365クラウド

社内のセキュリティ担当者が実際に日々行う業務についてです。
Defender ATPは、高機能なだけではなく、わかりやすい画面構成や運用をサポートしてくれる機能があります。
どんなに検知率が高いツールであったとしても、使いにくかったり難しかったりするツールでは意味がありません。
運用しやすいツールであることは、セキュリティを常に安全に保つための最重要ポイントだと思います。

セキュリティセンタートップ画面

Defender ATPを開くと、まずはじめに開くのがこの画面になります。
現在のセキュリティの全体像が把握できるようになっています。

アクティブなアラート

ネットワークの過去30日間のアクティブなアラートの合計数をタイルから確認できます。 アラートは [New] (新規) と [In progress] (処理中) に分類されます。

各グループは、さらにアラートの重大度レベルに分類されます。 各アラート リング内に表示されているアラート数をクリックすると、そのカテゴリのキューを整理したビューが表示されます ([New] (新規) または [In progress] (処理中))。各行には、1 つのアラート重大度カテゴリと、アラートの短い説明が含まれます。 通知をクリックすると、その詳細ビューが表示されます。

危険な端末

このタイルでは、アクティブなアラートが最も多く発生しているコンピューターの一覧が表示されます。 コンピューター名の横の円の中に、各コンピューターの合計アラート数が表示され、タイルの右端に重大度レベルごとの内訳が表示されます (重大度の縦線をポイントするとラベルが表示されます)。

コンピューターの名前をクリックすると、コンピューターに関する詳しい情報が表示されます。 詳細については、「 Microsoft Defender Advanced Threat Protection マシン」の一覧でコンピューターを調査します。
タイル上部の [Machines list] (コンピューター一覧) をクリックして、アクティブなアラート数で並べ替えられた [Machines list] (コンピューター一覧) に直接移動することもできます。

センサーの正常性

[センサーの正常性] タイルには、個々のコンピューターの機能に関する情報が表示され、MICROSOFT Defender ATP サービスにセンサーデータを提供できます。 注意が必要なコンピューターの数が報告され、問題があるコンピューターを識別するのに役立ちます。

サービスに正しく報告していないコンピューターの数に関する情報を提供するステータス インジケーターが 2 つあります。

• 正しく構成されていません。これらのコンピューターでは、一部が MICROSOFT Defender ATP サービスにセンサーデータを報告しており、修正する必要がある構成エラーが発生している可能性があります。
• 非アクティブ-過去1ヶ月以内に MICROSOFT Defender ATP サービスへの報告が停止されているコンピューター。

いずれかのグループをクリックすると、選択内容に基づいてフィルター処理されたコンピューターの一覧が表示されます。

サービスの正常性

[Service health] (サービスの正常性) タイルは、サービスがアクティブであるかどうかや、問題があるかどうかを通知します。

端末の日々の推移

[Daily machines reporting] (日付ごとの報告があるコンピューター) タイルでは、過去 30 日間の日付ごとに報告しているコンピューターの数を表す棒グラフが表示されます。 グラフでそれぞれの棒をポイントすると、日付ごとに報告があるコンピューターの正確な数を確認できます。

アクティブな自動調査

[アクティブな自動調査] タイルでは、ネットワーク内の過去30日間の自動調査の全体的な数を表示できます。 調査は保留中のアクションにグループ化され、コンピューターを待機して実行されます。

自動調査の統計

このタイルには、過去30日間の自動調査に関連する統計が表示されます。 完了した調査の数、正常に修復された調査の数、調査が開始されるまでの期間の平均、通知の修復にかかる平均時間、調査対象の通知の数を示すことができます。一般的な手動調査から保存されたオートメーションの時間数。

自動調査、再 mif された調査、およびアラートをクリックして、適切なカテゴリでフィルター処理された [調査] ページに移動することができます。 これにより、コンテキストの調査の詳細が表示されます。

危険な状態のユーザー

タイルには、最もアクティブなアラートと、高、中、低のアラートで発生したアラートの数が表示されたユーザーアカウントの一覧が表示されます。

ユーザー アカウントの詳細を表示するには、ユーザー アカウントをクリックします。

マイクロソフトは2019年6月30日より脅威及び脆弱性管理 Threat & Vulnerability Management(TVM)を正式リリースしました。
TVMはMicrosoft Defender ATPの機能の１つで、PCの脆弱性と設定の誤りを発見して、管理・修正を行います。

