対象ライセンス
以下のライセンスでご利用いただけます（別途記載されている場合を除きます）。
SeciossLink Enterprise, SeciossLink ゼロトラストSSO, ゼロトラストBusiness
この記事では、SeciossLinkとEDR製品「Microsoft Defender for Endpoint」の連携機能の概要と設定方法を解説します。
機能の概要
SeciossLinkとEDR製品の「Microsoft Defender for Endpoint」を連携することで、エンドポイントのセキュリティ強化を実現します。
Microsoft Defender for Endpointが不正アクセスを検知した場合、Azure Event Hubsで収集したイベント情報をSeciossLinkに送信します。イベント情報を受信したSeciossLinkは、端末を利用しているアカウントを自動的に無効化、もしくはアクセス時にリスクベース認証を適用して追加認証を要求することで、不審な端末からのアクセスを防止してセキュリティを強化します。
（例1）通常時のログインフロー
（例2）Microsoft Defender for Endpointで検知後、SeciossLinkでアカウント停止した場合の流れ
（例3）Microsoft Defender for Endpointで検知後、SeciossLinkで追加認証する場合の流れ
ポイント
SeciossLinkでは、Microsoft Defender for Endpointから送信されたアラート通知を元に、端末ではなくアカウント単位で不正アクセスを防止します。複数の端末を利用するユーザーから特定の端末でのみ不正アクセスが検知された場合も、該当のSeciossLinkアカウントが利用する端末すべてが不正アクセスの防止対象となります。
例えば、ユーザーXが端末A・端末B・端末Cの3台を利用している場合、端末Aから不正アクセスが検知が発生するとユーザーXのSeciossLinkアカウントに検知ログによる不正アクセスの防止が適用されます。そのため、リスクベース認証を設定している場合は、端末B及びCからのアクセスに対しても追加認証が求められます。
設定の流れ
Microsoft Defender for Endpointと連携し、不審な端末からのアクセスを防いでセキュリティを強化するために必要な設定は以下のとおりです。
Microsoft製品の設定
以下の手順でMicrosoft製品の設定を行います。
Microsoft Entra IDの設定
Microsoft Entra IDの設定を行います。
-
以下の記事を参照して、Microsoft Entra IDにSeciossLinkと連携するアプリケーションを登録します。
参照する記事：アプリケーションの登録確認
既にSeciossLinkをアプリケーションとして登録をしている場合は、以下を確認のうえお手元にお控えください。
・アプリケーション（クライアント）ID
・ディレクトリ (テナント) ID -
以下の記事を参照して、証明書またはクライアントシークレットを登録します。
参照する記事：証明書またはクライアントシークレットの登録※「証明書のパスフレーズ」または「クライアントシークレットの値」は、SeciossLinkの設定にも使用します。
必ずお手元にお控えください。確認
既にシングルサインオン連携などで登録済みの場合も、有効期限やパスフレーズ・値などの管理の観点から
新規作成されることを推奨します。 -
以下の記事を参照して、APIのアクセス許可を追加します。
参照する記事：APIのアクセス許可の追加確認
「Microsoft Graph の追加」で行うアクセス許可先に、以下の4件を設定します。
なお、追加時は手順4のAPIアクセス許可の要求で、［アプリケーションの許可］を選択します。
アクセス許可の名称：
・Alert.Read.All
・Alert.ReadWrite.All
・Machine.Read.All
・Machine.ReadWrite.All
すべてのアクセス許可を追加後に画面下の［アクセス許可の追加］をクリックし、設定完了です。 - 以下の記事を参照して、全体管理者ロールを割り当てます。
参照する記事：全体管理者ロールの割り当て
以上でMicrosoft Entra IDの設定は完了です。
Azure Event Hubsの作成
確認
本設定には、Microsoft 365のライセンス「Microsoft Defender for Endpoint Plan 2」または「Microsoft 365 E5」が必要です。
※Microsoft 365の「Defender for Endpoint Plan 1」「Microsoft 365 E3」「Microsoft 365 Business Premium」では
Azure Event Hubs連携ができないため、ご注意ください。
また、Microsoft Defenderポータルの管理者権限とAzure Event Hubs作成用にAzure サブスクリプションの管理者権限が
必要となります。
名前空間の作成
-
Azureポータル設定 にある［Event Hubs］をクリックします。
-
Event Hubs画面で［＋作成］をクリックします。
-
［名前空間の作成］より、基本タブ内で*印の付いた必須項目を設定します。
その他のタブはデフォルト設定のままで問題ありません。 -
その他のタブはデフォルト設定のまま、［確認と作成］タブを開きます。
- ［確認と作成］タブの下部にある作成ボタンをクリックすることで、Event Hubsの設定が作成されます。
［名前空間の作成］の設定項目
| 項目 | 説明 |
|---|---|
| サブスクリプション | ドロップダウンメニューから［従量課金］を選択します。 |
| リソース グループ | ドロップダウンメニューから既存のグループを選択するか、 新規作成でグループを新たに作成します。 |
| 名前空間の名前 | 任意の名前を設定します。 |
| リージョン ※名前空間の名前を設定すると表示されます |
Japan WestかJapan Eastを選択します。 |
| 価格レベル ※リージョンを設定すると表示されます |
Basicを選択します。 |
| スループット ユニット ※価格レベルを設定すると表示されます |
1を選択します。 |
Event Hubsの作成
-
名前空間の作成 で作成した任意の名前空間をクリックします。
-
名前空間画面の「＋イベントハブ」をクリックします。
-
イベントハブの作成画面で必要項目を入力します。
- ［確認と作成］タブの下部にある「作成」ボタンをクリックすることで、イベントハブが作成されます。
［Event Hubsの作成］の設定項目
| 項目 | 説明 |
|---|---|
| 名前 | イベントハブの名前を設定します。 |
| パーティション数 | イベントハブで並列処理するメッセージ数を設定します。 |
| クリーンアップポリシー | イベントハブに届くメッセージの保持と削除を設定します。 |
| 保持時間（時間） | クリーンアップポリシーをDeleteにした場合のメッセージ保持時間を 設定します。 |
IAM ロールの割り当て
- Event Hubs ＞ 作成した名前空間（任意のディレクトリ）をクリックします。
-
Event Hubsのメニュー欄から「アクセス制御（IAM)」をクリックします。
-
アクセス制御 (IAM)画面の「追加」ボタンをクリックします。
-
ロールの割り当ての追加画面で、検索バーに「azure event hubs のデータ受信者」を入力します。
-
検索結果に「azure event hubs のデータ受信者」が表示されることを確認したら、クリックして選択状態にしたうえで画面下部の「レビューと割り当て」をクリックしてから「次へ」をクリックします。
-
メンバーの項目の「＋メンバーを選択する」をクリックすると画面右にメンバー選択欄が表示されます。
検索バーにID同期用アプリケーション名を入力して対象アプリケーションが表示された状態で「選択」をクリックします。
メンバーが登録された状態で「次へ」をクリックします。 -
ロールとメンバーの設定が問題ないことを確認したら「レビューと割り当て」をクリックします。
SAS キーの取得
-
Event Hubs ＞ 作成した名前空間（任意のディレクトリ）をクリックします。
-
作成したイベントハブ（任意のイベント）をクリックします。
-
「接続」をクリックします。
-
ポリシーをクリックします。
※ポリシーを作成していない場合は「追加」をクリックしてポリシーを作成してください。 -
主キーまたはセカンダリキーを控えてSeciossLinkのEDR設定画面の「SAS（Shared Access Signature）キー」に
設定します。設定するキーは主キー・セカンダリキーどちらでも構いません。
※SeciossLinkの設定に使用します。必ずお手元にお控えください。以上でAzure Event Hubsの作業は完了です。
Microsoft Defender for Endpointの設定
対象ライセンス
検知対象の端末にMicrosoft Defender for Endpointを登録する方法は以下の2通りとなります。
お客様ごとのセキュリティポリシーに応じて端末の環境を準備ください。
1. Microsoft Intune 経由の配布
2. Microsoft Defenderのエンドポイント画面から直接インストーラーをダウンロードして、対象端末にインストールする
-
Microsoft Defenderのポータル画面から「アセット」を展開して「デバイス」をクリックします。
-
デバイスのインベントリ画面から「オンボード」をクリックします。
