Microsoft Defender for Endpointで認証済みネットワーク スキャンを設定する

Overview

認証されたネットワーク スキャンを使用すると、スイッチ、ルーター、WLAN コントローラー、ファイアウォール、VPN ゲートウェイなどのネットワーク インフラストラクチャ デバイスを検出して評価するためのエージェントレスの方法が提供されます。 この記事では、前提条件、スキャナーのインストールと登録、および認証されたネットワーク スキャンを設定し、デバイス インベントリで検出されたデバイスを表示するために必要な構成手順について説明します。

詳細については、「 認証済みネットワーク スキャン」を参照してください。

注:

Windows 認証済みスキャンは、2025 年 12 月 18 日から非推奨になりました。 詳細については、「 Windows 認証済みスキャンの非推奨に関する FAQ」を参照してください。

前提条件

スキャン ジョブを構成するには、Defender の [セキュリティ設定の管理 ] アクセス許可が必要です。 詳細については、「ロールベースのアクセス制御のロールの作成と管理」を参照してください。

サポート対象のデバイス

SNMPv2 または SNMPv3 クエリに応答するネットワーク デバイスは、認証されたネットワーク スキャンによって検出できます。 ベンダーやオペレーティング システムに関係なく、スキャン用にすべてのネットワーク デバイスを構成することをお勧めします。

スキャナーでサポートされている Windows バージョン

スキャナーは、Windows 10バージョン 1903 および Windows Server バージョン 1903 以降でサポートされています。 詳細については、「Windows 10バージョン 1903 および Windows Server バージョン 1903」を参照してください。

注:

テナントごとに最大 40 個のスキャナーをインストールできます。

スキャナー デバイスを選択する

認証されたネットワーク スキャンを実行するデバイスを選択するには:

• スキャンを計画しているネットワーク デバイスの管理ポートへのネットワーク接続を持つ Defender for Endpoint オンボード デバイス (クライアントまたはサーバー) を決定します。

• Defender for Endpoint スキャン デバイスとターゲット ネットワーク デバイス (ファイアウォールなど) 間の SNMP トラフィックを許可します。

• 脆弱性を評価するネットワーク デバイスを決定します (たとえば、Cisco スイッチや Palo Alto Networks ファイアウォールなど)。

• すべての構成済みネットワーク デバイスで SNMP の読み取り専用が有効になっていることを確認して、Defender for Endpoint スキャン デバイスが構成されたネットワーク デバイスに対してクエリを実行できるようにします。 SNMP write は、この機能の適切な機能には必要ありません。

• スキャンするネットワーク デバイス (またはこれらのデバイスが展開されているサブネット) の IP アドレスを取得します。

• ネットワーク デバイスの SNMP 資格情報 (コミュニティ文字列、noAuthNoPriv、authNoPriv、authPriv など) を取得します。 新しいスキャン ジョブを構成するときに資格情報を指定する必要があります。

• プロキシ クライアントの構成: Defender for Endpoint デバイス プロキシ要件以外の追加構成は必要ありません。

• スキャナーの認証と正常な動作を許可するには、次のドメイン/URL を追加します。

  • *.security.microsoft.com
  • *.mdiot.microsoft.com
  • login.microsoftonline.com
  • *.blob.core.windows.net/networkscannerstable/*

  注:

  許可されるデータ収集の Defender for Endpoint ドキュメントリストに、すべての URL が指定されているわけではありません。

スキャナーをインストールする

指定されたデバイスにスキャナーをインストールするには:

1. Microsoft Defender ポータルで、設定>デバイス検出>認証済みスキャンを選択します。

2. スキャナーをダウンロードし、指定された Defender for Endpoint スキャン デバイスにインストールします。

   

スキャナーを登録する

指定されたスキャン デバイスまたはその他のデバイス (個人用クライアント デバイスなど) で登録を完了できます。

ユーザーがサインインするアカウントと、サインイン プロセスを完了するために使用するデバイスは、デバイスがMicrosoft Defender for Endpointにオンボードされているのと同じテナントに存在する必要があります。

スキャナーの登録プロセスを完了するには:

1. コマンド ラインに表示される URL をコピーして従い、指定されたインストール コードを使用して登録プロセスを完了します。 URL をコピーするには、コマンド プロンプトの設定を変更する必要がある場合があります。

