m 365 fm のマイクロソフトナレッジナゲッツへようこそ司会のミルコピーターズです 本日はマイクロソフトディフェンダー xdr について取り上げます想像してみてください火曜日の朝デスクに座っているとします携帯が鳴りセキュリティアラートが届きます これは本物でしょうかそれともただのノイズでしょうかさらに不審なメールに関するアラートや見知らぬ場所からの奇妙なサインインのアラートが続きます これらに関連性はありますかあるかもしれませんしないかもしれませんこれこそが今日の多くの企業が直面している問題です 本日はディフェンダー xdr とは何かなぜマイクロソフトがこれを構築したのかそしてマイクロソフト365を利用するあらゆる組織にとってなぜ重要なのかを解説します現代の攻撃には特徴があります攻撃者は単一の対象だけを狙うわけではありません 彼らは素早く動きますメールデバイス id すべてを標的にしますお使いのセキュリティツールもそれに対応する必要がありますディフェンダー xdr を構成する5つのビルディングブロックを分解しそれらがどのように統合されて単一のセキュリティ層を形成するかを紹介しますまずはこのツールが解決する課題についてお話ししましょう その問題とはセキュリティのサイロ化です20年前セキュリティは単純でしたpc 用のアンチウイルスメール用のスパムフィルターネットワーク用のファイアウォールを購入するだけでした 各ツールは一つの仕事しかせず互いに連携することはありませんでした当時は攻撃も単純だったのでそれで十分でした しかし今日起きていることは違います攻撃者がフィッシングメールを送信します誰かがそれをクリックしますデバイスにマルウェアが侵入しますマルウェアがパスワードを盗みます そして攻撃者はクラウドアプリファイルストレージ顧客データへと侵入していきますこれらすべてが一連の出来事ですしかしあなたのツールはこれを5つの別々の問題として認識します メールフィルターはメッセージとして認識しアンチウイルスはファイルとして認識しid システムはログインとして認識しますどれも同じ攻撃の一部であるとは気づきません 3人の警備員がいるビルを想像してください正面玄関に1人駐車場に1人郵便室に1人です彼らは決して情報を共有しません泥棒が正面玄関から入ってきても郵便室の警備員は何も知りません 今日の多くのセキュリティツールはまさにこれと同じ動きをしています同じビル内にいても互いに会話をしないのです その結果チームには一つのストーリーではなく5つのアラートが届きます5検知の対応に時間を浪費してしまいます 本物の脅威はそのノイズの中に隠れてしまいます誰かが点と点を繋ぎ合わせる頃には攻撃者はすでに目的を達成しています本当に必要なのはすべての領域を見渡しこれらのアラートは関連していますと教えてくれるシステムです これが全体像ですそしてこれが取るべき対処法ですそれこそがマイクロソフトディフェンダーxdrの存在意義なのです ではディフェンダーxdrとは何かそれはすべてを大浮かさのようなものですではこれが実際には何なのかを定義しましょう マイクロソフトディフェンダーxdrは拡張版の検知対応プラットフォームと呼ばれるものです専門用語で難しそうですが基本的な考え方は非常にシンプルです このシステムはマイクロソフト365全体エンドポイントメールユーザーアカウントクラウドアプリなどからシグナルを取得しそれらを統合して一つのビューにまとめ上げます xdrはエクステンデッドディテクション&レスポンス拡張版の検知対応の略で最も重要な言葉は拡張ですなぜならこれは単なるコンピュータの話ではないからです メール id クラウドアプリケーションなどを網羅していますその違いは1台の監視カメラを見ているか建物内のすべてのカメラを一つの画面で見ているかのようなものです 小さな断片ではなく全体像を把握できるのですここが多くの人を驚かせるポイントですディフェンダーxdrはわざわざ新しく購入しなければならない製品ではありません 既に所有しているセキュリティツールの上に配置される統合レイヤーのようなものです先ほど触れたコマンドセンターだと考えてください ここのディフェンダー製品であるディフェンダー法エンドポイントオフィス365アイデンティティクラウドアップスそして脆弱性管理ツールはそれぞれ異なる部屋を見ている 監視カメラのようなものですディフェンダーxdrはメイン画面に座ってそれらすべての関連性をつなぎ合わせるオペレーターです では実際に何をするのでしょうかここのディフェンダーからアラートを自動的に収集します そして関連するアラートをインシデントと呼ばれるものにグループ化しますそのため関連している可能性のある10個の別々の警報ではなく全体像を物語る一つの インシデントとして確認できます攻撃の起点となったメール感染したデバイス侵害されたアカウントがすべて目の前の 一箇所に集約されますそしてここが不意をつかれるポイントです ディフェンダーxdrを別の製品として購入するわけではありませんマイクロソフト365e5には含まれており e5セキュリティアドオンの一部でもありますマイクロソフト365ビジネスプレミアムや e3に特定のアドオンを組み合わせている場合気づかないうちにすでに一部の機能を利用できているかもしれません ライセンスについては後ほど詳しく説明しますが結論は単純ですすでにマイクロソフト365を導入していればあなたが思っている以上にこの保護機能を 利用できる状態に近いということです5つのコンポーネントシステムを構成する5つの要素に分解してみましょうディフェンダーxdrは何が入力されているかを理解するまで抽象的だからです最初はディフェンダー4エンドポイントですこれはwindows mac linux さらには携帯電話などのデバイスを保護しますこれは現代版のアンチウイルスですがそれよりもはるかに高度な機能を持っています基地の不正ファイルをスキャンするだけでなく不審な挙動を監視するのですプログラムが不審な動きを始めファイルを暗号化したり未知のサーバーに接続したり システム設定を変更したりするとディフェンダー4エンドポイントがそれを検知します自動的に調査を行い必要に応じてそのデバイスをネットワークから完全に隔離することも可能ですワンクリックでそのマシンをあらゆるものから切り離すことができます 次はディフェンダー4オフィス365ですこれはメールやコラボレーションツールを保護しますフィッシングメールや悪意のある添付ファイル 安全でないリンクが受信トレイに届く前にブロックするだけでなくチームのメッセージやシェアポイントのファイル ワンドライブのストレージ内の脅威もスキャンしますつまり誰かがチームチャットで危険なファイルを共有した場合もこれで補足できるのです続いてはディフェンダー4アイデンティティですこれはIDインフラストラクチャを監視するものです 社内でユーザーアカウントやパスワードを管理するオンプレミスのアクティブディレクトリをお使いの場合ディフェンダー4アイデンティティが不審なアクティビティを監視します 攻撃者がパスワードを盗んで別の場所で悪用しようとする認証情報の摂取を検知しますあるアカウントから別のアカウントへ飛び移るラテラルムーブメントを見つけ出し 一般ユーザーが突然管理者権限を得ようとする特権昇格もフラグを立てますこれらは攻撃者がネットワーク内に侵入した後に用いるまさにその手法です 4つ目のコンポーネントはディフェンダー4クラウドアップスですこれにより承認済みか未承認かに関わらず従業員が使用しているすべてのクラウドアプリケーションを可視化できますチームが報告なしに登録したシャドウITサービスを発見します 深夜2時にユーザーが数千のファイルをダウンロードするような異常な挙動を検知し危険なアプリをブロックしたりそれらを通じて共有されるデータを制御したりできます 最後は脆弱性管理ですこれはディフェンダー4エンドポイントに組み込まれていますが単独で取り上げる価値がありますデバイスを継続的にスキャンしセキュリティパッチの未適用や脆弱な設定その他のリスクを特定します そして何を優先的に修正すべきかのリストを提示します

を正確に教えてくれるのですここで重要なポイントがあります ディフェンダーxdrが登場する前これらの製品はそれぞれ独立して存在していましたマイクロソフトが長年かけて別々に構築してきましたがある時誰かが懸命な疑問を投げかけました もしこれらがすべて連携したらどうなるだろうかそれこそがディフェンダーxdrが実現するものです優れた5つの製品を強力な一つのシステムに変える接着剤のような役割を果たします どのように連携するのか実際のシナリオに沿ってその仕組みを見ていきましょう従業員の一人がフィッシングメールを受け取ります 上司からの依頼を装いドキュメントの確認を求めてきますリンクが正規のものに見えるためディフェンダー4オフィス365では検知されないかもしれません 従業員がリンクをクリックしマイクロソフトのログインページそっくりの画面にパスワードを入力すると攻撃者に認証情報が盗まれてしまいます 数分後ディフェンダー4アイデンティティがそのユーザーが一度も訪れたことのない国からサインインしていることを検知します 同時にディフェンダー4エンドポイントがノートPCで外部サーバーに接続しようとする不審なプロセスを補足しますではxdrがない場合どうなるか考えてみてください 3つの個別の警告を受け取りますメールセキュリティ id 監視そしてエンドポイント保護からそれぞれ一つずつですそれぞれ異なるコンソールでログインも別々です セキュリティチームはそれらが関連しているかどうかを手作業で突き止めなければなりませんどちらにせよ調査している間に攻撃者はネットワークの奥深くへと侵入し続けます ディフェンダーxdrがあればそのプロセス全体が自動化されますプラットフォームが点と点をつなぎ合わせます