-
エンドポイント画面で「自動的に展開する」の中にあるIntuneの「詳細情報」をクリックすると、Intuneを経由して各検知対象の端末にMicrosoft Defender for Endpointを配布する手順についての案内があります。
Intune自動配布：
Intune自動配布には、Intune管理センターへの端末登録に加えて端末への配布設定を行う必要があります。
上記の「詳細情報」をクリックして遷移した「Intuneデバイスとオンボード デバイスでMicrosoft Defender for Endpointを構成する」内の「オプション 1: クイック セットアップ (事前構成済みポリシー)」に記載された内容を実施してください。
「オプション 1: クイック セットアップ (事前構成済みポリシー)」を設定すると、Intune管理センターに登録されている全ての端末にMicrosoft Defender for Endpointが自動配布されます。
直接インストール：
「パッケージまたはファイルをダウンロードして適用して展開します。」の中にある「Defender 展開ツール」のオンボードをクリックすると、アクセスキーを発行したうえでインストーラーがダウンロードできます。
SeciossLinkの設定
SeciossLinkの設定は以下のとおりです。
- クライアント証明書の設定
- リスクベース認証の設定 ※不正検知後の対応が「追加認証」の場合
- SeciossLinkのEDR設定
クライアント証明書の設定
ユーザーの端末にクライアント証明書を導入します。
参照する記事：クライアント証明書（SeciossLink）の発行
ポイント
クライアント証明書の設定では、証明書が端末を識別するためのOTA（クライアント証明書を指定のデバイスに配布するための方法）設定が必須です。
例：Windows端末の場合はMACアドレスを設定します。
リスクベース認証の設定 ※不正検知後の対応が「追加認証」の場合
リスクベース認証を設定します。
リスクベース認証は、Microsoft Defender for Endpointで検知後にSeciossLinkでリスクベース認証（追加認証）を適用する場合に設定します。
※Microsoft Defender for Endpointで検知後、SeciossLinkのアカウントを無効化する場合にはリスクベース認証の設定は不要です。
ポイント
リスクベース認証は、アクセス時のリスクレベルをSeciossLinkが自動判定し、設定に応じて追加認証を要求する機能です。
EDR連携ではリスクレベルを問わず、Microsoft Defender for Endpointの検知後は自動でリスクベース認証で設定した認証方式が要求されます。
-
リスクベース認証を設定します。
参照する記事：認証ルールを設定する
※「認証ルールを設定する」>「認証ポリシーの設定」>「リスクベース認証の設定」をご参照ください。確認
リスクベース認証では、認証ルールと異なる認証方式を設定してください。
認証ルールは （左メニューバー）認証 ＞ 一覧 から確認できます。
設定例：
認証ルールにID/パスワード認証とワンタイムパスワードを設定する場合、リスクベース認証にはFIDO認証を設定する。 -
認証ルールの認証方式に、「リスクベース認証」を追加します。
参照する記事：認証ルール登録
SeciossLinkのEDR設定
SeciossLinkの連携設定をします。
- SeciossLinkの管理コンソールにて、（左メニューバー）端末 ＞ 端末 を開き、上部タブ［EDR 設定］をクリックします。
- EDR設定画面が開きます。
- ［EDR 設定］の項目で、ドロップダウンメニューから「Microsoft Defender for Endpoint」を選択します。
-
認証 >［Microsoft 365の接続方式］の項目で、前述のMicrosoft Entra IDの設定で登録した接続方式（証明書またはクライアントシークレット）を選択します。
-
［ディレクトリID］および［アプリケーションID］の項目に、Microsoft Entra IDで設定した値を記入します。
ディレクトリID：Microsoft Entra IDで作成したアプリケーションの「ディレクトリ (テナント) ID」を入力しますアプリケーションID：Microsoft Entra IDで作成したアプリケーションの「アプリケーション (クライアント) ID」を入力します。
-
「Microsoft 365の接続方式」の項目に応じて、その他の値を入力します。
-
［証明書］を選択した場合：
証明書(PKCS#12形式)：Microsoft Entra IDのプライベート証明書発行時に発行された.pfx形式の証明書をアップロードします。
証明書のパスフレーズ：Microsoft Entra IDのプライベート証明書を発行した際に設定したパスワードを入力します。
