デバイスに対して対処アクションを実行する

重要

この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここで提供されるいかなる情報に関して、明示または黙示を問わず、いかなる保証も行いません。

検出された攻撃に迅速に対応するには、デバイスを分離するか、調査パッケージを収集します。 デバイスでアクションを実行した後、アクション センターでアクティビティの詳細をチェックできます。

応答アクションは、特定のデバイス ページの上部に沿って実行され、次のものが含まれます。

• タグの管理
• 自動調査を開始する
• ライブ応答セッションを開始する
• 調査パッケージを取得
• ウイルス対策スキャンの実行
• アプリの実行を制限する
• デバイスの分離
• デバイスを封じ込める
• 脅威のエキスパートに相談する
• アクション センター

注:

Defender for Endpoint Plan 1 には、次の手動応答アクションのみが含まれています。

• ウイルス対策スキャンの実行
• デバイスの分離
• ファイルを停止して隔離する
• ファイルのブロックまたは許可するインジケーターの追加

Microsoft Defender for Businessには、現時点では "ファイルの停止と検疫" アクションは含まれていません。

この記事で説明するすべての応答アクションを使用するには、サブスクリプションに Defender for Endpoint Plan 2 が含まれている必要があります。

デバイス ページは、次のいずれかのビューから見つけることができます。

• アラート キュー: アラート キューからデバイス アイコンの横にあるデバイス名を選択します。
• デバイスの一覧: デバイスの一覧からデバイス名の見出しを選択します。
• 検索ボックス: ドロップダウン メニューから [ デバイス ] を選択し、デバイス名を入力します。

重要

各応答アクションの可用性とサポートについては、「Microsoft Defender for Endpointの最小要件」に記載されているサポートされている最小オペレーティング システム要件を参照してください。

影響の大きい一部の対応アクションは、価値の高い資産に対して制限され、潜在的なビジネスの中断を防ぐことができます。 詳細については、「価値の 高い資産に対する応答アクションを制限する」を参照してください。

タグの管理

タグを追加または管理して、論理グループの所属を作成します。 デバイス タグはネットワークの適切なマッピングをサポートし、さまざまなタグを添付してコンテキストをキャプチャし、インシデントの一部として動的リストを作成できるようにします。

デバイスタグ付けの詳細については、「デバイス タグの作成と管理」を参照してください。

自動調査を開始する

必要に応じて、デバイスで新しい自動調査を開始できます。 調査の実行中、デバイスからの他のアラートは、完了するまでその調査に追加されます。 同じ脅威が他のデバイスに表示される場合は、それらのデバイスも追加されます。

自動調査の詳細については、「 自動調査の概要」を参照してください。

ライブ応答セッションを開始する

ライブ応答を使用すると、リモート シェル接続を介してデバイスにすぐにアクセスできます。 ライブ応答を使用すると、詳細な調査作業を行い、脅威をリアルタイムで封じ込めるために迅速なアクションを実行できます。

ライブ応答は、フォレンジック データの収集、スクリプトの実行、分析のための疑わしいエンティティの送信、脅威の修正、新たな脅威の検出に役立ちます。

ライブ応答の詳細については、「ライブ応答を 使用してデバイス上のエンティティを調査する」を参照してください。

注:

ライブ応答は、デバイスのオンボード時に定義された選択的応答アクションに基づいて、 価値の高い資産としてオンボードされたデバイスで制限できます。 ライブ応答をデバイスで使用できない場合は、デバイスの選択的応答アクションの構成を確認します。

デバイスから調査パッケージを収集する

調査または応答プロセスの一環として、デバイスから調査パッケージを収集できます。 調査パッケージを収集することで、デバイスの現在の状態を特定し、攻撃者が使用するツールと手法をさらに理解できます。

パッケージ (zip 形式のフォルダー) をダウンロードし、デバイスで発生したイベントを調査するには、次の手順に従います。

1. デバイス ページの上部にある応答アクションの行から [ 調査パッケージの収集 ] を選択します。

2. このアクションを実行する理由をテキスト ボックスに指定します。 [確認] を選択します。

3. zip ファイルがダウンロードされます。

または、次の代替手順を使用します。

1. デバイス ページの応答アクション セクションから [ 調査パッケージの収集 ] を選択します。

   

2. コメントを追加し、[ 確認] を選択します。

   

3. デバイス ページの応答アクション セクションから [ アクション センター ] を選択します。

   

4. 使用可能なパッケージ コレクション パッケージ を選択して、コレクション パッケージをダウンロードします。

   

   注:

