Microsoft Defender for Endpointとは?エンタープライズグレードの脅威保護を徹底解説

Microsoft Defender for Endpoint(旧称:Microsoft Defender Advanced Threat Protection / Windows Defender ATP)は、エンタープライズ規模の組織がセキュリティ脅威を「予防・検出・対応」できるよう設計されたエンドポイントセキュリティプラットフォームです。

Windows 10およびAzureサービスに組み込まれたツール群を活用することで、マルウェアやランサムウェアといった潜在的な脅威への対応を支援します。自動調査機能に加え、侵害前後のセキュリティ検知・対応機能を備えている点が大きな特徴です。

なお、本製品は以前「Microsoft Defender Advanced Threat Protection」という名称でしたが、2019年にDefenderブランド傘下の他製品とともに現在の名称へ変更されました。

マルウェアやランサムウェアは、数あるセキュリティ脅威のごく一部にすぎません。組織を取り巻く脅威は多様化しており、包括的な防御体制が求められています。

主な機能と特徴

Microsoft Defender for Endpointが提供する主なセキュリティ機能は以下の通りです。

• 脅威と脆弱性の管理: エンドポイント上のソフトウェア資産をリアルタイムで把握し、インストール済みアプリケーションや未適用パッチに関連する脆弱性を検出・優先順位付け・軽減します。
• 攻撃対象領域の削減: ハードウェア分離やアプリケーション制御によってシステム全体の攻撃対象領域を縮小します。アプリケーションの監査データを監視し、必要なアプリケーションには除外設定を適用。攻撃対象領域の削減ルールも活用できます。
• 次世代保護: 継続的なスキャンにより脅威を検出・ブロックします。Microsoft Defenderウイルス対策に加え、動作ベースの保護やクラウド提供型の保護を組み合わせています。
• エンドポイントでの検出と対応(EDR): 関連する攻撃をインシデントとしてグループ化し、セキュリティ担当者が脅威の優先順位付け・調査・対応を行いやすくします。
• 自動調査と修復: 放置すると膨大な数のセキュリティアラートが発生しがちなネットワーク端末に対し、アラートの調査と解決を自動化。セキュリティ担当者は他の重要タスクに集中できます。
• セキュアスコア: アプリケーション、OS、ネットワーク、アカウント、セキュリティ制御などのカテゴリに基づき、現在のセキュリティ構成をスコア化して評価します。
• Endpoint Attack(旧 Microsoft Threat Experts - Targeted Attack Notification): キーロガーやサイバー攻撃を含む標的型攻撃を検出・優先順位付けするマネージドハンティングサービスです。
• 管理機能とAPI: 豊富なAPI群により、Defender for Endpointを組織のワークフローに統合できます。
• データ共有: Azure Active Directory Identity Protection、Microsoft Defender for Office 365、Microsoft Defender for Cloud Apps、Microsoft Defender for Identityなど、他のMicrosoft製品とデータを共有します。
• エンドポイント動作センサー: Windows 10から動作データを収集・処理するセンサーを備えています。
• 幅広いプラットフォーム対応: Windows、Linux、macOS、iOS、Androidの各OSにセキュリティサービスを提供します。

Defender for Endpointのプラン体系

Defender for Endpointには主にPlan 1(P1)とPlan 2(P2)の2つのプランがあります。P1は基本版であり、P2はP1の全機能に加えて追加機能を提供します。

Plan 1(P1)の主な機能

• APIおよびSIEMコネクタ
• アプリケーション制御
• フォルダーのアクセス制御(管理されたフォルダーアクセス)
• デバイスベースの条件付きアクセス
• USBなどのデバイス制御
• エンドポイントファイアウォール
• ネットワーク保護
• 次世代マルウェア対策
• 一元管理による統合セキュリティツール
• Webコンテンツ制御およびカテゴリ別URLブロック

Plan 2(P2)で追加される機能

P2には上記のすべての機能に加え、以下が含まれます。

• 自動調査と修復
• Defender脆弱性管理機能
• エンドポイントでの検出と対応(EDR)
• サンドボックス
• 分析による脅威インテリジェンス

中小企業向け「Defender for Business」

このほか、スタンドアローン版としてMicrosoft Defender for Businessも提供されています。脅威と脆弱性の管理、攻撃対象領域の削減、EDR、自動調査・対応機能を搭載していますが、Webコンテンツフィルタリングやクロスプラットフォーム対応は限定的です。

Defender for Businessは、中小企業向けの単体ユーザーサブスクリプションとして、またはMicrosoft 365 Business Premiumの一部として利用できます。

ライセンス形態

• P1: 商用・教育顧客向けのスタンドアローンサブスクリプションライセンスとして入手可能。特定のMicrosoft 365プランにも含まれています。
• P2: スタンドアローンライセンスのほか、特定バージョンのWindows 10/11 Enterpriseや特定のMicrosoft 365プランに含まれています。

Microsoftでは、P1とP2の両方について無料トライアルを提供しています。導入前に実際の環境で評価することが可能です。

他製品との連携(統合)

Defender for Endpointは、以下のようなMicrosoft製ソフトウェアと統合できます。

• Azure Information Protection
• 条件付きアクセス(Conditional Access)
• Microsoft Intune
• Microsoft Defender for Cloud
• Microsoft Defender for Cloud Apps
• Microsoft Defender for Identity
• Microsoft Defender for Office
• Microsoft Sentinel
• Skype for Business

メリットとデメリット

メリット

最大の強みは充実した機能一覧です。攻撃に関するデータをもとにグラフィカルな攻撃タイムラインを作成できる点も有用です。また、WindowsだけでなくLinux、macOS、iOS、Androidなど複数のOSに対応している点も魅力といえます。

デメリット

一方で、いくつかの弱点も存在します。たとえば、本製品はエンドポイント上に存在する他のマルウェア対策ソフトやEDRソフトを自動的に無効化します。そのため、構成によっては、すでにセキュリティツールを導入している組織がDefender for Endpointをインストールすることで、かえってセキュリティ態勢が弱まる可能性があります。

また、Windows環境以外では導入が難しい場合があります。古いmacOSデバイスへの展開が難航したり、Linuxシステムではエージェントによるメモリ使用量が高くなるケースが報告されています。

サイバー犯罪者がマルウェアを拡散する手法は多岐にわたります。ZIPやRAR形式のアーカイブファイルが、エンドユーザーのマシンへマルウェアを配布する最も一般的な手段となっている背景と対策についても理解を深めておきましょう。