メール奇妙なサインインそして不審なプロセスがすべて一つの攻撃チェーンの一部であると認識しますそしてタイムライン付きの単一のインシデントとしてまとめ上げます それを開けば全容を把握できますサインインからデバイスの動作まですべてが順を追って表示されますさらに何が起きたかを知らせるだけではありません ディフェンダーxdrは対策まで実行します設定に応じて侵害されたデバイスをネットワークから自動的に隔離したりパスワードをリセットしたり不審な場所からのサインインをブロックしたりします すべては数分以内に完了しチケットの発行や電話での連絡も不要です専門家チームのようなものだと考えてください 消防士救急救命士警察官が一人のコーディネーターに報告している状態ですコーディネーターは各報告を聞いてパターンを見抜き 問題が広がる前に適切な対応を展開しますこれは利便性の問題ではありませんスピードの問題です 攻撃者は誰にも気づかれることなく数日間ネットワーク内に潜伏することさえありますxdrがあればその期間を数時間あるいは数分にまで短縮できます セキュリティにおいて時間は決して取り戻せないものなのです実際にどのようなメリットがあるのかではこれがビジネスにとって何を意味するのでしょうか 具体的に見ていきましょうまず追うべき警告が減りますdefender xdrが関連する警告をインシデントとしてまとめるため チームが毎日100件もの個別の警告に追われることはありません文脈や証拠推奨される次のステップが記された明確な10件程度のレポートを受け取ることになります 幽霊を追うのではなく本物の脅威に対処できるようになるのです次に調査が迅速化します インシデントビューから攻撃全体をタイムラインとして確認できますデバイスユーザーアカウントメールといった個々の要素をクリックすれば 画面を切り替えることなく詳細を確認できます必要な情報はすべてそこに揃っています コンソールを切り替えたりコピー&ペストを繰り返したりする必要はありませんそして最大の利点は自動化によるクリーンアップかもしれません 脅威が明確な場合defender xdrは自動的に修復を行います悪意のあるメールを全受信トレイから削除しデバイスから感染ファイルを排除し 攻撃者が行ったレジストリ変更まで元に戻します自動洗浄機能付きのセキュリティシステムだと考えてください モップを持って誰かを向かわせる必要はなくシステムが困難を収集します次にプロアクティブなアプローチについてです ここで脆弱性管理が進化を発揮します単なる事後対応ではなくdefender xdrは攻撃の防止を支援しますパッチの未適用弱いパスワード設定ミスがないかデバイスを継続的にスキャンします 悪用される可能性が高い脆弱性に基づいて優先的に対処すべき事項のリストが提示されます推測は不要明確なアクションプランが得られます そして多くの人が見落としている点がありますdefender xdrはwindowsだけでなくクロスプラットフォームで機能します mac linux ios android にも対応しています 多様なデバイスが混在する環境でもビジネスを保護できます実際の事例を紹介しましょう私たちは中規模企業のセキュリティを管理するパートナーと協力しました xdr 導入前インシデント対応時間は平均約4時間でした導入し自動応答ルールを設定した後はそれが約20分に短縮されました 違いはチームの増員やトレーニングの向上ではなくシステムが情報を関連付けたことによるものですこれが実践的な効果というものです アラートの削減迅速な調査自動化されたクリーンアップそして予防的な防御重要なのは優れたツールを持つことではなく連携するツールによりチームが本来の業務に 集中できる環境を作ることですつながり真の力は統合にあります 5つのコンポーネントを見てきましたが重要なのは個々の機能ではなくそれらがどう統合されるかですdefender for endpoint がファイルのダウンロードを検知しdefender for identity が通常と異なる場所からのパスワード変更を検知しdefender for cloud apps が個人用ストレージへのデータアップロードを検知したとします単体ではそれぞれが単なるデータポイントやダッシュボード上の点にすぎません しかしそれらが組み合わさることで一つの物語となり状況が明確になります誰かのアカウントが侵害され組織からデータが流出しているという物語です 多くの人は最高のウイルス対策ソフトやメールフィルターを買うことがセキュリティーだと思っていますそれが数十年に渡り業界が教えてきたことですから しかし現実にはセキュリティーとは単一の製品ではなく環境内で起こっているあらゆる事象を関連づけることですdefender x dr は自動的にそれらの点を結びつけるためチームが手作業で情報をつなぎ合わせる必要はありません ここには見落としがちな相乗効果がありますdefender のコンポーネントの一つが新たな脅威を検知するとそのインテリジェンスが他のすべてに共有されます 