   ターゲット デバイスのバッテリ レベルが低い場合、または従量制課金接続を使用している場合、調査パッケージの収集が失敗する可能性があります。

Windows デバイスの調査パッケージの内容

Windows デバイスの場合、パッケージには次の表で説明するフォルダーが含まれています。

フォルダー	説明
Autoruns	既知の自動開始エントリ ポイント (ASEP) のレジストリの内容を表す一連のファイルが含まれています。これは、デバイスでの攻撃者の永続化を識別するのに役立ちます。 レジストリ キーが見つからない場合、ファイルには次のメッセージが含まれます。 "ERROR: システムは、指定されたレジストリ キーまたは値を見つけることができませんでした。
インストールされているプログラム	この .CSV ファイルには、デバイスに現在インストールされている内容を識別するのに役立つインストールされているプログラムの一覧が含まれています。 詳細については、「 Win32_Product クラス」を参照してください。
ネットワーク接続	このフォルダーには、疑わしい URL、攻撃者のコマンドと制御 (C&C) インフラストラクチャ、任意の横移動、またはリモート接続への接続を識別するのに役立つ、接続情報に関連する一連のデータ ポイントが含まれています。 - ActiveNetConnections.txt: プロトコルの統計情報と現在の TCP/IP ネットワーク接続を表示します。 プロセスによって行われた疑わしい接続を検索できます。 - Arp.txt: すべてのインターフェイスの現在のアドレス解決プロトコル (ARP) キャッシュ テーブルを表示します。 ARP キャッシュは、侵害されたネットワーク上の他のホストや、内部攻撃の実行に使用される可能性があるネットワーク上の疑わしいシステムを明らかにすることができます。 - DnsCache.txt: DNS クライアント リゾルバー キャッシュの内容を表示します。これには、ローカル ホスト ファイルから事前に読み込まれたエントリと、コンピューターによって解決された名前クエリの最近取得したリソース レコードの両方が含まれます。 DNS キャッシュを確認すると、疑わしい接続を特定するのに役立ちます。 - IpConfig.txt: すべてのアダプターの完全な TCP/IP 構成を表示します。 アダプターは、インストールされているネットワーク アダプターなどの物理インターフェイス、またはダイヤルアップ接続などの論理インターフェイスを表すことができます。 - FirewallExecutionLog.txt そして pfirewall.log pfirewall.log ファイルは、%windir%\system32\logfiles\firewall\pfirewall.logに存在する必要があります。 調査パッケージに含まれています。 ファイアウォール ログ ファイルの作成の詳細については、「セキュリティ ログを 使用して Windows ファイアウォールを構成する」を参照してください。
プリフェッチ ファイル	Windows プリフェッチ ファイルは、アプリケーションの起動プロセスを高速化するように設計されています。 これを使用して、システムで最近使用されたすべてのファイルを追跡し、削除される可能性があるがプリフェッチ ファイルの一覧で見つけることができるアプリケーションのトレースを見つけることができます。 - Prefetch folder: %SystemRoot%\Prefetchからのプリフェッチ ファイルのコピーが含まれます。 プリフェッチ ファイル ビューアーをダウンロードしてプリフェッチ ファイルを表示することをお勧めします。 - PrefetchFilesList.txt: プリフェッチ フォルダーへのコピーエラーが発生したかどうかを追跡するために使用できる、コピーされたすべてのファイルの一覧が含まれます。
プロセス	デバイスで現在実行されているプロセスを一覧表示する .CSV ファイルが含まれています。 このプロセス リストは、疑わしいプロセスとその状態を識別するときに役立ちます。
スケジュールされたタスク	スケジュールされたタスクを一覧表示する .CSV ファイルが含まれています。これにより、選択したデバイスで自動的に実行されるルーチンを識別して、自動的に実行するように設定された不審なコードを検索できます。
セキュリティ イベント ログ	サインインまたはサインアウト アクティビティのレコード、またはシステムの監査ポリシーで指定されたその他のセキュリティ関連イベントを含むセキュリティ イベント ログが含まれます。 イベント ビューアーを使用してイベント ログ ファイルを開きます。
サービス	サービスとその状態を一覧表示する .CSV ファイルが含まれています。
Windows Server Message Block (SMB) sessions (Windows サーバー メッセージ ブロック (SMB) セッション)	ファイル、プリンター、シリアル ポートへの共有アクセスと、ネットワーク上のノード間のその他の通信を一覧表示します。 SMB セッション データを確認すると、データ流出や横移動を識別するのに役立ちます。 SMBInboundSessionsとSMBOutboundSessionのファイルが含まれます。 セッション (受信または送信) がない場合は、SMB セッションが見つからないことを示すテキスト ファイルが表示されます。
システム情報	OS バージョンやネットワーク カードなどのシステム情報を一覧表示する SystemInformation.txt ファイルが含まれています。
一時ディレクトリ	システム内のすべてのユーザーの %Temp% にあるファイルを一覧表示する一連のテキスト ファイルが含まれます。 これにより、攻撃者がシステム上でドロップした疑わしいファイルを追跡するのに役立ちます。 ファイルに "指定されたパスが見つかりません" というメッセージがファイルに含まれている場合は、このユーザーの一時ディレクトリがないことを意味し、ユーザーがシステムにサインインしなかったことが原因である可能性があります。
ユーザーとグループ	グループとそのメンバーを表すファイルの一覧を提供します。
WdSupportLogs	MpCmdRunLog.txtとMPSupportFiles.cabを提供します。 このフォルダーは、2020 年 2 月の更新プログラムのロールアップ以降がインストールされたバージョン 1709 以降のWindows 10でのみ作成されます。 - Win10 1709 (RS3) ビルド 16299.1717: KB4537816 - Win10 1803 (RS4) ビルド 17134.1345: KB4537795 - Win10 1809 (RS5) ビルド 17763.1075: KB4537818 - Win10 1903/1909 (19h1/19h2) ビルド番号 18362.693 および 18363.693: KB4535996
CollectionSummaryReport.xls	CollectionSummaryReport.xls ファイルは、調査パッケージ コレクションの概要です。 これには、データ ポイントの一覧、データの抽出に使用されるコマンド、実行状態、エラーが発生した場合のエラー コードが含まれます。 このレポートを使用して、パッケージに予想されるすべてのデータが含まれているかどうかを追跡し、エラーがあるかどうかを特定できます。

