ローカルスクリプトでWindowsデバイスをオンボードしてMicrosoft Defender for Endpointに

  • 適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

ローカルスクリプトを使って、最大10台の対応WindowsクライアントまたはWindows ServerデバイスをMicrosoft Defender for Endpointにオンボーディングできます。 この方法は、より大きな環境向けのデプロイ方法を選択する前にサービスを評価するのに役立ちます。 始める前に前提条件を確認し、スクリプトをダウンロードして実行し、サンプル収集の設定、オンボーディングの検証、またはオフボードデバイスの検証を行ってください。

重要

ローカルスクリプトは10台以内のデバイスで使うべきです。 本番環境での展開では、グループポリシー、Microsoft Configuration Manager、Microsoft Intune、またはDefender展開ツールなどのスケーラブルな方法を選択してください。 利用可能な方法を比較するには、Windowsクライアントデバイス向けのIdentify Defender for Endpointアーキテクチャおよびデプロイメントメソッドおよびその他のデプロイメントオプションをご覧ください。

注:

Defender 展開ツールを使用して、Windows および Linux デバイスに Defender エンドポイント セキュリティを展開できます。 このツールは、デプロイ プロセスを合理化する軽量で自己更新型のアプリケーションです。 詳細については、「Defender 展開ツールを使用して Windows デバイスにMicrosoft Defenderエンドポイント セキュリティを展開する」および「Defender 展開ツール(プレビュー)を使用してLinux デバイスにMicrosoft Defenderエンドポイント セキュリティを展開する」を参照してください。

前提条件

ローカルスクリプトを持つオンボードデバイス

Microsoft Defenderポータルからオンボーディングパッケージをダウンロードし、各デバイスで付属のスクリプトを実行します。

  1. https://security.microsoft.com/securitysettings/endpoints/onboardingのMicrosoft Defenderポータルのオンボーディングページで、パッケージを設定してください:

    1. ステップ1:展開を開始するオペレーティングシステムを選択する:デバイスのオペレーティングシステムのバージョングループを選択します。 Windowsを選択しないでください。そうすると別のDefenderデプロイメントツールのワークフローが始まります。
    2. 接続 タイプ が利用可能であれば、環境に合った接続方法を選択してください:
      • 標準:Defender for Endpointサービスの全URLセットを使用します。
      • ストリームラインド:より小さく統合されたサービスURLセットを使用します。 詳細は、接続性を最適化したオンボード デバイスを参照してください。
    3. デプロイメント方法では、ローカルスクリプト(最大10台のデバイス用)を選択してください。
    4. オンボーディング パッケージのダウンロード を選択して GatewayWindowsDefenderATPOnboardingPackage.zip をダウンロードしてください。

  2. デバイス上の .zip ファイルの内容をデスクトップなど見つけやすい場所に抽出します。 パッケージには WindowsDefenderATPLocalOnboardingScript.cmdが含まれています。

  3. 管理者としてコマンド プロンプト ウィンドウを開きます。

  4. WindowsDefenderATPLocalOnboardingScript.cmdが入っているフォルダに行ってください。 例えば、次のコマンドはデスクトップフォルダに移動します:

    if exist "%OneDrive%\Desktop" (cd /d "%OneDrive%\Desktop") else if exist "%USERPROFILE%\Desktop" cd /d "%USERPROFILE%\Desktop"

  5. オンボーディングスクリプトを実行してください:

    WindowsDefenderATPLocalOnboardingScript.cmd

  6. スクリプトに 「続けるには任意のキーを押して...」と表示されたら、どのキーを押しても終了します。

サンプル コレクション設定を構成する

Defender for Endpointは、アナリストが詳細な分析のためにファイルを要求した際にオンボーディングデバイスからファイルを収集できます。 AllowSampleCollectionレジストリ値は、デバイスが以下の要求に応答できるかどうかを制御します:

  • 0 (00000000):装置からのサンプル共有は許可しないで。
  • 1 (00000001):デバイスからすべてのファイルタイプの共有を許可してください。 レジストリ値が存在しない場合、この設定がデフォルトになります。

手動で設定するには、以下のテキストをメモ帳にコピーし、 AllowSampleCollection 値を設定し、拡張子 .reg で保存してデバイス上で実行します。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection]
"AllowSampleCollection"=dword:00000000

デバイスの登録を確認する

スクリプト実行後、デバイスがDefender for Endpointに報告されているか確認します:

  1. https://security.microsoft.com/machines?category=all-devicesのMicrosoft Defenderポータルのデバイスインベントリページで、デバイスを検索してください。

  2. デバイスページを開き、デバイスがオンボーディングされているか、センサーの健康状態が有効かを確認しましょう。

デバイスは通常、数分以内にインベントリに現れます。 ネットワーク接続やデバイスの状態が報告の遅延を引き起こすことがあります。

テストアラートを生成し、エンドツーエンドのレポートを確認するには、「 新たにオンボーディングしたデバイスで検出テストを実行する」をご覧ください。 デバイスが期待通りに表示または報告しない場合は、「Microsoft Defender for Endpointのオンボーディング問題のトラブルシューティング」をご覧ください。

ローカル スクリプトを使用してデバイスをオフボードする

オフボーディングパッケージはダウンロード後7日で期限切れです。 Defender for Endpointは期限切れのパッケージを拒否し、有効期限がパッケージファイル名に表示されます。

重要

オンボーディングとオフボーディングのスクリプトを同じデバイスで同時に実行しないでください。 他のスクリプトを実行する前に、オンボーディングかオフボーディングを完了してください。

ローカルスクリプトを使ってデバイスをオフボードするには、オフボーディングパッケージをダウンロードして実行してください:

  1. https://security.microsoft.com/securitysettings/endpoints/offboardingのMicrosoft Defenderポータルのオフボーディングページで、パッケージを設定してください:

    1. デバイスのオペレーティングシステムバージョングループを選択します。 Windowsを選択しないでください。そうすると別のDefenderデプロイメントツールのワークフローが始まります。
    2. デプロイメント方法では、ローカルスクリプト(最大10台のデバイス用)を選択してください。
    3. パッケージの ダウンロードを選択し、確認ダイアログで ダウンロード を選択します。

  2. 端末の WindowsDefenderATPOffboardingPackage_valid_until_YYYY-MM-DD.zip をデスクトップなど見つけやすい場所に抽出します。 パッケージには WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmdが含まれています。

  3. 管理者としてコマンド プロンプト ウィンドウを開きます。

  4. 離脱スクリプトが入っているフォルダに行ってください。 例えば、次のコマンドはデスクトップフォルダに移動します:

    if exist "%OneDrive%\Desktop" (cd /d "%OneDrive%\Desktop") else if exist "%USERPROFILE%\Desktop" cd /d "%USERPROFILE%\Desktop"

  5. オフボーディングスクリプトを実行してください:

    WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd

重要

オフボーディングは、デバイスが新たな検出データ、脆弱性データ、セキュリティデータをDefender for Endpointに送信するのを防ぎます。 過去データは、構成された保持期間が期限切れになるまで Defender ポータルに残ります。 データがない場合、デバイスプロファイルは最大180日間デバイスインベントリに残ります。 詳細は「 オフボードデバイス」をご覧ください。

関連するコンテンツ

  • 最終更新: