Microsoft Defender ATPの使い方~その1~

社内のセキュリティ担当者が実際に日々行う業務についてです。
Defender ATPは、高機能なだけではなく、わかりやすい画面構成や運用をサポートしてくれる機能があります。
どんなに検知率が高いツールであったとしても、使いにくかったり難しかったりするツールでは意味がありません。
運用しやすいツールであることは、セキュリティを常に安全に保つための最重要ポイントだと思います。

セキュリティセンタートップ画面

Defender ATPを開くと、まずはじめに開くのがこの画面になります。
現在のセキュリティの全体像が把握できるようになっています。

アクティブなアラート

ネットワークの過去30日間のアクティブなアラートの合計数をタイルから確認できます。 アラートは [New] (新規) と [In progress] (処理中) に分類されます。

各グループは、さらにアラートの重大度レベルに分類されます。 各アラート リング内に表示されているアラート数をクリックすると、そのカテゴリのキューを整理したビューが表示されます ([New] (新規) または [In progress] (処理中))。各行には、1 つのアラート重大度カテゴリと、アラートの短い説明が含まれます。 通知をクリックすると、その詳細ビューが表示されます。

危険な端末

このタイルでは、アクティブなアラートが最も多く発生しているコンピューターの一覧が表示されます。 コンピューター名の横の円の中に、各コンピューターの合計アラート数が表示され、タイルの右端に重大度レベルごとの内訳が表示されます (重大度の縦線をポイントするとラベルが表示されます)。

コンピューターの名前をクリックすると、コンピューターに関する詳しい情報が表示されます。 詳細については、「 Microsoft Defender Advanced Threat Protection マシン」の一覧でコンピューターを調査します。
タイル上部の [Machines list] (コンピューター一覧) をクリックして、アクティブなアラート数で並べ替えられた [Machines list] (コンピューター一覧) に直接移動することもできます。

センサーの正常性

[センサーの正常性] タイルには、個々のコンピューターの機能に関する情報が表示され、MICROSOFT Defender ATP サービスにセンサーデータを提供できます。 注意が必要なコンピューターの数が報告され、問題があるコンピューターを識別するのに役立ちます。

サービスに正しく報告していないコンピューターの数に関する情報を提供するステータス インジケーターが 2 つあります。

  • 正しく構成されていません。これらのコンピューターでは、一部が MICROSOFT Defender ATP サービスにセンサーデータを報告しており、修正する必要がある構成エラーが発生している可能性があります。
  • 非アクティブ-過去1ヶ月以内に MICROSOFT Defender ATP サービスへの報告が停止されているコンピューター。

いずれかのグループをクリックすると、選択内容に基づいてフィルター処理されたコンピューターの一覧が表示されます。

サービスの正常性

[Service health] (サービスの正常性) タイルは、サービスがアクティブであるかどうかや、問題があるかどうかを通知します。

端末の日々の推移

[Daily machines reporting] (日付ごとの報告があるコンピューター) タイルでは、過去 30 日間の日付ごとに報告しているコンピューターの数を表す棒グラフが表示されます。 グラフでそれぞれの棒をポイントすると、日付ごとに報告があるコンピューターの正確な数を確認できます。

アクティブな自動調査

[アクティブな自動調査] タイルでは、ネットワーク内の過去30日間の自動調査の全体的な数を表示できます。 調査は保留中のアクションにグループ化され、コンピューターを待機して実行されます。

自動調査の統計

このタイルには、過去30日間の自動調査に関連する統計が表示されます。 完了した調査の数、正常に修復された調査の数、調査が開始されるまでの期間の平均、通知の修復にかかる平均時間、調査対象の通知の数を示すことができます。一般的な手動調査から保存されたオートメーションの時間数。

自動調査、再 mif された調査、およびアラートをクリックして、適切なカテゴリでフィルター処理された [調査] ページに移動することができます。 これにより、コンテキストの調査の詳細が表示されます。

危険な状態のユーザー

タイルには、最もアクティブなアラートと、高、中、低のアラートで発生したアラートの数が表示されたユーザーアカウントの一覧が表示されます。

ユーザー アカウントの詳細を表示するには、ユーザー アカウントをクリックします。

Microsoft Defender ATPの価格

Defender ATPのライセンスの価格について、“わかりにくい”とのご質問をいただくので、整理してみました。

Windows 10 Professionalの場合

Defender ATPは、Windows 10 Enterprise E5のライセンスが必要です。
月額1,200円~
となります。

例えば、Windows 10 Professional のPCを10台ご利用の場合、
Windows 10 Enterprise E5 月額1,200円 ×10台 = 月額12,000円
となります。