Mac および Linux デバイスの調査パッケージの内容

次の表に、Mac および Linux デバイス用のコレクション パッケージの内容を示します。

オブジェクト	macOS	Linux
アプリケーション	インストールされているすべてのアプリケーションの一覧	該当なし
ディスク ボリューム	- 空き領域の量 - マウントされているすべてのディスク ボリュームの一覧 - すべてのパーティションの一覧	- 空き領域の量 - マウントされているすべてのディスク ボリュームの一覧 - すべてのパーティションの一覧
ファイル	これらのファイルを使用して、対応するプロセスを含むすべての開いているファイルの一覧	これらのファイルを使用して、対応するプロセスを含むすべての開いているファイルの一覧
履歴	シェル履歴	該当なし
カーネル モジュール	読み込まれたすべてのモジュール	該当なし
ネットワーク接続	- アクティブな接続 - アクティブなリッスン接続 - ARP テーブル - ファイアウォール規則 - インターフェイスの構成 - プロキシ設定 - VPN 設定	- アクティブな接続 - アクティブなリッスン接続 - ARP テーブル - ファイアウォール規則 - IP リスト - プロキシ設定
プロセス	実行中のすべてのプロセスの一覧	実行中のすべてのプロセスの一覧
サービスとスケジュールされたタスク	-証明 書 - 構成プロファイル - ハードウェア情報	- CPU の詳細 - ハードウェア情報 - オペレーティング システム情報
システム セキュリティ情報	- 拡張ファームウェア インターフェイス (EFI) の整合性情報 - ファイアウォールの状態 - マルウェア除去ツール (MRT) 情報 - システム整合性保護 (SIP) の状態	該当なし
ユーザーとグループ	- サインイン履歴 -Sudoers	- サインイン履歴 -Sudoers

デバイスMicrosoft Defenderウイルス対策スキャンを実行する

調査または応答プロセスの一環として、ウイルス対策スキャンをリモートで開始して、侵害されたデバイスに存在する可能性のあるマルウェアを特定して修復できます。

重要

• クライアント バージョン 101.98.84 以降の macOS および Linux では、リモート ウイルス対策スキャン アクションがサポートされています。 ライブ応答を使用してアクションを実行することもできます。 ライブ応答の詳細については、「ライブ応答を使用してデバイス上のエンティティを調査する」を参照してください。
• Microsoft Defenderウイルス対策スキャンは、Microsoft Defenderウイルス対策がアクティブなウイルス対策ソリューションであるかどうかに関係なく、他のウイルス対策ソリューションと共に実行できます。 Microsoft Defenderウイルス対策はパッシブ モードにすることができます。 詳細については、「Microsoft Defender ウイルス対策の互換性」を参照してください。

[ ウイルス対策スキャンの実行] を選択したら、実行するスキャンの種類 (クイックまたはフル) を選択し、スキャンを確認する前にコメントを追加します。

アクション センターにウイルス対策スキャンの詳細が表示されます。 デバイスタイムラインには、デバイスでスキャン アクションが送信されたことを示す新しいイベントが含まれています。 Microsoft Defenderウイルス対策アラートには、スキャン中に検出されたすべての脅威が表示されます。

注:

Defender for Endpoint 応答アクションを使用してスキャンをトリガーする場合、Microsoft Defenderウイルス対策ScanAvgCPULoadFactor値が適用され、スキャンの CPU への影響が制限されます。 ScanAvgCPULoadFactorが構成されていない場合、既定値はスキャン中の最大 CPU 負荷 50% の制限です。 詳細については、「Microsoft Defender ウイルス対策の高度なスキャンの種類を構成する」を参照してください。

アプリの実行を制限する

悪意のあるプロセスを停止して攻撃を封じ込めるだけでなく、デバイスをロックダウンし、悪意がある可能性のあるプログラムのその後の実行を防ぐこともできます。

重要

• アプリの実行を制限する機能は、Windows 10バージョン 1709 以降、Windows 11、Windows Server 2019 以降のデバイスで使用できます。
• 組織で Microsoft Defender ウイルス対策を使用している場合は、アプリの実行を制限できます。
• アプリケーションの実行を制限するには、Windows Defenderアプリケーション制御のコード整合性ポリシーの形式と署名の要件を満たす必要があります。 詳細については、「 コード整合性ポリシーの形式と署名」を参照してください。

アプリの実行を制限するために、コード整合性ポリシーが適用されます。 このポリシーでは、ファイルがMicrosoft発行された証明書によって署名されている場合にのみファイルを実行できます。 Microsoft署名されたファイルのみを許可すると、攻撃者が侵害されたデバイスを制御するのを防ぐことができます。

注:

アプリケーションの制限をいつでも実行から取り消すことが可能です。 デバイス ページのボタンが [ アプリの制限の削除] と表示され、[アプリの 制限の削除] を選択し、コメントを入力して、[ 確認] を選択します。

[デバイス] ページで [ アプリの実行を制限 する] を選択したら、コメントを入力して [確認] を選択 します。 アクション センターにはアプリの制限の詳細が表示され、デバイスのタイムラインには新しいイベントが含まれています。

アプリの制限に関するデバイス ユーザー通知

アプリが制限されている場合、アプリの実行が制限されていることをユーザーに通知するために、次の通知が表示されます。

注:

