この手順で作る状態
Windows PCをMicrosoft Defender for Businessへオンボードし、Microsoft Defenderポータルから端末とアラートを確認できる状態にします。Business Premium利用企業では、Intune管理と組み合わせた展開を基本にします。
前提条件
| 項目 | 確認内容 |
|---|---|
| ライセンス | 対象利用者にBusiness PremiumまたはDefender for Business |
| OS | Windows 10/11 Business、Pro、Enterprise。Windows 10はサポート状況を別途確認 |
| 管理方法 | Intune管理端末はIntune経由を基本とする |
| サーバー | Windows Server/Linux Serverは別途サーバーライセンスが必要 |
1. プロビジョニングを確認する
Microsoft Defenderポータルを開きます。初回利用時は環境準備に時間がかかる場合があります。デバイス一覧またはオンボード案内が表示される状態まで待ちます。
2. 展開方法を決める
MicrosoftはWindows PCについて、ローカルスクリプト、グループポリシー、Intune等の方法を案内しています。
- Intuneを利用中：Intuneから展開
- Intune未導入で少数試験：ローカルスクリプト
- 既存ADとグループポリシーを利用中：GPO方式を検討
ローカルスクリプト方式は、一度に大量展開するためではなく少数の確認に向いています。
3. Intuneからオンボードする
- IntuneとDefender for Endpointの接続状態を確認します。
- エンドポイント検出・応答ポリシーを作成します。
- 試験デバイスグループへ割り当てます。
- 端末を同期し、適用状態を確認します。
- Microsoft Defenderポータルの資産 > デバイスに表示されることを確認します。
4. 保護状態を確認する
- リアルタイム保護が有効
- クラウド提供の保護が有効
- 改ざん防止が有効
- デバイスの最終確認時刻が新しい
- 試験端末が正しいデバイスグループに属する
- アラート通知先が設定されている
Microsoftが案内する検出テストは、試験端末と管理者の管理下でのみ実施します。本番利用者の端末へ無断で実行しません。
5. アラート対応を決める
検知できても、誰も見なければ運用になりません。
- 誰がポータルを確認するか
- どの重大度で利用者へ連絡するか
- 端末隔離を誰が判断するか
- 業務復旧を誰が承認するか
- 月次で未対応アラートを確認するか
以上を1枚の初動手順にまとめます。
切り戻し
試験端末で業務アプリ、VPN、ファイル共有等に影響が出た場合は、原因となるポリシーの割当を試験グループから外します。Defender自体を安易に無効化せず、該当設定と検知内容を確認します。