Defender for Endpoint で高度な機能を構成する

適用対象: Microsoft Defender for Endpoint Plan 2

環境内のMicrosoftセキュリティ製品に応じて、エンドポイントの高度な機能に対して次のDefenderを構成できます。

高度な機能を有効にする

Microsoft Defender ポータルで高度な機能を有効または無効にするには:

Microsoft Defender ポータルに移動し、サインインします。
ナビゲーションウィンドウで、設定>Endpoints>Advanced 機能を選択します。
構成する高度な機能を選択し、 設定を [オン ] と [ オフ] の間で切り替えます。
[環境設定の保存] を選択します。

次の高度な機能を使用して、潜在的に悪意のあるファイルから保護を強化し、セキュリティ調査中により良い分析情報を得ることができます。

スコープ付きデバイスグループ内への関連付けを制限する

スコープ付きデバイスグループの関連付け設定は、ローカル SOC 操作で、アクセスできるデバイスグループのみにアラートの関連付けを制限するシナリオに使用できます。スコープ付きデバイスグループの関連付け設定が有効になっている場合、クロスデバイスグループが 1 つのインシデントと見なされなくなったアラートで構成されるインシデント。ローカル SOC は、関連するデバイスグループのいずれかにアクセスできるため、インシデントに対してアクションを実行できます。ただし、グローバル SOC では、1 つのインシデントではなく、デバイスグループごとに複数の異なるインシデントが表示されます。この設定を有効にすることは、organization全体のインシデント相関関係の利点を上回る場合を除き、お勧めしません。

注:

この設定を変更すると、将来のアラートの相関関係にのみ影響します。
デバイスグループの作成は、Defender for Endpoint プラン 1 とプラン 2 でサポートされています。

ブロックモードで EDR を有効にする

ブロックモードのエンドポイントの検出と応答 (EDR) では、Microsoft Defender Antivirus がパッシブモードで実行されている場合でも、悪意のあるアーティファクトから保護できます。ブロックモードの EDR が有効になっていると、デバイスで検出された悪意のある成果物または動作がブロックされます。ブロックモードの EDR は、侵害後に検出された悪意のある成果物を修復するためにバックグラウンドで機能します。

アラートを自動的に解決する

自動解決アラート設定を有効にして、脅威が見つからなかったか、検出された脅威が修復された場所のアラートを自動的に解決します。アラートを自動解決したくない場合は、機能を手動でオフにする必要があります。

注:

自動解決アクションの結果は、デバイスで検出されたアクティブなアラートに基づくデバイスリスクレベルの計算に影響する可能性があります。
セキュリティ運用アナリストがアラートの状態を "進行中" または "解決済み" に手動で設定した場合、自動解決機能によって上書きされることはありません。

ファイルの許可またはブロックの設定を構成する

この機能を使用するには、組織が次の要件を満たしている必要があります。

Microsoft Defenderウイルス対策は、アクティブなマルウェア対策ソリューションです。
クラウドベースの保護が有効になっています。

この機能を使用すると、ネットワーク内の有害なファイルをブロックできます。ファイルをブロックすると、組織内のデバイスでファイルの読み取り、書き込み、または実行を行うことはできません。

許可またはブロックファイルをオンにするには:

Microsoft Defender ポータルで、設定>エンドポイント>全般>高度な機能>ファイルを許可またはブロックする を選択します。
設定を [オン] と [オフ] の間で切り替えます。

a.
ページの下部にある [ 設定の保存] を選択します。
この機能を有効にすると、ファイルのプロファイルページの [インジケーターの追加] タブからファイルをブロックできます。

重複する可能性のあるデバイスレコードを非表示にする

この機能をオンにすると、重複するデバイスレコードが非表示になり、各デバイスの最も正確なデータのみが表示されます。重複はさまざまな理由で発生する可能性があります。たとえば、デバイス検出によってネットワークがスキャンされ、既にオンボードされているか、最近オフボードされたデバイスが見つかる場合があります。

この機能は、ホスト名と最後に表示された時刻によって重複を照合します。デバイスインベントリ、Microsoft Defender 脆弱性の管理ページ、およびコンピューターデータのパブリック API から非表示になります。最も正確なレコードは表示されます。重複項目は、グローバル検索、高度なハンティング、アラート、インシデントページに引き続き表示されます。