通知は、Windows Server 2016 および Windows Server 2012 R2 では使用できません。

ネットワークからデバイスを分離する

攻撃の重大度とデバイスの機密性に応じて、デバイスをネットワークから分離できます。 デバイスの分離は、攻撃者が侵害されたデバイスを制御し、データ流出や横移動などのさらなるアクティビティを実行するのを防ぐのに役立ちます。

留意すべき重要な点:

• Web プロキシ (プロキシ自動構成 (PAC)、WPAD、静的/直接プロキシ構成を含む) を使用する環境では、デバイスがネットワーク分離から回復できない可能性があります。 このような場合は、選択的分離を使用します。 選択的分離を使用する場合、このシナリオを回避するために除外設定は必要ありません。

• ネットワークからのデバイスの分離は、クライアント バージョン 101.98.84 以降の macOS でサポートされています。 ライブ応答を使用してアクションを実行することもできます。 ライブ応答の詳細については、「ライブ応答を使用してデバイス上のエンティティを調査する」を参照してください。

• 完全な分離は、Windows 11、Windows 10、バージョン 1703 以降、Windows Server 2012 R2 以降、および Azure Stack HCI OS バージョン 23H2 以降を実行しているデバイスで使用できます。

• Defender がサポートされているすべての Windows オペレーティング システム、macOS、および Linux のサポート対象バージョンでパッシブ モードで実行されている場合、デバイスをネットワークから分離することがサポートされます。

• 「システム要件」に記載されているLinuxで、サポートされているすべてのMicrosoft Defender for Endpointでデバイス分離機能を使用できます。 次の前提条件が有効になっていることを確認します。

  • iptables
  • ip6tables
  • 5.x 未満のカーネル バージョンでは CONFIG_NETFILTER、CONFIG_IP_NF_IPTABLES、CONFIG_IP_NF_MATCH_OWNER を備え、5.x カーネル以降では CONFIG_NETFILTER_XT_MATCH_OWNER を備えた Linux カーネル。

• 選択的分離は、Windows 11、バージョン 1703 以降、Windows 10 Windows Server 2012 R2 以降、Azure Stack HCI OS、バージョン 23H2 以降、macOS で実行されているデバイスで使用できます。 選択的分離の詳細については、「 分離の除外」を参照してください。

• デバイスを分離する場合は、特定のプロセスと宛先のみが許可されます。 そのため、完全な VPN トンネルの背後にあるデバイスは、デバイスが分離された後、Microsoft Defender for Endpoint クラウド サービスに到達できません。 Microsoft Defender for EndpointとMicrosoft Defenderウイルス対策クラウドベースの保護関連トラフィックには、スプリット トンネリング VPN を使用することをお勧めします。

• この機能では、VPN 接続がサポートされています。

• 少なくとも Active remediation actions ロールが割り当てられている必要があります。 詳細については、「 ロールの作成と管理」を参照してください。

• デバイス グループの設定に基づいてデバイスにアクセスできる必要があります。 詳細については、「 デバイス グループの作成と管理」を参照してください。

• メール、メッセージング アプリケーション、macOS と Linux 分離の両方のその他のアプリケーションなどの除外はサポートされていません。

• 分離されたデバイスは、管理者が分離されたデバイスに新しい iptable 規則を変更または追加すると、分離から削除されます。

• Microsoft Hyper-Vで実行されているサーバーを分離すると、サーバーのすべての子仮想マシンへのネットワーク トラフィックがブロックされます。

• デバイスの分離は、7 日後に自動的に解除されます。

デバイス分離機能は、侵害されたデバイスをネットワークから切断し、Defender for Endpoint サービスへの接続を維持しながら、デバイスの監視を継続します。 バージョン 1709 以降Windows 10では、選択的分離を使用して、ネットワーク分離レベルをより詳細に制御できます。 Outlook とMicrosoft Teams接続を有効にすることもできます。

注:

デバイスは、いつでもネットワークに再接続できます。 デバイス ページのボタンが [ 分離からの解放] と表示されます。 この段階では、デバイスの分離と同じ手順を実行できます。

分離アクションの送信時にデバイスが非アクティブまたはオフラインの場合、Microsoft Defender for Endpointは最大 3 日間、分離の適用を再試行します。 その時点でデバイスが再接続しない場合、分離は再試行されません。管理者は、デバイスがアクティブになった後に分離アクションを再実行する必要があります。

[デバイス] ページで [ デバイスの分離 ] を選択したら、コメントを入力して [確認] を選択 します。 アクション センターにはスキャン情報が表示され、デバイスのタイムラインには新しいイベントが含まれます。

注:

通知は、Windows 以外のプラットフォームでは使用できません。

デバイスの分離 - 自動攻撃の中断 (プレビュー)

組織内のデバイスが侵害される可能性がある場合、Microsoft Defender for Endpointは自動攻撃の中断の一環として自動的に分離できます。 自動分離は、組織へのさらなる影響を軽減し、攻撃者の横移動を制限するのに役立ちます。 また、データ流出とランサムウェアの拡散を防ぐのにも役立ちます。 デバイスが自動的に分離される場合:

• 侵害されたデバイスがネットワークから切断され、organizationへのさらなる影響のリスクが軽減されます。
• デバイスは、Microsoft Defender for Endpoint サービスへの接続を保持し、デバイスの監視を続行します。

注:

自動デバイス分離は、Microsoft Defender for Endpointによってオンボードおよび管理されているエンド ユーザー ワークステーションでのみ機能します。

