Defender for Endpoint 統合を有効にする

Microsoft Defender for Cloud は、Microsoft Defender for Endpoint とネイティブに統合 され、Defender for Endpoint と Defender for Cloud の Defender 脆弱性管理機能を提供します。

• Defender for Cloud で Defender for Servers プランを有効にすると、Defender for Endpoint 統合が既定で有効になります。
• 統合により、Defender for Endpoint エージェントがマシンに自動的にデプロイされます。

この記事では、必要に応じて Defender for Endpoint 統合を手動で有効にする方法について説明します。

前提条件

サブスクリプションで有効にする

Defender for Servers プランを有効にすると、Defender for Endpoint 統合が既定で有効になります。 サブスクリプションで Defender for Endpoint 統合を無効にした場合は、必要に応じて、次の手順を使用して手動で再度有効にすることができます。

1. Defender for Cloud で [環境設定] を選択し、Defender for Endpoint 統合をデプロイするマシンを含むサブスクリプションを選択します。

2. [Settings and monitoring]\(設定と監視\)>[Endpoint Protection] で、[状態] 列の設定を [オン] に切り替えます。

   

3. [続行] と [保存] を選んで設定を保存します。

4. Defender for Endpoint センサーは、選択したサブスクリプション内のすべての Windows および Linux マシンにデプロイされます。

   オンボードには最大で 1 時間かかることがあります。 Defender for Cloud は、以前の Defender for Endpoint インストールを検出し、Defender for Cloud と統合するように再構成します。

Linux マシンへのインストールを確認する

次の手順に従って、Linux マシンへの Defender for Endpoint センサーのインストールを確認します。

1. 各マシンで次のシェル コマンドを実行します: mdatp health。 Microsoft Defender for Endpoint がインストールされている場合は、その正常性状態が表示されます。

   healthy : true

   licensed: true

2. さらに、Azure portal で、Linux マシンに MDE.Linux という新しい Azure 拡張機能があることを確認できます。

Windows Server 2016/2012 R2 で Defender for Endpoint 統合ソリューションを有効にする

Defender for Servers が有効になっていて、2022 年春より前に存在していたサブスクリプションで Defender for Endpoint の統合が有効になっている場合は、サブスクリプションで Windows Server 2016 または Windows Server 2012 R2 を実行しているマシンの統合ソリューションの統合を手動で有効にする必要がある場合があります。

1. Defender for Cloud で、[環境設定] を選び、Defender for Endpoint を受け取る Windows マシンでサブスクリプションを選びます。

2. Defender for Servers プランの [監視対象] 列で、[設定] を選択します。

   Endpoint Protection コンポーネントの状態が [Partial]\(部分的\) で、コンポーネントの一部が有効ではありません。

3. [修正] を選択すると、有効になっていないコンポーネントが表示されます。

   

4. [不足しているコンポーネント]>[Unified solution]\(統合ソリューション\) で、[有効化] を選択して、Microsoft Defender for Cloud に接続されている Windows Server 2012 R2 および 2016 マシンに Defender for Endpoint エージェントを自動的にインストールします。

   

5. 変更内容を保存するには、ページの上部にある [保存] を選択します。 [設定と監視] ページで、[続行] を選択します。

   Defender for Cloud は、既存のマシンと新しいマシンを Defender for Endpoint にオンボードします。

   テナントの最初のサブスクリプションで Defender for Endpoint を構成する場合、オンボードには最大 12 時間かかる場合があります。 統合が初めて有効になった後に作成された新しいマシンとサブスクリプションの場合、オンボードには最大 1 時間かかります。

Linux マシンで有効にする (プラン/統合が有効)

Defender for Servers が既に有効になっていて、2021 年夏より前に存在していたサブスクリプションで Defender for Endpoint 統合がオンになっている場合は、Linux マシンの統合を手動で有効にする必要がある場合があります。

1. Defender for Cloud で、[環境設定] を選び、Defender for Endpoint を受け取る Linux マシンを含むサブスクリプションを選びます。

2. Defender for Server プランの [監視対象] 列で、[設定] を選択します。

   エンドポイント保護コンポーネントの状態は [部分] で、コンポーネントの一部が有効ではないことを意味します。

3. [修正] を選択すると、有効になっていないコンポーネントが表示されます。

   

4. [不足しているコンポーネント]>[Linux machines]\(Linux マシン\) で、[有効] を選択します。

   

5. 変更内容を保存するには、ページの上部にある [保存] を選択します。 [設定と監視] ページで、[続行] を選択します。

   • Defender for Cloud は、Linux マシンを Defender for Endpoint にオンボードします。
   • Defender for Cloud は、Linux マシン上の以前の Defender for Endpoint インストールを検出し、Defender for Cloud と統合するように再構成します。
   • テナントの最初のサブスクリプションで Defender for Endpoint を構成する場合、オンボードには最大 12 時間かかる場合があります。 統合を有効にした後に作成された新しいマシンの場合、オンボードには最大 1 時間かかります。