• 脆弱性及び設定ミスをリアルタイムで発見
• 脅威インテリジェンスに基づいた緊急度と重要度をスコア化
• Microsoft Intuneと連携して、検知から修復までを自動化
• 脆弱性検知はマイクロソフト製品のみならず、サードパーティアプリケーションも対応

ダッシュボード画面では、脆弱性を可視化してグラフィカルにわかりやすく表示します。特に、脅威インテリジェンスに基づいてスコア化されており、“何が”“どれくらい”危険なのかが一目でわかります。

セキュリティの推奨事項画面では、脆弱性や設定ミスの個々の項目についてスコア化して、スコアの高い順（＝リスクの高い順）に一覧表示します。セキュリティ管理者は上から順に対応するだけで、効率良くセキュリティ対策を行うことができます。

修復管理画面では、脆弱性の修正対応状況を管理することができます。現場担当者へ対応依頼を行ったまま、作業洩れするようなことはありません。

ソフトウェアインベントリ画面では、PCにインストールされているソフトウェアの一覧が管理できます。

脆弱性管理画面では、共通脆弱性識別子（CVE）をベースに脆弱性を管理することができます。

マイクロソフトではあまりTVMの告知を行っていないようですが、Windows OSでは標準コンポーネント（＝追加インストール不要）で、リアルタイムで脆弱性と設定ミスを一元管理できるため、セキュリティを常に最新状態に保つための非常に強力なツールです。

関連コンテンツ

・Microsoft Defender ATPとは

Microsoft Defender ATPとは、Windows 10 Enterprise E5で利用できるクラウドベースのセキュリティ分析サービスです。

従来、Microsoft製のセキュリティソフトでは心許ないということで、トレンドマイクロやシマンテックといったサードパーティ製のセキュリティソフトを追加でインストールしていたケースが多く見受けられましたが、Defender ATPはマイクロソフトのファーストパーティとしての本気度を感じずにはいられないサービスとなっています。

Defender ATPの特徴

１）統合管理
２）脅威インテリジェンス
３）セキュリティスコア
４）EDR

１）統合管理

従来、Microsoft製セキュリティソフトの管理といえば、グループポリシーかIntuneで設定を管理することしかできませんでした。
Defender ATP Security Centerでは、管理デバイスを統合管理することができます。クラウド上のダッシュボードに、ネットワーク全体から各端末の詳細に至るまでセキュリティ状況をグラフィカルに可視化することができます。

また、PCにウィルス感染の疑いがある場合には、管理画面からウィルススキャンを実行することもできます。

２）脅威インテリジェンス

Windows OSは10億台以上の端末にインストールされており、OSの世界シェアNo.1です。そのため、膨大なセキュリティ情報がMicrosoft社に集約されています。それらの膨大なセキュリティ情報をMicrosoftのセキュリティスペシャリストが24時間365日監視してDefender ATPに反映してくれるのです。

脅威インテリジェンス情報を提供しているサービスは他社にもありますが、このコストで利用でき、さらにスコア化してエンドユーザにもわかりやすく提供してくれるサービスは他にはありません。

３）セキュリティスコア

セキュリティ状況をスコア化する機能です。
ネットワーク全体の安全度を確認したり、各PCの安全度を確認するのに、とてもわかりやすく数値化してくれます。
当然、そのスコアの詳細情報も提供されますので、重要度・緊急度の高い項目から対応していくことで、セキュリティリスクを効率的に下げることが可能です。
また、スコア化する項目は、端末の脆弱性や設定ミスなど多岐に渡っており、Defender ATPが特定のカテゴリのみで威力を発揮するものではなく、システム・ネットワーク全体としてセキュリティレベルを向上させることが可能であることがわかります。

４）EDR

EDRとはEndpoint Detection and Responseの略で、エンドポイントの検知と対応という意味になります。
情報セキュリティに100%はあり得ません。
情報セキュリティに対する考え方は、攻撃を防御するだけではなく、被害が発生した際に、いかに早く・適切に対応できるかが求められるように変わってきています。
Defender ATPのEDR機能は、早期の検知と万が一被害に遭った際に迅速に原因調査と影響の範囲を把握することができます。

その他のメリット

Defender ATPは、Windows OSの標準コンポーネントとして提供されており、新たにソフトウェアを追加インストールする手間はありません。また、OSのアップデートと共にDefender ATPの機能も自動的に拡充されています。OSメーカーであるMicrosoftならではのメリットといえます。

関連コンテンツ

・Microsoft Defender ATPの使い方～その１～
・Microsoft Defender ATPの自動調査・自動修復
・Microsoft Defender ATP 脆弱性管理
・Microsoft Defender ATPの価格