デバイスを手動で分離するには、「 ネットワークからデバイスを分離する」を参照してください。

自動デバイス分離アクションを表示する

自動分離が適用されたら、Defender ポータルでアクションとその状態を確認できます。

• 関連するインシデントを開き、[ アクティビティ ] タブを確認します。

  

• 影響を受けるデバイス ページを開き、デバイスの分離状態を確認します。

• アクション センターを開き、アクション履歴と現在の状態を確認します。

  

セーフガードとビジネスへの影響

自動デバイス分離をデプロイまたは応答する前に、次の点を考慮してください。

• スコープ付きアクション: 分離は、環境全体ではなく、インシデントに関係する特定のデバイスを対象とします。
• 時間制限付き分離: 定義された時間枠の後に分離が自動的に元に戻されます。 調査と修復の完了後に、隔離を早めに解除することもできます。
• 顧客制御: セキュリティオペレーターは、インシデント コンテキストを確認し、安全な場合に分離を解放するなど、フォローアップアクションを実行できます。

分離の除外と自動攻撃の中断の除外

自動デバイス分離に関連する除外には、次の 2 種類があります。

• 選択的分離の除外: 分離されたデバイスでアクセス可能なプロセスとネットワークの宛先を定義します。 これらは、デバイスが分離されている間に重要な通信 (管理ツールやビジネス アプリケーションなど) を保持するために使用します。 選択的分離の除外は、Windows 11、Windows 10 バージョン 1703 以降、Windows Server 2012 R2 以降、Azure Stack HCI OS、バージョン 23H2 以降、および macOS で実行されているデバイスで使用できます。
• 自動攻撃中断の除外: 自動中断アクションから完全に除外されるデバイスまたはエンティティを定義します。 これらを使用して、ビジネスクリティカルなデバイスが最初に分離されないようにします。

注:

分離除外ルールが定義されている場合、自動攻撃中断では既定で選択的分離が使用され、構成された分離除外規則に従ってデバイスが分離されます。

自動的に分離されたデバイスがビジネスクリティカルな場合は、迅速な検証と利害関係者の調整に優先順位を付けます。 適切な封じ込めと是正の手順が実施されていることを確認した後でのみ、隔離を解除してください。 自動攻撃中断の除外を使用して、中断を許容できないデバイスを分離する可能性を減らすことを検討してください。

自動デバイス分離を確認する

自動デバイス分離が適用されたことを確認するには、次の手順に従います。

1. Microsoft Defender ポータルで、自動攻撃の中断によって生成された関連インシデントを開きます。
2. [アクティビティ] タブまたは [アクション センター] を確認して、適用された自動応答アクションを確認します。
3. 対象のデバイスのページを開き、デバイスの状態が隔離されていることを示していることを確認します。
   • 分離アクションが失敗または保留中と表示される場合は、デバイスがオンラインであり、Defender for Endpoint に報告できることを確認します。 デバイス アクション パネル (使用可能な場合) から再試行できます。
   • デバイスが分離しているように見えても調査データを収集できない場合は、そのデバイスとシナリオで調査方法 (ライブ応答など) がサポートされていることを確認します。 また、ネットワーク構成で必要なサービス エンドポイントに到達可能であることを確認します。 詳細については、「ライブ応答を使用してデバイス上のエンティティを調査する」と「Microsoft Defender for Endpointでデバイス接続とプロキシ設定を構成する」を参照してください。

デバイスを自動分離から解放する

リスクを軽減し、調査を完了した後、いつでもデバイスを封じ込めから解放できます。

1. [ デバイス インベントリ ] からデバイスを選択するか、デバイス ページを開きます。
2. アクション メニュー から [分離から解放 ] を選択します。

デバイスのリリースの詳細については、「 ネットワークからデバイスを分離する」を参照してください。

注:

分離が予期せず削除された場合は、時間制限付きの元に戻すウィンドウが環境内に適用されるかどうかをチェックし、リリース イベントのアクション履歴を確認します。

デバイスを自動デバイス隔離から除外する

ポリシーアプリケーションや除外機能を使えば、特定のデバイスを自動デバイス隔離から除外できます。 新しいデバイスタグを作成するか既存のタグを使い、除外したいデバイスにタグを割り当て、ポリシーアプリケーションでそのタグの Isolateデバイス アクションを除外するように設定してください。

詳細な指示については、 ポリシーの適用と除外事項(プレビュー)をご覧ください。

自動攻撃妨害が除外されたデバイスを侵害者と認識した場合、 Isolateデバイス アクションは実行されません。 アクションはアクションセンターでス キップ 状態のまま表示され、デバイスは通常通り動作します。

重要

もし侵害・攻撃シミュレーション(BAS)やその他のセキュリティ検証を行う場合は、一時的に デバイス 隔離アクションを除外したほうがよいでしょう。 この除外により、シミュレートされた攻撃は影響を受けたデバイスを自動的に隔離することなく進行できます。

デバイスを分離から強制的に解放する

デバイス分離機能は、外部の脅威からデバイスを保護するための非常に貴重なツールです。 ただし、分離されたデバイスが応答しなくなる場合があります。

分離されたデバイスを強制的に分離から解放するために実行できる、分離されたデバイスが応答しなくなった場合のダウンロード可能なスクリプトがあります。 スクリプトは、Microsoft Defender ポータルのデバイス ページのリンクから入手できます。

注:

• Security Center のアクセス許可のセキュリティ設定を管理者と管理すると、デバイスを分離から強制的に解放できます。
• スクリプトは、特定のデバイスに対してのみ有効です。
• スクリプトの有効期限は 3 日間です。