6. Linux マシンへの Defender for Endpoint センサーのインストールを確認するには、次のシェル コマンドを各マシンで実行します。

   mdatp health

   Microsoft Defender for Endpoint がインストールされている場合は、その正常性状態が表示されます。

   healthy : true

   licensed: true

7. Azure portal で、Linux マシンに MDE.Linux という新しい Azure 拡張機能があることを確認できます。

複数のサブスクリプションで PowerShell との統合を有効にする

Linux マシンまたは Windows Server 2012 R2 および 2016 と MDE Unified ソリューションの Defender for Servers の統合を複数のサブスクリプションで有効にするには、 Defender for Cloud GitHub リポジトリのいずれかの PowerShell スクリプトを使用できます。

• このスクリプトを使用して、Windows Server 2012 R2 または Windows Server 2016 で Defender for Endpoint の最新の統合ソリューションとの統合を有効にします
• このスクリプトを使用して、Linux マシンで Defender for Endpoint 統合を有効にする

Linux の自動更新を管理する

Windows では、Defender for Endpoint バージョンの更新プログラムは、継続的なナレッジ ベース更新プログラムを介して提供されます。 Linux では、Defender for Endpoint パッケージを更新する必要があります。

• MDE.Linux 拡張機能と共に Defender for Servers を使用する場合は、Microsoft Defender for Endpoint の自動更新が既定で有効になります。

• バージョン更新プログラムを手動で管理する場合は、マシンで自動更新を無効にすることができます。 これを行うには、MDE.Linux 拡張機能を使用して、オンボードされたマシンに対して次のタグを追加します。

  • タグ名: ExcludeMdeAutoUpdate
  • タグ値: true

この構成は、 MDE.Linux 拡張機能が自動更新を開始する Azure VM と Azure Arc マシンでサポートされています。

統合を大規模に有効にする

Defender for Endpoint 統合は、提供されている REST API バージョン 2022-05-01 を通じて大規模に有効にすることができます。 詳しくは、API ドキュメントを参照してください。

Defender for Endpoint 統合を有効にする PUT 要求の要求本文の例を次に示します。

URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Defender for Endpoint のデプロイの状態を追跡する

Defender for Endpoint デプロイ状態ブックを使用して Azure VM と Azure Arc 対応 VM の Defender for Endpoint デプロイの状態を追跡できます。 対話型ブックには、Microsoft Defender for Endpoint 拡張機能のデプロイ状態を示す環境内のマシンの概要が表示されます。

Microsoft Defender ポータルにアクセスする

1. ポータルにアクセスするための適切なアクセス許可があることを確認します。

2. 匿名トラフィックをブロックしているプロキシまたはファイアウォールがあるかどうかを確認します。

   • Defender for Endpoint センサーはシステム コンテキストから接続するため、匿名トラフィックを許可する必要があります。
   • Microsoft Defender ポータルへのアクセスが妨げられていないことを確認するには、 プロキシ サーバー内のサービス URL へのアクセスを有効にします。

3. Microsoft Defender ポータルを開きます。 Microsoft Defender ポータルでのインシデントとアラートについて説明します。

検出テストを実行する

デバイスのオンボードおよびレポート サービスを確認するには、EDR 検出テストの手順に従います。

Defender for Endpoint をマシンから削除する

Defender for Endpoint ソリューションをマシンから削除するには:

1. 統合を無効にするには、Defender for Cloud >[環境設定] で、関連するマシンを含むサブスクリプションを選択します。
2. [Defender プラン] ページで、[設定と監視] を選びます。
3. Endpoint Protection コンポーネントの状態で、[オフ] を選んで、サブスクリプションに対して Microsoft Defender for Endpoint との統合を無効にします。
4. [続行] と [保存] を選んで設定を保存します。
5. コンピューターから MDE.Windows または MDE.Linux 拡張機能を削除します。
6. Microsoft Defender for Endpoint サービスからデバイスをオフボードします。

Defender for Endpoint 統合タグを削除する

Defender for Cloud を通じて Windows デバイスがオンボードされると、Defender for Endpoint によって Defender for Cloud に関連するレジストリ値が作成されます。 これらのレジストリ タグはオフボード後もデバイスに残り、機能には影響しません。

これらのタグを完全に削除するには、次の手順に従います。 Linux では、システムはこの情報を内部に格納し、レジストリに表示しません。

1. [スタート] を選択し、「regedit」と入力し、Enter キーを押してレジストリ エディターを開きます。

2. 左側のウィンドウで、次の操作を行います。

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. これらの値の名前が存在する場合は削除します。

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId