Microsoft Defender for Endpointを利用してリモートでデバイスに接続

Microsft Defender for Endpoint(以下MDfE)は、企業のPC・スマートフォン・サーバーなどのエンドポイントを高度なサイバー攻撃から守るための、統合セキュリティプラットフォームです。

MDfEの機能は多数ありますが、本記事では最近導入された「ライブ応答機能」について紹介します。

まだ、利用したことがない方や、これから利用する方向けに機能の概要と利用方法について紹介します。

本章ではライブ応答機能の概要について説明します。

ライブ応答機能は、セキュリティ運用チームがエンドポイントにリモートでアクセスできる機能です。

端末から脅威を検知したら、現場に駆けつけることなくリアルアイムで調査・対処を行うことができます。

本章ではライブ応答機能で遠隔操作できる主な機能の紹介をします。

ライブ応答機能を利用するために、事前に以下の条件を満たしておく必要があります。

なお、MDfEには事前にオンボーディングしておいてください。

それ以外のOSの前提条件については、下記の公開情報をご参考ください。

本章では、ライブ応答機能の有効化の方法について説明します。

下記のURLにアクセスし、MDfEのポータルにアクセスします。
https://security.microsoft.com/
[システム]-[設定]をクリックします。
[エンドポイント]をクリックします。
下記の3つの項目を有効化し、[ユーザー設定の保存]をクリックします。
- Live Response
- Live Response for Servers
- Live Responseの署名のないスクリプトの実行

本章では、実際にライブ応答機能を使用してスクリプトを実行します。

MDfEのポータルにアクセスします。
[アセット]-[デバイス]をクリックします。
今回、ライブ応答機能を実行する端末をクリックします。
右上の三点リーダーをクリックし、[ライブ応答セクションを開始する]をクリックします。
ライブ応答機能のセクションが開始したら、左上に「接続済み」が表示されていることを確認します。
ここからは、実際にコマンドを使用してライブ応答機能を確認します。今回はgetコマンドを使用して端末に保存されているファイルをリモートで取得してみます。下記のコマンドを入力して、端末に保存されているファイルをダウンロードします。
```
get C:\Users\MDEテストユーザー\Documents\MDE.txt
```