デバイスを分離から強制的に解放するには:

1. [デバイス] ページで、[スクリプトのダウンロード] を選択して、アクション メニュー からデバイスを分離から強制的に解放 します。

2. 右側のウィンドウで、[ スクリプトのダウンロード] を選択します。

強制デバイスリリースの最小要件

デバイスを分離から強制的に解放するには、デバイスが Windows を実行している必要があります。 次のバージョンがサポートされています。

• KB5023773 を適用した Windows 10 バージョン 21H2 および 22H2。
• KB5023774 適用済みの Windows 11 バージョン 21H2 のすべてのエディション。
• Windows 11 バージョン 22H2 のすべてのエディション（KB5023778 を含む）

隔離時のデバイス ユーザーへの通知

デバイスが分離されると、次の通知が表示され、デバイスがネットワークから分離されていることをユーザーに通知します。

注:

通知は、Windows 以外のプラットフォームでは使用できません。

重要な資産を含む

重要な資産が侵害され、脅威を拡散するために使用される場合、拡散を停止するのは困難な場合があります。 生産性の低下を避けるためには、これらの設備を稼働し続ける必要があります。 エンドポイントのDefenderには、詳細なレベルで重要な資産が含まれています。 対象資産の稼働を維持したまま、攻撃の拡大を阻止します。

自動攻撃の中断により、エンドポイントのDefenderは悪意のあるデバイスにフラグを設定し、その役割を識別します。 次に、一致するポリシーを適用して、重要な資産を含めます。 この包含は、特定のポートと通信方向のみをブロックします。

重要な資産は、デバイスまたは IP ページの 重要な資産 タグによって識別できます。 デバイス封じ込めでは、ドメイン コントローラー、DNS サーバー、DHCP サーバーなどの重要な資産の種類がサポートされています。

ネットワークからデバイスを格納する

侵害されている、またはその可能性がある管理対象外のデバイスが見つかった場合は、そのデバイスをネットワークから隔離できます。 これにより、攻撃が横方向に移動するのを防ぐことができます。 デバイスを隔離すると、Defender for Endpoint にオンボードされているすべてのデバイスが、そのデバイスとの間の受信通信と送信通信をブロックします。 コンテインメントは、セキュリティ アナリストが脅威を検出して修正している間に、近くのデバイスを保護するのに役立ちます。

注:

「隔離された」デバイスとの受信通信と送信通信をブロックすることは、Microsoft Defender for Endpoint にオンボード済みの Windows 10 および Windows Server 2019 以降のデバイスでサポートされています。

デバイスが含まれると、含まれているデバイスの脅威をできるだけ早く調査して修復することをお勧めします。 修復後、デバイスの隔離を解除する必要があります。

デバイスを隔離する方法

[デバイス インベントリ] ページからデバイスを格納するには、次の手順に従います。

1. [ デバイス インベントリ ] ページに移動し、含めるデバイスを選択します。

2. デバイス ポップアップの [アクション] メニューから [デバイスを 含む ] を選択します。

   

3. [デバイスを含む] ポップアップでコメントを入力し、[確認] を選択 します。

   

重要

多数のデバイスが含まれていると、Defender for Endpoint オンボード デバイスでパフォーマンスの問題が発生する可能性があります。 問題を回避するために、Microsoft では、任意の時点で最大 100 台のデバイスを含めてお勧めします。

デバイス ページからデバイスを隔離する

デバイス ページで、アクション バーの [デバイスを隔離する] を選択して、デバイスを隔離することもできます。

注:

新たに追加されたデバイスの詳細が、Microsoft Defender for Endpoint にオンボードされているデバイスに届くまで、最大 5 分かかる場合があります。

重要

• 包含デバイスが IP アドレスを変更した場合、オンボードされているすべてのデバイスMicrosoft Defender for Endpointこれを認識し、新しい IP アドレスとの通信のブロックを開始します。 元の IP アドレスがブロックされなくなりました (これらの変更が表示されるまでに最大 5 分かかる場合があります)。
• 含まれているデバイスの IP がネットワーク上の別のデバイスで使用されている場合は、高度なハンティングへのリンク (事前設定されたクエリを使用) を含むデバイスを含んでいるときに警告が表示されます。 これにより、同じ IP を使用して他のデバイスを可視化し、デバイスを引き続き含めるかどうかを意識的に判断するのに役立ちます。
• 包含デバイスがネットワーク デバイスである場合、包含によってネットワーク接続の問題が発生する可能性があることを示すメッセージが表示されます (たとえば、既定のゲートウェイとして機能するルーターを含む)。 この時点で、デバイスを含めるかどうかを選択できます。

デバイスを含めた後、動作が期待どおりに行われていない場合は、Defender for Endpoint オンボード デバイスで基本フィルター エンジン (BFE) サービスが有効になっていることを確認します。

デバイスの格納を停止する

デバイスの格納はいつでも停止できます。

1. [ デバイス インベントリ ] からデバイスを選択するか、デバイス ページを開きます。

2. アクション メニュー から [包含から解放 ] を選択します。 包含から解放すると、デバイスのネットワークへの接続が復元されます。

検出されていないデバイスの IP アドレスを含む

重要

この記事の一部の情報は、リリース前の製品に関連しており、商用リリース前に大幅に変更される可能性があります。 Microsoft は、ここに記載された情報に関して、明示または黙示を問わず、いかなる保証も行いません。