2. コードを入力し、 Defender の [セキュリティ設定の管理 ] アクセス許可を持つ Microsoft アカウントを使用してサインインします。

完了すると、サインインしたことを確認するメッセージが表示されます。

注:

更新プログラムを検索するスケジュールされたタスクは、定期的に実行されます。 タスクを実行すると、クライアント デバイス上のスキャナーのバージョンが、更新場所のエージェントのバージョンと比較されます。 更新プログラムの場所は、ネットワーク共有やインターネットなど、Windows が更新プログラムを検索する場所です。

2 つのバージョン間に違いがある場合は、更新プロセスによって、違いがあり更新する必要がある、ローカル コンピューター上のファイルが特定されます。 必要な更新が決定されると、スケジュールされたタスクによって更新プログラムのダウンロードが開始されます。

新しい認証済みネットワーク スキャンを構成する

新しい認証済みネットワーク スキャンを構成するには、次の手順を実行します。

1. Microsoft Defender ポータルで、設定>デバイス検出>認証済みスキャンを選択します。

2. [ 新しいスキャンの追加] を選択し、[ ネットワーク デバイス認証スキャン ] を選択し、[ 次へ] を選択します。

   

3. スキャンをアクティブ化するかどうかを選択します。

4. [スキャン名] を入力します。

5. [ スキャン デバイス]: ネットワーク デバイスの スキャンに使用するオンボード デバイスを選択します。

6. ターゲット (範囲): スキャンする IP アドレス範囲またはホスト名を入力します。 アドレスを入力するか、CSV ファイルをインポートできます。 ファイルをインポートすると、手動で追加されたアドレスがオーバーライドされます。

7. [ スキャン間隔]: 既定では、スキャンは 4 時間ごとに実行されます。 [ 繰り返さない] を選択して、スキャン間隔を変更することも、1 回だけ実行することもできます。

8. 認証方法を選択します。

   [資格情報の提供に Azure KeyVault を使用:] を選択できます。Azure KeyVault で資格情報を管理している場合は、Azure KeyVault の URL と、スキャン デバイスがアクセスする Azure KeyVault シークレット名を入力して、資格情報を提供できます。 シークレットの値は、次の表に示すように、選択した認証方法によって異なります。

   認証方法	Azure Key Vault のシークレット値
   AuthPriv	ユーザー名;AuthPassword;PrivPassword
   AuthNoPriv	ユーザー名;AuthPassword
   CommunityString	CommunityString

9. [ 次へ ] を選択して、テスト スキャンを実行またはスキップします。

10. [ 次へ ] を選択して設定を確認し、[ 送信 ] を選択して新しいネットワーク デバイス認証スキャンを作成します。

注:

ネットワーク デバイス インベントリ内のデバイスの重複を防ぐには、各 IP アドレスが複数のスキャン デバイスで 1 回だけ構成されていることを確認します。

ネットワーク デバイスをスキャンして追加する

セットアップ プロセス中に、1 回限りのテスト スキャンを実行して、次のことを確認できます。

• Defender for Endpoint スキャン デバイスと構成されたターゲット ネットワーク デバイスの間に接続があります。
• 構成された SNMP 資格情報が正しい。

各スキャン デバイスは、最大 1,500 個の正常な IP アドレス スキャンをサポートできます。 たとえば、100 個の IP アドレスのみが正常な結果を返す 10 の異なるサブネットをスキャンする場合、同じスキャン デバイス上の他のサブネットからさらに 1,400 個の IP アドレスをスキャンできます。

スキャンする IP アドレス範囲/サブネットが複数ある場合、テスト スキャンの結果が表示されるまで数分かかります。 テスト スキャンは、最大 1,024 個のアドレスで使用できます。

テスト スキャンの結果が表示されたら、定期的なスキャンに含めるデバイスを選択できます。 スキャン結果の表示をスキップすると、構成されているすべての IP アドレスがネットワーク デバイス認証スキャンに追加されます (デバイスの応答に関係なく)。 スキャン結果をエクスポートすることもできます。

デバイス インベントリ内のネットワーク デバイスを表示する

新しく検出されたデバイスは、新しい [ ネットワーク デバイス ] タブの [デバイス インベントリ] の下に表示されます。デバイスが更新されるまで、スキャン ジョブを追加してから最大 2 時間かかる場合があります。