シナリオ例: Endpoint Protection を使用してマルウェアからコンピューターを保護する

[アーティクル]
04/04/2023

Configuration Manager (現在のブランチ) に適用

この記事では、Configuration Managerで Endpoint Protection を実装して、組織内のコンピューターをマルウェア攻撃から保護する方法のシナリオ例を示します。

シナリオの概要

Configuration Managerは、Woodgrove Bank にインストールされ、使用されます。現在、銀行は Endpoint Protection を使用して、マルウェア攻撃からコンピューターを保護しています。さらに、銀行は Windows グループポリシーを使用して、社内のすべてのコンピューターで Windows ファイアウォールが有効になっていることを確認し、Windows ファイアウォールが新しいプログラムをブロックしたときにユーザーに通知されるようにします。

Configuration Manager管理者は、最新のマルウェア対策機能の恩恵を受け、Configuration Manager コンソールからマルウェア対策ソリューションを一元的に管理できるように、Woodgrove Bank マルウェア対策ソフトウェアを Endpoint Protection にアップグレードするよう求められました。

ビジネス要件

この実装には、次の要件があります。

Configuration Managerを使用して、現在グループポリシーによって管理されている Windows ファイアウォール設定を管理します。
Configuration Managerソフトウェア更新プログラムを使用して、マルウェア定義をコンピューターにダウンロードします。ソフトウェア更新プログラムを利用できない場合 (たとえば、コンピューターが企業ネットワークに接続されていない場合)、コンピューターは Microsoft Update から定義の更新プログラムをダウンロードする必要があります。
ユーザーのコンピューターは、毎日クイックマルウェアスキャンを実行する必要があります。ただし、サーバーは毎週土曜日、営業時間外の午前 1 時にフルスキャンを実行する必要があります。
次のいずれかのイベントが発生するたびに電子メールアラートを送信します。
- 任意のコンピューターでマルウェアが検出される
- コンピューターの 5% 以上で同じマルウェアの脅威が検出される
- 24 時間の間に同じマルウェアの脅威が 5 回以上検出される
- 24 時間の間に 3 種類以上のマルウェアが検出される
その後、管理者は次の手順を実行して Endpoint Protection を実装します。

Endpoint Protection を実装する手順

プロセス	関連情報
管理者は、Configuration Managerの Endpoint Protection の基本的な概念に関する利用可能な情報を確認します。	Endpoint Protection の概要については、「 Endpoint Protection」を参照してください。
管理者は、Woodgrove Bank 階層の上部にある 1 つのサイトシステムサーバーにのみ Endpoint Protection サイトシステムの役割をインストールします。	Endpoint Protection サイトシステムの役割をインストールする方法の詳細については、「Endpoint Protection の構成」の「前提条件」を参照してください。
管理者は、SMTP サーバーを使用して電子メールアラートを送信するようにConfiguration Managerを構成します。メモ：エンドポイント保護アラートが生成されたときに電子メールで通知を受け取る場合にのみ、SMTP サーバーを構成する必要があります。	詳細については、「 Endpoint Protection でアラートを構成する」を参照してください。
管理者は、Endpoint Protection クライアントをインストールするすべてのコンピューターとサーバーを含むデバイスコレクションを作成します。このコレクションには、 Endpoint Protection によって保護されているすべてのコンピューターという名前が付けられます。ヒント：ユーザーコレクションのアラートを構成することはできません。	コレクションを作成する方法の詳細については、「コレクションを作成する方法」を参照してください。
管理者は、コレクションに対して次のアラートを構成します。 1) マルウェアが検出されました: 管理者は、アラートの重大度を [重大] に構成します。 2) 同じ種類のマルウェアが多数のコンピューターで検出される: 管理者は、アラートの重大度を [重大] に構成し、5% を超えるコンピューターでマルウェアが検出されたときにアラートが生成されるように指定します。 3) 同じ種類のマルウェアがコンピューター上の指定された期間内に繰り返し検出されます:管理者は、アラートの重大度を [重大] に構成し、マルウェアが 24 時間で 5 回以上検出されたときにアラートが生成されるように指定します。 4) 指定した期間内に同じコンピューターで複数の種類のマルウェアが検出される: 管理者は、アラートの重大度を [重大] に構成し、24 時間以内に 3 種類を超えるマルウェアが生成されたときにアラートを生成するように指定します。 [アラートの重大度] の値は、Configuration Manager コンソールおよび電子メールメッセージで受信するアラートに表示されるアラートレベルを示します。また、Configuration Manager コンソールでアラートを監視できるように、[Endpoint Protection] ダッシュボードで [このコレクションを表示する] オプションを選択します。	Endpoint Protection の構成に関するページの「 Endpoint Protection のアラートの構成」を参照してください。
管理者は、自動展開規則Configuration Manager使用して、定義更新プログラムを 1 日に 3 回ダウンロードして展開するようにソフトウェア更新プログラムを構成します。	詳細については、「Configuration Manager ソフトウェア更新プログラムを使用して定義更新プログラムを配信する」の「Configuration Manager ソフトウェア更新を使用して定義更新を配信する」セクションを参照してください。
管理者は、既定のマルウェア対策ポリシーの設定を確認します。このポリシーには、Microsoftからの推奨されるセキュリティ設定が含まれています。コンピューターで毎日クイックスキャンを実行するには、次の設定を変更します。 1) クライアントコンピューターで毎日のクイックスキャンを実行する: はい。 2) 毎日のクイックスキャンスケジュール時間: 午前9時00分。管理者は、Microsoft Update から配布された更新は、既定で定義の更新ソースとして選択されていることに注意してください。これは、コンピューターがConfiguration Managerソフトウェア更新プログラムを受け取ることができない場合Microsoft更新プログラムから定義をダウンロードするというビジネス要件を満たします。	Endpoint Protection のマルウェア対策ポリシーを作成して展開する方法に関するページを参照してください。
管理者は、 Woodgrove Bank Servers という名前の Woodgrove Bank サーバーのみを含むコレクションを作成します。	「コレクションを作成する方法」を参照してください
管理者は、 Woodgrove Bank Server Policy という名前のカスタムマルウェア対策ポリシーを作成します。スケジュールされたスキャンの設定のみを追加し、次の変更を行います。スキャンの種類: 完全スキャン日: 土曜日スキャン時間: 午前 1 時クライアントコンピューターで毎日のクイックスキャンを実行する: いいえ。	Endpoint Protection のマルウェア対策ポリシーを作成して展開する方法に関するページを参照してください。
管理者は、Woodgrove Bank Server Policy カスタムマルウェア対策ポリシーを Woodgrove Bank Servers コレクションに展開します。	「マルウェア対策ポリシーをクライアントコンピューターに展開するには」を参照してください。Endpoint Protection のマルウェア対策ポリシーを作成して展開する方法に関する記事を参照してください。
管理者は、Endpoint Protection 用のカスタムクライアントデバイス設定の新しいセットを作成し、これらの Woodgrove Bank Endpoint Protection 設定に名前を付けます。メモ：階層内のすべてのクライアントに Endpoint Protection をインストールして有効にしない場合は、クライアントコンピューターで Endpoint Protection クライアントを管理するオプションとクライアントコンピューターにEndpoint Protection クライアントをインストールするオプションの両方が、既定のクライアント設定で [いいえ ] として構成されていることを確認します。	詳細については、「 Endpoint Protection のカスタムクライアント設定を構成する」を参照してください。
Endpoint Protection に対して次の設定を構成します。クライアントコンピューターで Endpoint Protection クライアントを管理する: はいこの設定と値により、インストールされている既存の Endpoint Protection クライアントがConfiguration Managerによって管理されるようになります。クライアントコンピューターに Endpoint Protection クライアントをインストールする: はい。
管理者は、 Woodgrove Bank Endpoint Protection Settings クライアント設定を Endpoint Protection によって保護されたすべてのコンピューターコレクションに展開します。	Configuration Managerでの Endpoint Protection の構成に関するページの「Endpoint Protection のカスタムクライアント設定を構成する」を参照してください。
管理者は、Windows ファイアウォールポリシーの作成ウィザードを使用して、ドメインプロファイルに対して次の設定を構成してポリシーを作成します。 1) Windows ファイアウォールを有効にする: はい 2) Windows ファイアウォールが新しいプログラムをブロックしたときにユーザーに通知する: はい	「Endpoint Protection 用の Windows ファイアウォールポリシーを作成して展開する方法」を参照してください
管理者は、新しいファイアウォールポリシーを、前に作成した Endpoint Protection によって保護されたすべてのコンピューターのコレクションに展開します。	Endpoint Protection 用の Windows ファイアウォールポリシーを作成して展開する方法に関するページの「Windows ファイアウォールポリシーを展開するには」を参照してください。
管理者は、Endpoint Protection で使用可能な管理タスクを使用してマルウェア対策ポリシーと Windows ファイアウォールポリシーを管理し、必要に応じてコンピューターのオンデマンドスキャンを実行し、コンピューターに最新の定義をダウンロードさせ、マルウェアが検出されたときに実行するその他のアクションを指定します。	Endpoint Protection のマルウェア対策ポリシーとファイアウォール設定を管理する方法に関するページを参照してください
管理者は、Endpoint Protection の状態と Endpoint Protection によって実行されるアクションを監視するために、次の方法を使用します。 1) [監視] ワークスペースの [セキュリティ] の [Endpoint Protection Status] ノードを使用します。 2) [資産とコンプライアンス] ワークスペースの [Endpoint Protection] ノードを使用します。 3) 組み込みのConfiguration Managerレポートを使用します。	「Endpoint Protection を監視する方法」を参照してください

管理者は Endpoint Protection の正常な実装をマネージャーに報告し、Woodgrove Bank のコンピューターが、与えられたビジネス要件に従ってマルウェア対策から保護されていることを確認します。

次の手順

詳細については、「Endpoint Protection を構成する方法」を参照してください。