Microsoft Defender for Endpointでの Web 保護

  • 適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

この記事では、Microsoft Defender for Endpointの Web 保護が、Web の脅威からデバイスをセキュリティで保護し、不要なコンテンツを規制する方法について説明します。 Web 脅威の防止、Web コンテンツのフィルター処理、カスタム インジケーターなどの主要な機能と、ブラウザーのサポート、ポリシーの優先順位ルール、トラブルシューティング、高度なハンティング クエリについて説明します。 この情報は、エンドポイントのDefenderを管理するセキュリティ管理者と IT プロフェッショナルを対象としています。

Overview

Microsoft Defender for Endpointの Web 保護は、Web 脅威保護、Web コンテンツ のフィルター処理、カスタム インジケーターで構成される機能です。 Web 保護を使用すると、Web の脅威からデバイスを保護し、不要なコンテンツを規制できます。 Web 保護レポートは、Microsoft Defender ポータルで [レポート] > [Web 保護] に移動して確認できます。

ウェブ保護カード

Web の脅威に対する保護

Web 脅威保護を構成するカードは、 時間の経過に伴う Web 脅威検出 と Web 脅威の概要です。

Web 脅威保護には、次のものが含まれます。

  • organizationに影響を与える Web 脅威を包括的に可視化します。
  • アラートと、これらの URL にアクセスする URL とデバイスの包括的なプロファイルを通じて、Web 関連の脅威アクティビティに対する調査機能。
  • 悪意のある Web サイトや不要な Web サイトへの一般的なアクセス傾向を追跡する完全なセキュリティ機能のセット。

注:

Microsoft Edge およびインターネット エクスプローラー以外のプロセスの場合、Web 保護シナリオでは、検査と適用のために Network Protection を利用します。

  • IP アドレスは、3 つのプロトコル (TCP、HTTP、HTTPS (TLS)) すべてでサポートされています。
  • カスタム インジケーターでサポートされている IP アドレスは 1 つだけ (CIDR ブロックまたは IP 範囲なし)。
  • HTTP URL (完全な URL パスを含む) は、任意のブラウザーまたはプロセスでブロックできます
  • HTTPS 完全修飾ドメイン名 (FQDN) は、Microsoft 以外のブラウザーでブロックできます (完全な URL パスを指定するインジケーターは Microsoft Edge でのみブロックできます)
  • Microsoft 以外のブラウザーで FQDN をブロックするには、これらのブラウザーで QUIC と暗号化されたクライアント Hello を無効にする必要があります
  • HTTP2 接続の結合を介して読み込まれた FQDN は、Microsoft Edge でのみブロックできます。
  • Network Protection では、(80 および 443 だけでなく) すべてのポートでの接続がブロックされます。

Microsoft Edge 以外のプロセスでは、ネットワーク保護は、TCP/IP ハンドシェイクの後に発生する TLS ハンドシェイクの内容を調べることによって、各 HTTPS 接続の完全修飾ドメイン名を決定します。 これには、HTTPS 接続で TCP/IP (UDP/QUIC ではなく) を使用し、ClientHello メッセージが暗号化されていないことが必要です。 Google Chrome で QUIC と Encrypted Client Hello を無効にするには、「 QuicAllowed と EncryptedClientHelloEnabled」を参照してください。 Mozilla Firefox については、「 EncryptedClientHello と network.http.http3.enable を無効にする」を参照してください。

インジケーターが追加されてからクライアントに適用されるまでに、最大 2 時間の待機時間 (通常は短い) が発生する可能性があります。 詳細については、「 Web 脅威保護」を参照してください。

カスタム インジケーター

カスタム インジケーターの検出は、Web 脅威レポート内の Web threat detections over time セクションおよび Web threat summary セクションにまとめられます。

カスタム インジケーターには、次の機能があります。

  • IP および URL ベースの侵害インジケーターを作成して、脅威からorganizationを保護する機能。
  • 許可、ブロック、または警告の動作を指定する機能。
  • カスタム IP/URL インジケーターと、これらの URL にアクセスするデバイスに関連するアクティビティに関する調査機能。

詳細については、「IP と URL/ドメインのインジケーターを作成する」を参照してください。

Web コンテンツ フィルタリング

Web コンテンツ フィルター ブロックは、 カテゴリ別の Web アクティビティ、 Web コンテンツ フィルターの概要、および Web アクティビティの概要の下に 要約されます。

