
• MDTI Premium を Sentinel に接続し、ハンティング用ワークブックを作成する。
• 開発用マシン上の古い Java ランタイムを対象に、脆弱なアプリのブロックをパイロット導入する。
• エグゼクティブ向けに、エクスポージャースコアとインテリジェンスプロファイルの四半期ブリーフィングを作成する。

Microsoft Learn

• MDVM の概要：https://learn.microsoft.com/defender-vulnerability-management/defender-vulnerability-management
• SKU ごとの MDVM 機能：https://learn.microsoft.com/defender-vulnerability-management/defender-vulnerability-management-capabilities
• エクスポージャースコア：https://learn.microsoft.com/defender-vulnerability-management/tvm-exposure-score
• 脅威インサイトと優先順位付け：https://learn.microsoft.com/defender-vulnerability-management/tvm-weaknesses
• セキュリティベースラインの評価：https://learn.microsoft.com/defender-vulnerability-management/tvm-security-baselines
• 脆弱なアプリのブロック：https://learn.microsoft.com/defender-vulnerability-management/tvm-block-vuln-apps
• Defender TI の概要：https://learn.microsoft.com/defender/threat-intelligence/what-is-microsoft-defender-threat-intelligence-defender-ti
• インテリジェンスプロファイル：https://learn.microsoft.com/defender/threat-intelligence/using-tags
• Sentinel での MDTI：https://learn.microsoft.com/azure/sentinel/understand-threat-intelligence