Microsoft Defender ATP 脆弱性管理(TVM)

マイクロソフトは2019年6月30日より脅威及び脆弱性管理 Threat & Vulnerability Management(TVM)を正式リリースしました。
TVMはMicrosoft Defender ATPの機能の1つで、PCの脆弱性と設定の誤りを発見して、管理・修正を行います。

  • 脆弱性及び設定ミスをリアルタイムで発見
  • 脅威インテリジェンスに基づいた緊急度と重要度をスコア化
  • Microsoft Intuneと連携して、検知から修復までを自動化
  • 脆弱性検知はマイクロソフト製品のみならず、サードパーティアプリケーションも対応

ダッシュボード画面では、脆弱性を可視化してグラフィカルにわかりやすく表示します。特に、脅威インテリジェンスに基づいてスコア化されており、“何が”“どれくらい”危険なのかが一目でわかります。

Threat &Vulnerability Management(TVM)ダッシュボード

セキュリティの推奨事項画面では、脆弱性や設定ミスの個々の項目についてスコア化して、スコアの高い順(=リスクの高い順)に一覧表示します。セキュリティ管理者は上から順に対応するだけで、効率良くセキュリティ対策を行うことができます。

セキュリティの推奨事項

修復管理画面では、脆弱性の修正対応状況を管理することができます。現場担当者へ対応依頼を行ったまま、作業洩れするようなことはありません。

修復管理

ソフトウェアインベントリ画面では、PCにインストールされているソフトウェアの一覧が管理できます。

ソフトウェアインベントリ

脆弱性管理画面では、共通脆弱性識別子(CVE)をベースに脆弱性を管理することができます。

脆弱性管理

マイクロソフトではあまりTVMの告知を行っていないようですが、Windows OSでは標準コンポーネント(=追加インストール不要)で、リアルタイムで脆弱性と設定ミスを一元管理できるため、セキュリティを常に最新状態に保つための非常に強力なツールです。

関連コンテンツ

Microsoft Defender ATPとは

IT導入補助金2019でOffice365を導入できます

当社はIT導入補助金の ITベンダー・サービス事業者ですので、補助金を利用して半額でOffice365を導入いただけます。

■Office365に興味はあるが導入に躊躇していた方

■初期導入費が導入障壁になっている方

■ちょっと試してみたい方

是非この機会に補助金を活用してクラウド化してみませんか?

IT導入補助金とは

IT導入補助金は、中小企業・小規模事業者等のみなさまが自社の課題やニーズに合ったITツールを導入する経費の一部を補助することで、みなさまの業務効率化・売上アップをサポートするものです。

IT導入補助金の補助額は

A類型 40万~150万円未満
B類型 150万~450万円
補助率 1/2以下

IT導入補助金を利用できる方は

IT導入補助金の対象者は 中小企業・小規模事業者等(飲食、宿泊、卸・小売、運輸、医療、介護、保育等のサービス業の他、製造業や建設業等も対象)

IT導入補助金の活用例

PC10台の事務所にOffice365とセキュリティ対策を導入する場合

Office365 Business Premium + EMS E3 + Windows 10 Enterprise E5

初期導入費用

クラウド設定費70,000円1式70,000円
現地インストール作業費10,000円10台100,000円
初期導入費合計170,000円

月額費用

Office365 Business Premium1,360円10台13,600円
EMS E3950円10台9,500円
Windows 10 Enterprise E51,200円10台12,000円
保守費10,000円1式10,000円
セキュリティ運用費20,000円1式20,000円
月額費用合計65,100円


初年度合計 951,200円

→IT導入補助金を利用すると半額の475,600円が補助されます。

Office365についての詳細はこちら

EMSについての詳細はこちら

Windows 10 Enterpriseについての詳細はこちら

IT導入補助金2019についてはこちら

お問い合わせはこちらからどうぞ

Microsoft Defender ATPとは

Microsoft Defender ATPとは、Windows 10 Enterprise E5で利用できるクラウドベースのセキュリティ分析サービスです。

従来、Microsoft製のセキュリティソフトでは心許ないということで、トレンドマイクロやシマンテックといったサードパーティ製のセキュリティソフトを追加でインストールしていたケースが多く見受けられましたが、Defender ATPはマイクロソフトのファーストパーティとしての本気度を感じずにはいられないサービスとなっています。

Defender ATPの特徴

1)統合管理
2)脅威インテリジェンス
3)セキュリティスコア
4)EDR

1)統合管理

従来、Microsoft製セキュリティソフトの管理といえば、グループポリシーかIntuneで設定を管理することしかできませんでした。
Defender ATP Security Centerでは、管理デバイスを統合管理することができます。クラウド上のダッシュボードに、ネットワーク全体から各端末の詳細に至るまでセキュリティ状況をグラフィカルに可視化することができます。