Web コンテンツ フィルター処理では、次の機能が提供されます。

  • ユーザーがオンプレミスを閲覧しているか離れているかに関係なく、ブロックされたカテゴリの Web サイトへのアクセスをブロックする機能。
  • Microsoft Defender for Endpoint のロールベースのアクセス制御設定で定義された異なるデバイス グループごとに、異なるポリシーを対象として指定する機能のサポート。

    注:

    デバイス グループの作成は、Defender for Endpoint プラン 1 とプラン 2 でサポートされています。

  • 同じ一元的な場所で、ブロックとWeb利用状況の両方を可視化するWebレポート。

詳細については、「 Web コンテンツのフィルター処理」を参照してください。

優先順位

同じ URL または IP 要求に複数の Web 保護ポリシーを適用できる場合、優先順位によってどのポリシーが優先されるかが決まります。 Web 保護は、次のコンポーネントで構成され、優先順位の順に一覧表示されます。 これらの各コンポーネントは、Microsoft Edge の SmartScreen クライアントと、他のすべてのブラウザーとプロセスの Network Protection クライアントによって適用されます。

  • カスタム インジケーター (IP/URL、Microsoft Defender for Cloud Apps ポリシー)

    • 許可
    • 警告
    • ブロック

  • Web 脅威 (マルウェア、フィッシング)

    • SmartScreen Intel

  • Web コンテンツ フィルター処理 (WCF)

注:

Microsoft Defender for Cloud Appsは現在、ブロックされた URL に対してのみインジケーターを生成します。

優先順位は、Web 保護コンポーネント (カスタム インジケーター、Web 脅威保護、および Web コンテンツ フィルタリング) が URL または IP を評価する順序を表します。 たとえば、Web コンテンツ フィルタリング ポリシーがある場合は、カスタム IP/URL インジケーターを使用して除外を作成できます。 カスタム 侵害インジケーター (IoC) は、WCF ブロックよりも優先順位が高くなります。

同様に、インジケーター間で競合が発生した場合、許可ルールはブロックより常に優先されます（上書きロジック）。 つまり、許可インジケーターは、存在するブロック インジケーターよりも優先されます。

次の表は、Web 保護スタック内で競合が発生する一般的な構成をまとめたものです。 また、Web 保護コンポーネントの優先順位に基づいて、結果としての決定事項も特定します。

カスタム インジケーター ポリシー ウェブ脅威ポリシー WCF ポリシー Defender for Cloud Apps ポリシー 結果
許可 ブロック ブロック ブロック 許可 (Web 保護のオーバーライド)
許可 許可 ブロック ブロック 許可 (WCF の例外)
警告 ブロック ブロック ブロック 警告（オーバーライド）

内部 IP アドレスは、カスタム インジケーターではサポートされていません。 エンド ユーザーによってバイパスされた場合の警告ポリシーの場合、サイトは既定でそのユーザーに対して 24 時間ブロック解除されます。 この時間枠は、管理によって変更でき、SmartScreen クラウド サービスによって渡されます。 また、Web 脅威ブロック (マルウェア/フィッシング) に CSP を使用して、Microsoft Edge で警告をバイパスする機能を無効にすることもできます。 詳細については、「 Microsoft Edge SmartScreen の設定」を参照してください。

ブラウザーを保護する

すべての Web 保護シナリオでは、SmartScreen とネットワーク保護を組み合わせて使用して、Microsoft と Microsoft 以外の両方のブラウザーとプロセスの両方で保護を確保できます。 SmartScreen は Microsoft Edge に直接組み込まれていますが、Network Protection は Microsoft 以外のブラウザーとプロセスでトラフィックを監視します。 次の図は、SmartScreen とネットワーク保護が、MicrosoftとMicrosoft以外のブラウザーとプロセス間でどのように連携するかを示しています。 複数のブラウザー/アプリカバレッジを提供するために連携する 2 つのクライアントのこの図は、Web Protection のすべての機能 (インジケーター、Web 脅威、コンテンツ フィルタリング) に対して正確です。

smartScreen とネットワーク保護の併用

エンドポイント ブロックのトラブルシューティング

SmartScreen クラウドからの応答は標準化されています。 Telerik Fiddler などのツールを使用して、クラウド サービスからの応答を検査できます。これは、ブロックのソースを特定するのに役立ちます。

SmartScreen クラウド サービスが許可、ブロック、または警告応答で応答すると、応答カテゴリとサーバー コンテキストがクライアントに中継されます。 Microsoft Edge では、応答カテゴリは、表示する適切なブロック ページ (悪意のある、フィッシング、組織のポリシー) を決定するために使用されます。