エンドポイントのDefenderには、検出されていないデバイスまたはオンボードされていないデバイスにリンクされた IP アドレスを含めることもできます。 IP アドレスを含む場合、攻撃者は他のデバイスに攻撃を拡散できなくなります。 IP アドレスが含まれている場合、オンボードされているすべてのデバイスは、その IP アドレスを使用するデバイスとの送受信トラフィックをブロックします。

注:

「封じ込められた」デバイスとの受信および送信通信のブロックは、Microsoft Defender for Endpoint にオンボードされた Windows 10、Windows 11、Windows Server 2012 R2、および Windows Server 2016 デバイスでサポートされています。

検出されていないデバイスまたは Defender for Endpoint にオンボードされていないデバイスに関連付けられている IP アドレスを含める場合は、 自動攻撃の中断によって自動的に実行されます。 Defender for Endpoint が、その IP アドレスが未検出のデバイスまたはオンボードされていないデバイスに関連していることを検出すると、IP の封じ込めポリシーによって悪意のある IP アドレスが自動的にブロックされます。

アクションが適用されたことを示すメッセージが、該当するインシデント、デバイス、または IP ページに表示されます。 例を次に示します。

IP アドレスが含まれると、アクション センターの履歴ビューでアクションを表示できます。 アクションが発生したタイミングを確認し、含まれていた IP アドレスを特定できます。

包含 IP アドレスがインシデントの一部である場合は、 インシデント グラフとインシデント の 証拠と応答 タブにインジケーターが表示されます。例を次に示します。

IP アドレスの包含はいつでも停止できます。 包含を停止するには、アクション センターで [IP を含める] アクションを選択します。 ポップアップで、[ 元に戻す] を選択します。 この操作により、IP アドレスのネットワークへの接続が復元されます。

ネットワーク上のユーザーを隔離する

ネットワーク内の ID が侵害される可能性がある場合は、その ID がネットワークと異なるエンドポイントにアクセスできないようにする必要があります。 Defender for Endpoint では、ID を封じ込めてアクセスをブロックし、特にランサムウェアなどの攻撃の防止に役立てることができます。 ID が含まれている場合、エンドポイントオンボード デバイスでサポートされているすべてのDefenderは、攻撃関連プロトコル (ネットワーク ログオン、RPC、SMB、RDP) の着信トラフィックをブロックします。 また、デバイスは進行中のリモート セッションを終了し、関連するすべてのプロセスを含む既存の RDP 接続をログオフします。 正当なトラフィックは通常どおり流れ続けます。 ID を含めるのは、攻撃の影響を軽減するのに大きく役立ちます。 ID が含まれている場合、セキュリティ運用アナリストは、侵害された ID に対する脅威を特定、特定、修復するための余分な時間があります。 自動攻撃中断によって封じ込められると、ユーザーは今後5日以内に自動的に封じ込めが解除されます。

ユーザーの重要なメモを含む

• Defender for Endpoint は、エンドポイント レイヤーでユーザー包含を適用し、ID プロバイダーのアカウントを無効にしません。 Defender for Endpoint は、保護されたデバイスでの侵害された ID の攻撃者の使用をブロックし、認証ベースのアクセス、ファイル システム アクセス、およびネットワーク通信パスを制限します。 このアクションは詳細なレベルで制御を適用するため、Microsoft は攻撃関連のアクティビティをターゲットにし、可能な限り通常のビジネスコミュニケーションを維持できます。
• 包含ユーザー アクションが 予測シールド (プレビュー) によってトリガーされると、包含ユーザー アクションは、予測ロジックによって高リスクとして識別されたユーザーに焦点を当てて、より選択的に制限を適用します。 予測シールドでのユーザーの包含アクションは、既存のセッションを終了するのではなく、新しいセッションを防ぎます。
• 予測シールド機能全体はプレビュー段階ですが、このアクションは、攻撃の中断と予測シールドによってトリガーされる場合の両方で一般公開されています。
• 「隔離された」ユーザーとの受信通信をブロックすることは、Microsoft Defender for Endpoint にオンボード済みの Windows 10 および 11 デバイス（Sense バージョン 8740 以降）、Windows Server 2019 以降のデバイス、およびモダン エージェントを使用する Windows Server 2012 R2 および 2016 でサポートされています。
• 重要: ドメイン コントローラーに 対してユーザーを含める アクションが適用されると、既定のドメイン コントローラー ポリシーで GPO の更新が開始されます。 GPO を変更すると、環境内のドメイン コントローラー間で同期が開始されます。 これは想定される動作であり、環境で AD GPO の変更を監視すると、このような変更が通知される可能性があります。 [ユーザーを含める] アクションを元に戻すと、GPO の変更が以前の状態に戻り、環境内で別の AD GPO 同期が開始されます。 ドメイン コントローラーでのセキュリティ ポリシーのマージについて詳しくは、こちらをご覧ください。

ユーザーを隔離する方法

現在、ユーザーの封じ込めは、自動攻撃中断を使用した場合にのみ自動的に利用できます。 Microsoft がユーザーが侵害されていると検出すると、"Contain User" ポリシーが自動的に設定されます。

含まれているユーザー アクションを表示する

ユーザーが隔離されると、アクション センターの履歴ビューでそのアクションを表示できます。 アクション センターの履歴ビューでは、アクションがいつ発生し、組織内のどのユーザーが含まれていたかを確認できます。