この設定は既定でオンであり、テナント全体に適用されます。重複するレコードを表示するには、機能を手動でオフにします。

カスタムネットワークインジケーターを構成する

カスタムネットワークインジケーターを有効にすると、IP アドレス、ドメイン、または URL のインジケーターを作成できます。このインジケーターは、カスタムインジケーターリストに基づいて許可されるかブロックされるかを決定します。

この機能を使用するには、デバイスがバージョン 1709 以降Windows 10実行されているか、Windows 11されている必要があります。

詳細については、「インジケーターの概要」を参照してください。

注:

ネットワーク保護では、Defender for Endpoint データについて選択した場所の外部にある可能性のある拠点でリクエストを処理するレピュテーションサービスを利用します。

改ざん防止を有効にする

サイバー攻撃中に、攻撃者はデバイスのウイルス対策保護などのセキュリティ機能を無効にしようとする可能性があります。これにより、データへのアクセス、マルウェアのインストール、ID とデバイスの悪用が行われます。改ざん防止Microsoft Defenderウイルス対策をロックし、アプリやその他の方法によってセキュリティ設定が変更されないようにします。

改ざん防止の構成方法など、詳細については、「改ざん防止によるセキュリティ設定の保護」を参照してください。

ユーザーの詳細の表示を有効にする

Microsoft Entra IDに格納されているユーザーの詳細を表示できるように、ユーザーの詳細の表示機能を有効にします。詳細には、ユーザーアカウントエンティティを調査するときのユーザーの画像、名前、タイトル、部署の情報が含まれます。ユーザーアカウント情報は、次のビューで確認できます。

アラートキュー
[デバイスの詳細] ページ

詳細については、「ユーザーアカウントを調査する」を参照してください。

Skype for Business統合の構成

Skype for Business統合を有効にすると、Skype for Business、電子メール、または電話を使用してユーザーと通信できます。 Skype for Business統合は、ユーザーと通信してリスクを軽減する必要がある場合に便利です。

注:

デバイスがネットワークから分離されている場合は、Outlook と Skype の通信を有効にして、ユーザーがネットワークから切断されている間にユーザーとの通信を許可するポップアップが表示されます。 OutlookおよびSkype通信オプションは、デバイスが分離モードの場合にのみ適用されます。

Microsoft Defender for Cloud Apps を統合のために構成する

Microsoft Defender for Cloud Apps統合を有効にすると、エンドポイント信号のDefenderがMicrosoft Defender for Cloud Appsに転送され、クラウドアプリケーションの使用状況をより詳細に把握できるようになります。転送されたデータは、Defender for Cloud Apps データと同じ場所に格納および処理されます。

詳細については、「Microsoft Defender for Cloud Appsの概要」を参照してください。

Web コンテンツのフィルター処理を構成する

不要なコンテンツを含む Web サイトへのアクセスをブロックし、すべてのドメインにわたる Web アクティビティを追跡します。 Microsoft Defender for Endpointセキュリティベースラインをデプロイする前に、ネットワーク保護がブロックモードになっていることを確認します。ブロックする Web コンテンツカテゴリを指定するには、 Web コンテンツフィルタリングポリシーを作成します。

統合監査ログを有効にする

Microsoft Purview で検索すると、セキュリティとコンプライアンスチームが重要な監査ログイベントデータを表示して、分析情報を得てユーザーアクティビティを調査できます。監査されたアクティビティがユーザーまたは管理者によって実行されるたびに、監査レコードが生成され、organizationの Microsoft 365 監査ログに格納されます。詳細については、「監査ログを検索する」を参照してください。

デバイスの検出を有効にする

余分なアプライアンスや面倒なプロセスの変更を必要とせずに、会社のネットワークに接続されている管理されていないデバイスを見つけるのに役立ちます。オンボードデバイスを使用すると、ネットワーク内のアンマネージドデバイスを見つけ、脆弱性とリスクを評価できます。詳細については、「デバイスの検出」を参照してください。

注:

いつでもフィルタを適用して、管理対象外のデバイスをデバイスインベントリリストから除外できます。 API クエリのオンボーディングステータス列を使用して、管理されていないデバイスを除外することもできます。