(Microsoft 365 E5もWindows 10 Enterprise E5を含んでおりますので、Defender ATPが利用できます。)

※ Windows 10 Home ではご利用いただけません。Home をご利用の場合は、Professional へアップグレード(約14,000円程度)してから、Enterprise E5 を適用する必要があります。

Windows Server OSの場合

Windows Server 2016の場合は、
Azure Security Center  月額1,635.2円~
Log Analytics 1か月を超えて保存するデータ 1GBあたり月額16.8円
       月間5GBを超えて格納するデータ 1GBあたり月額374.08円
Windows 10 Enterprise E5 月額1,200円
が必要になりますので、月額2,835.2円~となります。

Windows Server 2012 R2の場合はもう少し複雑で、上記に加えてSCCM、SCEP Client、MMA が必要になります。

Mac OSの場合

Mac OSの場合もライセンスは同じで、Windows 10 Enterprise E5が必要です。
月額1,200円~
となります。
もちろん、Windows OSとしては使用しません。あくまでAzure ADユーザーのライセンスとして割り当てるだけになります。

Linux OSの場合

2020年にはリリースされそうですので、今後に期待です。

不明点がございましたらお気軽にお問合せ下さい。

関連リンク

Microsoft Defender ATP とは
Windows 10 Enterprise
Microsoft 365

Microsoft Defender ATPの自動調査・自動修復

セキュリティ担当者は、日々アラートの対応に追われているという方も多いのではないでしょうか。
本当に安全なセキュリティの運用とは、“自動化”が鍵になると思います。日々飛んでくる(似たような)アラートを精査することは機械に任せて、セキュリティ担当者は、セキュリティポリシーの精査や社内への周知・徹底、啓蒙活動に重きを置くべきだと思います。

Microsoft Defender ATP の自動調査機能では、さまざまな検査アルゴリズムを利用してアラートを調査し、違反を解決するための修復アクションを実行します。 これによりアラートの量は大幅に削減され、セキュリティ担当者はより高度な脅威や本来もっとやるべき業務に集中することができます。

自動調査を有効にする

自動調査を有効にするには、[設定]>[Advanced features]画面から、[Automated Investigation]を[On]にして、ページ下部の[Save preferences]をクリックします。

これだけで自動調査が有効になります。全ての端末で自動調査が有効になり、「自動調査」画面に、 自動的に開始されたすべての調査が表示され、その状態、検出ソース、調査が開始された日付などのその他の詳細が表示されます。

デフォルトでは、修復は半自動の状態となっており、[自動調査]画面に表示される修復内容を管理者が承認することで、修復アクションが実行されます。


これは、誤検知した内容を修復してしまうリスクを避けるためですが、ケースによっては完全自動化したい、もしくは一部を自動化したい場合もあるのではないでしょうか。

自動修復を設定する

Defender ATPではPCをグルーピングして、グループ毎に自動修復の動作を下記5パターンに設定することができます。

オートメーションレベル説明
保護されませんコンピューターでは、自動調査は実行されません。
修復に対して承認を必須にするこれは既定のレベルです。

すべての修復アクションに承認が必要です。
一時フォルダー以外の修復に対して承認を必須にする一時フォルダー( ユーザーのダウンロードフォルダーやユーザーの temp フォルダーなど )以外の修復アクションには承認が必要です。

一時フォルダーの修復アクションは、必要に応じて自動的に実行されます。
主要なフォルダーの修復に対して承認を必須にする オペレーティングシステムディレクトリ (Windows フォルダーや Program files フォルダーなど)の修復アクションには承認が必要です。

他のすべてのフォルダーの修復アクションは、必要に応じて自動的に実行されます。
修復アクションを全て自動的に行うすべての修復アクションが自動的に実行されます。

まず、PCをグループ分けするために、各PCにタグを付けます。
ここでは「Guest」というタグを付けています。

ナビゲーションウィンドウで、[設定]>[コンピューターグループ] 画面を開き、[コンピューターグループの追加] をクリックします。

グループに所属するには、端末名やドメイン名やタグで分類できます。
ここでは、[Tag]欄に[Guest]と入力することで、[Guest]とタグ付けしたPCがこのグループに所属します。
その他、グループ名や自動修復レベルを選択して[Done]ボタンをクリックします。

部署や権限などで分類する数だけ、自動修復レベルグループを作成します。

Defender ATPでは、それぞれの組織にあわせた自動調査・自動修復の設定を行うことで、より安全で、より効率的なセキュリティの運用を行うことができます。