次の表は、応答とその相関機能を示しています。

応答カテゴリ ブロックの原因となっている機能
CustomPolicy WCF
CustomBlockList カスタム インジケーター
CasbPolicy Defender for Cloud Apps（クラウドアプリケーション用ディフェンダー）
悪意がある Web 脅威
フィッシング詐欺 Web 脅威

Web の保護のための高度なハンティング

高度なハンティングの Kusto クエリを使用すると、組織内の Web 保護によるブロックを最大 30 日分まで集計できます。 これらのクエリでは、[ エンドポイント ブロックのトラブルシューティング ] テーブルの応答カテゴリを使用して、ブロックのさまざまなソースを区別し、わかりやすくまとめます。 たとえば、Microsoft Edgeで SmartScreen によって検出された Web コンテンツ フィルタリング (WCF) ブロックを検索するには、次のクエリを実行します。 このクエリでは、SmartScreen URL 警告アクションの DeviceEvents をフィルター処理し、デバイス名、タイムスタンプ、URL、エクスペリエンス カテゴリなどのキー フィールドを抽出して、Web コンテンツ フィルター ブロックを識別します。

DeviceEvents
| where ActionType == "SmartScreenUrlWarning"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, Experience=tostring(ParsedFields.Experience)
| where Experience == "CustomPolicy"

Microsoft以外のブラウザーでネットワーク保護によって適用される WCF ブロックを識別するには、次のクエリを使用します。 このクエリでは、ActionTypeがExploitGuardNetworkProtectionBlockedされ、フィルター フィールドがResponseCategoryではなくExperienceされます。

DeviceEvents
| where ActionType == "ExploitGuardNetworkProtectionBlocked"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, ResponseCategory=tostring(ParsedFields.ResponseCategory)
| where ResponseCategory == "CustomPolicy"

他の機能 (カスタム インジケーターなど) に起因するブロックを一覧表示するには、 ResponseCategory テーブルを参照してください。 ResponseCategory テーブルには、各機能とその対応カテゴリの概要が示されています。 これらのクエリは、organization内の特定のマシンに関連するテレメトリを検索するように変更できます。 各クエリに表示される ActionType には、Web Protection 機能によってブロックされた接続のみが表示され、すべてのネットワーク トラフィックが表示されるわけではありません。

Web 保護でコンテンツがブロックされたときにユーザーに表示される内容

ユーザーがマルウェア、フィッシング、またはその他の Web 脅威のリスクを引き起こした Web ページにアクセスすると、Microsoft Edge は次の画像のようなブロック ページを表示します。

Web サイトの新しいブロック通知を示すスクリーンショット。

Microsoft Edge 124 以降では、すべての Web コンテンツ フィルター カテゴリ ブロックに対して次のブロック ページが表示されます。

コンテンツがブロックされていることを示すスクリーンショット。

いずれの場合も、Microsoft 以外のブラウザーではブロック ページは表示されません。代わりに、ユーザーには Windows トースト通知と共に [セキュリティで保護された接続に失敗しました] ページが表示されます。 ブロックを担当するポリシーに応じて、ユーザーはトースト通知に別のメッセージを表示します。 たとえば、Web コンテンツ フィルター処理では、"このコンテンツはブロックされています" というメッセージが表示されます。

誤検知を報告する

SmartScreen によって危険と見なされたサイトの誤検知を報告するには、Microsoft Edgeブロック ページに表示されるリンクを使用します。

Web コンテンツ フィルタリング (WCF) では、許可インジケーターを使用してブロックをオーバーライドし、必要に応じてドメインのカテゴリに異議を申し込むことができます。 WCF レポートの [ ドメイン ] タブに移動します。 各ドメインの横に省略記号が表示されます。 この省略記号にマウス ポインターを合わせ、[ 紛争カテゴリ] を選択します。 フライアウトが開きます。 インシデントの優先順位を設定し、推奨されるカテゴリなど、他のいくつかの詳細を指定します。 WCF を有効にする方法とカテゴリに異議を唱える方法の詳細については、「 Web コンテンツのフィルター処理」を参照してください。

誤検知/陰性を送信する方法の詳細については、「Microsoft Defender for Endpointでの誤検知/負のアドレス指定」を参照してください。

記事 説明
Web の脅威に対する保護 フィッシング サイト、マルウェア ベクター、悪用サイト、信頼されていないサイトまたは低評価サイト、ブロックされているサイトへのアクセスを防止します。
Web コンテンツ フィルタリング コンテンツ カテゴリに基づいて Web サイトへのアクセスを追跡および規制します。
  • Last updated on