また、PCにウィルス感染の疑いがある場合には、管理画面からウィルススキャンを実行することもできます。

2)脅威インテリジェンス

Windows OSは10億台以上の端末にインストールされており、OSの世界シェアNo.1です。そのため、膨大なセキュリティ情報がMicrosoft社に集約されています。それらの膨大なセキュリティ情報をMicrosoftのセキュリティスペシャリストが24時間365日監視してDefender ATPに反映してくれるのです。

脅威インテリジェンス情報を提供しているサービスは他社にもありますが、このコストで利用でき、さらにスコア化してエンドユーザにもわかりやすく提供してくれるサービスは他にはありません。

3)セキュリティスコア

セキュリティ状況をスコア化する機能です。
ネットワーク全体の安全度を確認したり、各PCの安全度を確認するのに、とてもわかりやすく数値化してくれます。
当然、そのスコアの詳細情報も提供されますので、重要度・緊急度の高い項目から対応していくことで、セキュリティリスクを効率的に下げることが可能です。
また、スコア化する項目は、端末の脆弱性や設定ミスなど多岐に渡っており、Defender ATPが特定のカテゴリのみで威力を発揮するものではなく、システム・ネットワーク全体としてセキュリティレベルを向上させることが可能であることがわかります。

4)EDR

EDRとはEndpoint Detection and Responseの略で、エンドポイントの検知と対応という意味になります。
情報セキュリティに100%はあり得ません。
情報セキュリティに対する考え方は、攻撃を防御するだけではなく、被害が発生した際に、いかに早く・適切に対応できるかが求められるように変わってきています。
Defender ATPのEDR機能は、早期の検知と万が一被害に遭った際に迅速に原因調査と影響の範囲を把握することができます。

その他のメリット

Defender ATPは、Windows OSの標準コンポーネントとして提供されており、新たにソフトウェアを追加インストールする手間はありません。また、OSのアップデートと共にDefender ATPの機能も自動的に拡充されています。OSメーカーであるMicrosoftならではのメリットといえます。

関連コンテンツ

Microsoft Defender ATPの使い方~その1~
Microsoft Defender ATPの自動調査・自動修復
Microsoft Defender ATP 脆弱性管理
Microsoft Defender ATPの価格

Azure Sentinelのセットアップ

Azure SentinelというSIEM(Security Information and Event Management)がプレビューになりました。
SIEMは情報セキュリティの監視・運用に重要な役割を果たしますが、MicrosoftがSIEMを出してきたことは、デバイス・OS・アプリ・クラウドの情報を集めやすいことからもメリットがあるといえます。

まずはセットアップしてみたいと思います。

Azureポータルより「すべてのサービス」を開き、検索窓に「Sentinel」と入力します。

「Connect Workspace」ボタンをクリックします。

新しいワークスペースを作成するか、既存のワークスペースがあれば選択します。

「Connect」ボタンをクリックして、データを接続します。

接続データの一覧から選択します。ここでは「Azure Active Directory」を選択します。

「Azure AD Sign-in logs」の「Connect」ボタンをクリックします。

「Data received」と表示されれば接続完了です。

「Dashboards」の「Install」ボタンをクリックします。

しばらく待つと、ダッシュボードにデータが表示されます。

WVDのタイムゾーン設定

Windows Virtual Desktop(WVD)では、タイムゾーンがデフォルトで「(UTC)協定世界時」になっています。デスクトップでタイムゾーンを変更しても、次回ログインするとUTCに戻ってしまいます。

リモートデスクトップのタイムゾーンリダイレクトを行い、RDP接続元端末のタイムゾーンを反映するように設定します。
WVDはドメインに参加しているため、ポリシー変更はActive Directoryのグループポリシーを変更する必要があります。当該環境ではAzure Active Directory Domain Services(AADDS)を使用しているため、WVDからAADDSのグループポリシーを設定します。

まず、Windows10用のリモートサーバー管理ツール(RSAT)をダウンロードします。
https://www.microsoft.com/ja-jp/download/confirmation.aspx?id=45520

一番近いと思われる!?「WindowsTH-RSAT_WS_1803-x64.msu」を選択しました。

インストールが完了したら、「スタート」>「Windows管理ツール」>「グループポリシーの管理」を開きます。

「フォレスト:[ドメイン名]」>「ドメイン」>「[ドメイン名]」>「グループポリシーオブジェクト」>「AADDC Computers GPO」を右クリックして「編集」をクリックします。

「コンピューターの構成」>「ポリシー」>「管理用テンプレート:ローカルコンピューターから取得したポリシー定義(ADMX)ファイルです」>「Windowsコンポーネント」>「リモートデスクトップサービス」>「リモートデスクトップセッションホスト」>「デバイスとリソースのリダイレクト」をクリックして「タイムゾーンリダイレクトを許可する」を開きます。

「有効」を選択して「適用」ボタンをクリックして完了です。

WVDを業務時間中のみ起動させる(スケジュール自動起動・シャットダウン)

