★Microsoft Defender for Endpointとは

リモートワークの普及や昨今のサイバー攻撃の報道により、企業のセキュリティ意識が高まっています。

その中でも「エンドポイントセキュリティ」にフォーカスしたセキュリティ製品である「Microsoft Defender for Endpoint」をご紹介します。

まず、製品の紹介の前に、製品名にもある「エンドポイント」についてです。

エンドポイントとは、ネットワークにつながっているデバイスのことであり、ファイルサーバーやDBサーバー、PCやスマホなどを意味します。

これまではファイアウォール機器などによる不正な通信をゲートウェイで検知して遮断する「ゲートウェイ型セキュリティ」が主流でしたが、

マルウェアの侵入を防ぐだけでなく、ネットワーク全体と接続しているエンドポイントを一括監視し保護する「エンドポイントセキュリティ」が主流となっています。

つまり、Microsoft Defender for Endpointとは、末端のデバイスである「エンドポイント」に対して、これまでMicrosoftが収集してきたビッグデータとAIを活用し、重大な脅威を見逃さないように管理された脅威検出サービスです。

★Microsoft Defender for Endpointの各プランによって利用可能な機能について

Microsoft Defender for Endpointにはプラン1とプラン2の2通りあり、それぞれのプランで利用できる機能が異なります。

各プランで利用可能な機能の一覧と概要は以下の通りとなります。

・次世代の保護 (マルウェア対策とウイルス対策を含む)

ローカルおよびクラウドベースの機械学習モデル、動作分析を使用してファイルとプロセスの動作監視などのリアルタイム保護を実現し、マルウェアをブロックすることが可能。プラン1、プラン2両方で利用可能。

・攻撃面の減少（ASR）

Office アプリや電子メール、スクリプトなどから入ってくるマルウェアの侵入を防ぐことができ、デバイスやアプリケーションを多様な脅威から保護し、攻撃対象の領域を減らすことが可能。プラン1、プラン2両方で利用可能。

・手動応答アクション

脅威が検出された際、脅威に対して手動でアクション（ウイルス対策のスキャンやネットワークとデバイスの切断、関連ファイルの検疫）を実行することができる。プラン1、プラン2両方で利用可能。

・集中管理

Microsoft 365 Defender ポータルと呼ばれる管理画面でID、データ、デバイス、メール、コラボレーション、アプリなど全体のセキュリティを監視することができ、脅威に対する保護、検出、調査、および応答を一元的に管理することが可能。プラン1、プラン2両方で利用可能。

・セキュリティレポート

Microsoft 365 Defender ポータル上で検出された脅威やアラート・インシデントなどの情報をレポート化することが可能。

プラン1、プラン2両方で利用可能。

・API

「Microsoft Defender for Endpoint API」というREST APIがあり、アラート一覧の取得や脆弱性一覧の取得など、ワークフローを自動化し、各種操作が可能。プラン1、プラン2両方で利用可能。

・デバイス検出

ネットワーク内のデバイスの情報収集を実行し、オンボードされていないリスクのある端末を検出可能。プラン2のみ利用可能。

・脅威と脆弱性の管理

管理対象の端末に対し、露出スコアへの影響や修復アクティビティ・リスク検出・セキュリティパッチ適用の推奨事項提示など、組織の脆弱性を定量的に可視化し優先順位をつけて示唆する。プラン2のみで利用可能。

・自動調査および対応

デバイスの分離やプロセス/タスク停止、ファイルの削除などが可能であり、攻撃や脅威に対して自動修復を実行する。プラン2のみで利用可能。

・高度な追及

クラウドに格納されたデータにアクセスし、クエリベースで脅威検知や追跡ができます。アラートが検知されずとも独自に脅威の調査などが可能。

プラン2のみで利用可能。

・エンドポイントでの検出と対応

ふるまい検知や不審なアクティビティの検出、未知の脅威に対しても Microsoft セキュリティインテリジェンスを参照し対応可能。

プラン2のみで利用可能。

・Microsoft 脅威エキスパート

MSセキュリティエンジニアによる対応支援を受けられるが、別途費用が必要な場合もある。

・デバイスベースのアクセス制御

「Microsoft Intune」を利用している場合、条件付きアクセスと組み合わせ感染リスクのある端末のアクセスを制御することが可能。

プラン1、プラン2両方で利用可能。

★Tips

Microsoft Defender for EndpointはMicrosoft Defenderシリーズの1つです。

Microsoft Defenderシリーズで代表的な製品と概要をご紹介します。

Microsoft Defender for Office 365：標的型メール対策

メールに添付されたファイルやURLを検査し、悪意のあるファイルやURLが確認された場合は、正常なURLへ修正、削除、怪しい添付ファイルを削除することが可能です。

さらにExchange Online には、Exchange Online Protectionという機能が標準搭載されていて、

Microsoft Defender for Identity：IDのリスク管理

Active Directory トラフィックを収集・分析することで、IDのリスク管理ができるサービスです。

侵害されたID、悪意のあるアクションの識別、検出、調査を行いオンプレミスとクラウドのハイブリッド環境における高度な攻撃を検出することが可能です。

従業員が利用しているさまざまなクラウド アプリケーションの使用状況を検出して、異常な動作やアクティビティがないか監視し、リスクレベルを評価することが可能です。