具体的な例を挙げましょう例えばdefender for endpoint がデバイスで新しいマルウェアを検出したとします その情報はそこで止まることはありませんdefender for office 365 は直ちにそのマルウェアの電子メールスキャンを開始しdefender for identity は認証情報接種の兆候を監視しますある場所での検出が他のあらゆる場所での保護を強化するのです これは異なるベンダーから個別のツールを購入するだけでは実現不可能なレベルの連携ですその統合を維持するためだけに専任チームが必要になるでしょうマイクロソフトが xdr 分野でクラウドストライクやパロアルトといった企業と競合できるのはそのためですdefender のいずれかのコンポーネントが競合他社より圧倒的に優れているからではなく Microsoft 365 全体での統合がネイティブだからですプラットフォームに直接組み込まれています 他社製品も統合は可能ですが同じ企業が提供し同じデータモデルを共有する場合ほどシームレスにはなりませんでは誰が最も恩恵を受けるのでしょうか Microsoft 365 を利用している企業ならすでにこのインフラの一部は整っていますe5 への移行やe5 セキュリティアドオンの追加により Defender x dr のすべての機能が利用可能になります中小企業向けには Microsoft 365 ビジネスプレミアムでこれらの機能の重要な一部を提供していますつまり全く新しいセキュリティスタックを購入する必要はないかもしれないということですすでに持っている機能を有効にするだけで十分かもしれません結論として何をすべきでしょうか今日から実践できる3つの具体的なステップで締めくくりましょうステップ1 ライセンスを確認してくださいこれは最も簡単にできることですMicrosoft 365 管理センターにアクセスしサブスクリプションを確認して何に対して支払いをしているかを見てくださいe5ですかそれともセキュリティアドオン付きのe3あるいはビジネスプレミアムですかそれによって利用可能な Defender の機能が分かり何が含まれているかに驚くかもしれませんステップ2 適切なライセンスをお持ちなら Defender x dr を有効にしてくださいデフォルトでは常にオンになっているわけではありませんセキュリティ Microsoft.com にアクセスし設定セクションを見つけて統合インシデント体験をオンにしますMicrosoft のドキュメントでは約10分で完了するとされています一度に全てを設定する必要はありません相関エンジンをオンにするだけで即座に可視性が向上し始めますステップ3 まずは簡単なことから始めましょうまだ展開していない場合は全てのデバイスに Defender for エンドポイントを展開してくださいIntune を使っていればこれは簡単ですDefender for Office 365 のプリセットセキュリティポリシーを有効にしてください標準ポリシーと幻覚ポリシーがありどちらか一方で一般的なメール脅威の大半をすぐにブロックできます次に脆弱性管理ダッシュボードを確認してください最も重大なリスクが可視化され何を最初に修正すべきかが明確になります一つ注意点として一度に全てをやろうとしないでくださいコンポーネントごとに保護機能は高まりますが複雑さも増してしまいますまずは一つから始め使い方に慣れてから次を追加していきましょう初日に全てのスイッチをオンにしようとするのは挫折のもとですもし一つだけやるならDefender for Office 365 のプリセットポリシーを導入してくださいメールは今でも攻撃者が組織に侵入する最大の手段ですゲートウェイでそれらの脅威をブロックすることが最も効果的な対策となります準備が整ったらマイクロソフトセキュアスコアダッシュボードで進捗を追跡しましょう推奨アクションが常にリストアップされそれぞれがセキュリティをどう向上させるかを示してくれます自動的に優先順位がつけられるタスクリストのようなものです何があるのかどこから始めるべきか迷ったらITプロバイダーやマイクロソフトパートナーに相談してくださいライセンスの監査や適切な保護設定のサポートを受けコストやセキュリティの損失を防げますつまりマイクロソフトディフェンダーXDRとはそういうものです単に既製品として購入する一つの製品ではありません既存の保護機能を一つのインテリジェントなシステムに統合する統一されたセキュリティ層です真の価値はこれらのコンポーネントがどのように連携するかにあります相互に通信して応答を自動化し攻撃者が被害を与える時間を短縮しますまずはライセンス監査から始め次に基本設定を有効にしましょうあなたが考えている以上にすでに多くの保護機能を持っていますご視聴ありがとうございました役に立ったならマイクロソフトセキュリティの理解に苦戦している方にシェアしてくださいまた次回お会いしましょう