Windows Virtual DesktopはAzure VMで稼働しているため、使用していない時間はシャットダウンしていれば、その分コストを抑えることができます。仮に1日8時間起動であれば、コストは3分の1になります。

Azure VMではスケジュールで自動起動・自動シャットダウンする機能がありますので、設定してみたいと思います。

ここでは、平日の午前8時に自動起動し、午後8時に使用していなければシャットダウン、午前0時にも使用していなければシャットダウンをします。
D4s V3タイプの場合、常時稼働で月額15,698円のところが、上記稼働の場合は月額5,604円に抑えることができます。

“使用していなければ”とは、CPU稼働率5%をしきい値としています。CPUが5%以上動いていればシャットダウンしません。(使っている人がいるのに突然シャットダウンしたら嫌ですからね)

更に、VMがシャットダウン中に急に使わなくてはいけなくなった場合のために、スマホアプリからリモート起動できるようにします。

Automationアカウントの作成

Marketplaceから「オートメーション」を開きます。

アカウント名や場所を設定して「作成」をクリックします。

VMの開始/停止ソリューションの設定

Automationアカウントを開きます。

作成したAutomationアカウント名をクリックします。

関連リソースの「VMの開始/停止」画面を開き、「詳細を表示して、ソリューションを有効にします」リンクをクリックします。

「作成」をクリックします。

ワークスペースを選択します。

パラメータを設定します。

追加設定

上記の設定で不足している設定を行います。
まず、起動スケジュール設定のタイムゾーンを日本にして、月~金のみ起動するように設定します。

共有リソースの「スケジュール」を開き、「Scheduled-StartVM」をクリックします。

タイムゾーンを「日本」、週のうち月~金にチェックを入れます。

デフォルトで有効になっているシャットダウンスケジュール設定「Scheduled-StopVM」は、CPUの稼働率を考慮しないので、CPU稼働率に応じてシャットダウンする「Schedule_AutoStop_CreateAlert_Parent」を設定します。

まず、「共有リソース」>「スケジュール」から「Scheduled-StopVM」を開いて、スケジュールを無効に設定します。

次に、「Schedule_AutoStop_CreateAlart_Parent」を開きます。

「有効」にして、シャットダウン時間等を設定します。

2つ目のシャットダウンスケジュールを追加します。

プロセスオートメーションの「Runbook」から「AutoStop_CreateAlert_Parent」を開き、リソースの「スケジュール」を開きます。

0時に動作する追加のスケジュールを設定します。

アクションパラメータを設定します。

20時と0時の2つのシャットダウンスケジュールができました。

シャットダウン条件は「変数」画面でパラメータを設定します。
ここでは、「External_AutoStop_TimeWindow」(条件の分析時間)をデフォルトの6時間から15分に変更しています。

Microsoft Defender ATPのセットアップ

Windows 10 Enterprise E5もしくはMicrosoft 365 Enterprise E5では、Microsoft Defender ATPが利用できます。
Defender ATPをセットアップしてみたいと思います。

まず、セキュリティセンターへアクセスします。
https://securitycenter.windows.com/

Azure ADアカウントでログインして、ウィザードの通りに進めると、ダッシュボードが表示されます。

Defender ATPに、端末をオンボード(登録)します。
オンボードの手順は複数あり、「ローカルスクリプト実行」「グループポリシー」「MDM/Intune」などからできますが、今回はローカルスクリプトを実行します。
プルダウンより「local script」を選択して「DOWNLOAD」をクリックします。

ダウンロードしたファイルを展開して、管理者として実行します。

コマンドプロンプトで「y」を押して、オンボード完了です。

データが表示されるようになりました。

【おまけ】
Defender ATPは日本語化されておらず、全て英語表記なのですが、人によっては英語に抵抗を感じる方もいるようですので、なんちゃって日本語化します。
Google Chromeでセキュリティセンターにアクセスして、画面右上部にでてくる「翻訳」ボタンをクリックします。

Google翻訳がページ丸ごと翻訳してくれるので、まるで日本語対応になったように表示されます。(よく見ると微妙な訳もありますが)

WVDにOffice365ProPlusをインストール

Windows Virtual Desktopには、Officeはそのままではインストールできません。
Office365ProPlusのインストール方法です。

Office展開ツールページにアクセスして、「Download」ボタンをクリックします。

https://www.microsoft.com/en-us/download/details.aspx?id=49117

ライセンス同意にチェックを入れて「Continue」をクリックします。

ファイルを解凍し、設定ファイルを生成します

コマンドラインからSetup.exeを実行します。
Setup.exe /configure configuration.xml

インストール完了

Windows Virtual Desktop(WVD)プレビューを構築

Windows Virtual Desktopプレビューを構築してみます。

WVDへの接続は専用クライアントソフトからとWebクライアントからの2通りがあります

専用クライアントソフトは下記よりダウンロードできます。
https://go.microsoft.com/fwlink/?linkid=2068602

Webクライアントアクセスは下記より接続できます。
https://rdweb.wvd.microsoft.com/webclient