検疫済みファイルをダウンロードする

検疫されたファイルを安全で準拠した場所にバックアップして、検疫から直接ダウンロードできるようにします。 [ ファイルのダウンロード ] ボタンは、常にファイルページで使用できます。既定では、検疫済みファイルのダウンロード設定が有効になっています。検疫済みファイルをダウンロードするための要件

Defender ポータルでデバイスをオンボードする際は、簡素化された接続を既定にする

この設定により、合理化された接続が、サポートされているオペレーティングシステムの既定のオンボードパッケージになります。標準パッケージは引き続き使用できますが、オンボードページのドロップダウンから選択する必要があります。

ライブ応答を有効にする

適切なアクセス許可を持つユーザーがデバイスでライブ応答セッションを開始できるように、この機能を有効にします。

ライブ応答のロールを割り当てるには、「ロールの作成と管理」を参照してください。

サーバーのライブ応答を有効にする

適切なアクセス許可を持つユーザーがサーバーでライブ応答セッションを開始できるように、この機能を有効にします。

ロールの割り当ての詳細については、「ロールの作成と管理」を参照してください。

ライブ応答で署名されていないスクリプトの実行を許可する

この機能を有効にすると、ライブ応答セッションで署名されていないスクリプトを実行できます。

自動攻撃の中断を構成する

自動攻撃中断は、攻撃者が制御している侵害済み資産を封じ込めることで、攻撃を阻止します。これにより、水平方向の移動が早期に制限され、攻撃によるコストと生産性の損失が削減されます。セキュリティ運用チームは、問題の調査、修正、資産のオンライン復帰を完全に制御できます。詳細については、「Microsoft Defenderでの自動攻撃の中断」を参照してください。

エンドポイントアラート共有設定は、エンドポイントセキュリティアラートとそのトリアージ状態をMicrosoft Purview ポータルに送信します。これらのアラートを活用して、インサイダーリスク管理ポリシーを改善し、損害が発生する前に内部リスクに対処することができます。転送されたデータは、Office 365 データと同じ場所に格納されます。

インサイダーリスク管理設定でセキュリティポリシー違反インジケーターを設定した後、エンドポイントのDefenderは、該当するユーザーのインサイダーリスク管理とアラートを共有します。

Microsoft Intune接続を構成する

エンドポイントのDefenderをMicrosoft Intuneと統合して、デバイスのリスクベースの条件付きアクセスを有効にすることができます。条件付きアクセスを構成するときに、エンドポイントのDefenderは、ポリシーの適用に役立つデバイスデータを Intune と共有します。

重要

この統合は、Intune とエンドポイントのDefenderの両方で有効にする必要があります。詳細な手順については、「エンドポイントのDefenderで条件付きアクセスを構成する」を参照してください。

この機能には、次のものが必要です。

Enterprise Mobility + Security E3および Windows E5 (または E5 Microsoft 365 Enterprise) のライセンステナント
Intune で管理されている Windows デバイスがMicrosoft Entra 参加済みである、アクティブな Microsoft Intune 環境。

認証済みテレメトリを有効にする

認証されたテレメトリ を有効に して、ダッシュボードへのテレメトリのなりすましを防ぐことができます。

プレビュー機能を有効にする

Defender for Endpoint プレビューリリースの新機能について説明します。

プレビューエクスペリエンスを有効にして、今後の機能をお試しください。機能が一般公開される前に、全体的なエクスペリエンスを向上させるためにフィードバックを提供できる、今後の機能にアクセスできます。

プレビュー機能が既に有効になっている場合は、メインのDefender XDR設定から設定を管理します。

詳細については、「Microsoft Defender XDR プレビュー機能」を参照してください。

エンドポイント攻撃通知の構成

エンドポイント攻撃通知により、Microsoft はエンドポイントデータ内の重大な脅威を検出できるようになります。脅威は緊急性と影響によってランク付けされます。

電子メール、コラボレーション、ID、クラウドアプリ、エンドポイントにまたがる脅威など、Microsoft Defender XDR全体でプロアクティブなハンティングを行う場合は、Microsoft Defender Experts の使用を開始します。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-29