-
［クライアントシークレット］を選択した場合：
クライアントシークレット：Microsoft Entra IDのクライアントシークレットの値を入力します。
-
［名前空間］の項目で、Azure Event Hubsの名前空間を設定します。
- ［コンシュマーグループ］の項目で、Azure Event Hubsのコンシュマーグループを設定します。
-
［SAS（Shared Access Signature）キー］の項目で、Azure Event Hubsの主キーを設定します。
-
［重大度］の項目で、ドロップダウンメニューから「Microsoft Defender for Endpoint」の検知レベルを設定します。
-
［対応方法］の項目で、ドロップダウンメニューから「Microsoft Defender for Endpoint」が不正検知した際の対応方法を選択します。
追加認証：Microsoft Defender for Endpointが不正を検知すると、認証ルールの認証方式に加えて「リスクベース認証」で設定した認証方式を追加で要求します。
アカウント停止：Microsoft Defender for Endpointが不正を検知すると、その端末に紐づくユーザーアカウントのユーザー状態が無効になります。ユーザー状態が無効の場合、SeciossLinkにログインできません。
-
すべての項目の設定が完了したら、下部の［保存］をクリックします。以上でSeciossLinkの設定は完了です。
※EDR設定で入力及び変更された項目が反映されるまで1時間ほどかかります。
例えば、［対応方法］をアカウント停止から追加認証に変更した場合、不正アクセス検知後のSeciossLink側の挙動が
追加認証に切り替わるのは1時間後となります。
図 SeciossLinkのEDR設定画面の設定イメージ
表 SeciossLinkのEDR設定画面で設定する項目と説明
| 項目 | 説明 |
|---|---|
| Microsoft 365の接続方式 |
Microsoft Entra IDの設定で登録した接続方式を選択します。
|
| ディレクトリID | Microsoft Entra ID側で作成したアプリケーションの「ディレクトリ (テナント) ID」を入力します。 |
| アプリケーションID | Microsoft Entra ID側で作成したアプリケーションの「アプリケーション (クライアント) ID」を入力します。 |
| クライアントシークレット |
※Microsoft 365の接続方式：［クライアントシークレット］選択時のみ入力 Microsoft Entra ID側でクライアントシークレットを発行した際に控えた"値"の文字列を入力します。 |
| 証明書(PKCS#12形式) |
※Microsoft 365の接続方式：［証明書］選択時のみ入力 プライベート証明書発行時に発行された.pfx形式の証明書をアップロードします。 |
| 証明書のパスフレーズ |
※Microsoft 365の接続方式：［証明書］選択時のみ入力 プライベート証明書を発行した際に設定したパスワードを入力します。 |
| 名前空間 | Azure Event Hubsで作成した「名前空間」を入力します。 |
| 名前 | 名前空間で作成した「Event Hubs」を入力します。 |
| コンシュマーグループ |
Event Hubsに作成した「コンシュマーグループ」を入力します。 ※「$Default」というコンシュマーグループがデフォルトで存在します。 |
| SAS（Shared Access Signature）キー | SASポリシーで取得した主キーまたはセカンダリキーのどちらかを入力します。 |
| 重大度 | Azure Event Hubから送信されるイベントの検知レベルを設定します。 左がSeciossLink側で設定する重大度の設定値。 右がAzure Event Hubの対応する重大度（Severity）になります。 高以上 = high 中以上 = medium 低以上 = low 情報以上 = low |
| 対応方法 |
Microsoft Defender for Endpointが不審なアクセスを検知した後のSeciossLinkの対応方法を選択します。
また、上記の処理を実施した後は、対象ユーザーのセッションをクリアします。 |
※上記すべての項目を設定してください。設定後は必ず保存してください。
困ったときには
Q. Microsoft Defender for Endpointで不審検知してもSeciossLinkで設定した追加認証が実施されない。
A. リスクベース認証が設定されていない可能性があります。
ユーザーの認証ルールにリスクベース認証が設定されているかをご確認ください。
参照する項目：リスクベース認証の設定