さらに、ID が "包含" と見なされた後、そのユーザーは Defender for Endpoint によってブロックされ、サポートされている Defender for Endpoint オンボード デバイスに対して悪意のある横移動やリモート暗号化を実行することはできません。 これらのブロックは、侵害されたユーザーがアクセスを試みたデバイスと潜在的な攻撃手法をすばやく確認するのに役立つアラートとして表示されます。

contain ユーザー アクションやその他のアクションの現在のステータスを確認するには、[アクティビティ] タブでアクションの状態を追跡する (プレビュー)を参照してください。

元に戻すにはユーザーの操作が含まれています

ヒント

contain ユーザー アクションを元に戻すには、Global Administrator^* ロールの Microsoft Entra permissions でのメンバーシップが必要です。

^* Microsoft では、最小限のアクセス許可の原則を強くお勧めします。 アカウントにタスクを実行するために必要な最小限のアクセス許可のみを割り当てることは、セキュリティ リスクを軽減し、組織の全体的な保護を強化するのに役立ちます。 グローバル管理者は非常に特権的な役割であり、既存のロールを使用できない場合の緊急時に限定する必要があります。

ユーザーに対してブロックと封じ込めはいつでも解放できます。

1. アクション センターで [ユーザーを含める] アクションを選択します。 サイド ウィンドウで、[元に 戻す] を選択します。

2. ユーザー インベントリ、インシデント ページ側ペイン、またはアラート側ペインからユーザーを選択し、[元に 戻す] を選択します。

このアクションにより、ユーザーのネットワークへの接続が復元されます。

Contain User を使用した調査機能

ユーザーが隔離された後、侵害されたユーザーによるブロック済みの操作を確認することで、潜在的な脅威を調査できます。 デバイス タイムライン ビューでは、プロトコルとインターフェイスの細分性、関連する MITRE 手法の関連付けなど、特定のイベントに関する情報を確認できます。

さらに、高度なハンティングを使用して調査を拡張できます。 テーブルで、DeviceEventsで始まるアクションタイプを探します。 次に、組織内の Contain User に関連して、異なる単一のブロック イベントをすべて表示し、各ブロックのコンテキストを詳しく調べ、それらのイベントに関連付けられているさまざまなエンティティと手法を抽出できます。

GPO の強化 - 予測シールド (プレビュー)

予測防御 (プレビュー) 機能では、Defender for Endpoint で GPO の強化アクションを適用できます。 GPO のセキュリティ強化により、危険度の高いデバイス上の新しいグループ ポリシー オブジェクト ポリシーが一時的にブロックされます。 これにより、キー設定の変更を制限することで、侵害を防ぐことができます。

予測シールドからより良い結果を得るには、Microsoft Defender for Identity センサーを使用します。 詳細については、「Microsoft Defender for Identityを使用した予測シールドのエンリッチ」を参照してください。

アクションが適用されると、その影響をインシデント グラフに表示し、アクション センターで追跡し、高度なハンティングを使用して調査できます。 詳細については、「 予測シールド アクションの管理」を参照してください。

セーフブートの強化 - 予測シールド (プレビュー)

予測シールド (プレビュー) 機能の一部として、Defender for Endpoint は Safeboot のセキュリティ強化アクションを自動的に適用します。 セーフブートの強化は、侵害のリスクが高いと予測されるデバイスに対して、より厳格なブート設定を適用することで、デバイスが侵害されないように保護するのに役立ちます。

予測シールド アクションを強化するには、環境内で Microsoft Defender for Identity センサーを使用することをお勧めします。 詳細については、「Microsoft Defender for Identityを使用した予測シールドのエンリッチ」を参照してください。

アクションが適用されたら、インシデント グラフでアクションの影響を表示し、アクション センターでアクションを追跡し、高度なハンティングを使用してさらに調査できます。 詳細については、「 予測シールド アクションの管理」を参照してください。

セーフブートの強化アクションとその他のアクションの現在の状態を表示するには、「 アクティビティ] タブ (プレビュー)でアクションの状態を追跡する」を参照してください。

脅威のエキスパートに相談する

侵害されたデバイスや侵害された可能性のあるデバイスに関する詳細な分析情報については、Microsoft脅威の専門家に問い合えることができます。 Microsoft 脅威エキスパート は、Defender ポータルを通じてお客様と直接連携し、迅速かつ正確に対応します。 エキスパートは、ポータルダッシュボードに表示される複雑な脅威、標的型攻撃アラート、脅威インテリジェンスを理解するのに役立ちます。

詳細については、「 エンドポイント攻撃通知の構成と管理 」を参照してください。

アクティビティの詳細と状態を確認する

アクション センター (https://security.microsoft.com/action-center) は、デバイスまたはファイルで実行されたアクションに関する情報を提供します。 次の詳細を表示できます。

• 調査パッケージの収集
• ウイルス対策スキャン
• アプリの制限
• デバイスの分離

その他の関連する詳細 (送信日時、ユーザーの送信、アクションが成功または失敗した場合など) も表示されます。

[インシデント] ページの [ アクティビティ ] タブには、 インシデント 対応の一部として実行されたアクションの詳細と状態が表示されます。 詳細については、「 アクティビティ タブ (プレビュー)」でアクションの状態を追跡する方法に関するページを参照してください。

関連するコンテンツ

• ファイルの対応措置を講じる
• Microsoft Defender for Endpoint プラン 1 での手動対応アクション
• レポートの不正確さ