従業員数300人以下中小企業向けプラン「Microsoft 365 Business Premium」には、
- Microsoft Intune：デバイス管理
- Microsoft Defender for Business：ウイルス対策・EDR
が標準で含まれており、追加で別の製品を導入しなくても、設定次第で強固なセキュリティ対策を実現できます。
しかし実際には、せっかくBusiness Premiumプランを導入していても、セキュリティ設定を初期状態（デフォルト）のまま運用している企業は少なくありません。
その結果、本来得られるはずの保護効果を十分に引き出せておらず、かえってセキュリティリスクが高まっている場合があります。
新たなセキュリティ製品の導入を検討する前に、まずは標準搭載されている既存の機能を最大限に活用することが重要です。
そこで今回は、Microsoft 365 Business Premiumプランを導入している企業様に向けて、IntuneとDefender for Businessで見直しておきたいセキュリティ設定を分かりやすく解説します。
「Business Premiumプランを導入したものの、セキュリティ設定を見直しておらず、導入時の設定のまま利用している・・・」
という企業様は、ぜひ参考にしてください。
ICT × Optimization × Navigator = ION(イオン)
情シスが「1人で抱え込まない」環境を実現します
情シスの「誰か手伝って・・・」を現実に。
あなたの頼れる”ナビゲーター”として、共に最適解を見つけ出します。
システム企画から運用・保守、インフラ管理、セキュリティ対策、Microsoft 365活用まで、ITまわりの「困った」を幅広くサポートいたします。
「全部任せたい」も、
「この部分だけ手伝ってほしい」もOK。
専門性の高いものから定常的な作業まで、情シス業務の中から必要な部分だけを柔軟にご依頼いただけます。
目次
１．Microsoft Intuneとは？
Microsoft Intune（インチューン）とは、Microsoft社が提供するクラウド型のデバイス管理サービスです。
「MDM（モバイルデバイス管理）」と「MAM（モバイルアプリケーション管理）」の機能を備えており、PC・スマートフォン等の端末そのものやアプリケーションを一元的に管理できます。
端末設定やセキュリティ設定の一括適用、アプリケーションの一括配布、デバイス紛失時の遠隔ロック・データ消去などが可能で、管理者による効率的な運用とセキュリティ強化を実現します。
Windowsだけでなく、macOSやiOS、Androidなどの幅広いOSに対応しており、リモートワークやBYOD（私物端末の業務利用）が一般的になった現代のビジネス環境において、多くの企業で導入されている代表的なデバイス管理ツールです。
Microsoft 365 Business Premiumプランには標準で含まれているため、追加料金なしで利用できます。
２．Microsoft Defender for Businessとは？
Microsoft Defenderは、Microsoftが提供する一連のセキュリティ製品・サービスの総称です。
個人向けのウイルス対策から企業向けのデバイス保護、クラウドセキュリティまで、幅広い製品が用意されており、利用する環境や目的に応じて最適なサービスを選択できます。
このうち、Microsoft Defender for Businessは、従業員数300人以下の中小企業向けに提供されている、PCやサーバー等のエンドポイントを保護するセキュリティサービスです。
ウイルスやランサムウェアなどのマルウェア対策に加え、EDR（Endpoint Detection and Response）機能も備えており、端末上の不審な挙動をリアルタイムで監視・検知し、迅速な初動対応によって被害の拡大を防ぎます。
Microsoft 365 Business Premiumプランには標準で含まれているため、追加料金なしで利用できます。
３．IntuneとDefenderでまず見直したいセキュリティ設定
ここからは、Microsoft 365 Business Premiumプランで利用できる「Microsoft Intune」と「Microsoft Defender for Business」を活用した、おすすめのセキュリティ設定をご紹介します。
デフォルトで有効になっていない「攻撃面の減少（ASR）」ルール
今回設定を行うのは、Microsoft Defender for Businessに備わっている保護機能の1つ、「攻撃面の減少（ASR：Attack Surface Reduction）」ルールです。
ASRルールは、攻撃者に悪用されやすいWindowsの機能やソフトウェアの挙動をあらかじめ制限し、不正アクセスやマルウェア感染のリスクを低減できるセキュリティ機能です。
例えば、次のような不審な操作をブロックすることができます。
- WordやExcelなどのOfficeアプリを起点とした不審なプログラムの実行
- PowerShellスクリプトを悪用した不正な処理の実行
- USBメモリや外付けHDD経由での不審な実行ファイルの起動
- Windows認証情報の窃取につながる不正なアクセス
ただし、デフォルトの初期状態では、ASRルール機能は「無効」に設定されています。
これは、業務への影響を確認しながら、管理者が段階的に有効化していくことを前提とした設計になっているためです。
初期設定のまま運用している場合、Defenderが本来持っている保護機能を十分に活用できていない可能性があります。
IntuneからASRルールの設定を一元管理できる
ASRルールは、Microsoft Defender for Businessが持つ保護機能ですが、実際の設定はMicrosoft Intuneの管理画面からまとめて行うことができます。
Intune管理センターで端末に適用するセキュリティ設定（ポリシー）を作成すれば、任意のデバイスに一括で適用できます。
多数の端末に同じ設定を効率良く展開できるため、設定漏れの防止や管理負荷の軽減につながります。
優先的に有効化したい3つの「標準保護ルール」
ASRルールは全部で19種類ありますが、その中でもMicrosoft公式が有効化を強く推奨している「標準保護ルール（Standard Protection Rules）」が3つあります。
- Windowsローカルセキュリティ機関サブシステムからの資格情報の盗用をブロックする
- 悪用された脆弱な署名付きドライバーの悪用をブロックする
- WMIイベントサブスクリプションを介して永続性をブロックする
いずれも業務への影響が比較的少なく、セキュリティ強化の第一歩としてまず優先的に有効化したいルールです。
ICT × Optimization × Navigator = ION(イオン)
情シスが「1人で抱え込まない」環境を実現します
情シスの「誰か手伝って・・・」を現実に。
あなたの頼れる”ナビゲーター”として、共に最適解を見つけ出します。
システム企画から運用・保守、インフラ管理、セキュリティ対策、Microsoft 365活用まで、ITまわりの「困った」を幅広くサポートいたします。
「全部任せたい」も、
「この部分だけ手伝ってほしい」もOK。
専門性の高いものから定常的な作業まで、情シス業務の中から必要な部分だけを柔軟にご依頼いただけます。
４．Intuneで3つの「標準保護ルール」を設定してみよう
ここからは、3つの「標準保護ルール」について、Intuneでの設定手順をご紹介します。
まだ設定していない場合は、この機会にぜひ設定してみましょう。
※本番環境へ展開する前に、必ずテスト用の端末やグループで十分な検証を行ってください。
【共通】ASRルールにおける4つの動作モード
IntuneでASRルールを設定する際は、各ルールにつき下記いずれかの動作モードを選択できます。
- 未構成／無効：ルールを適用しない（既定値）
- 監査：動作をブロックせず、ログのみ記録する（検証用）
- 警告：ユーザーに警告を表示し、処理を続行するか選択できる（検証用）
- ブロック：対象の動作を実際にブロックする（本番用）
一般的には、まず「監査」／「警告」モードで業務への影響を十分に検証し、問題がないことを確認したうえで「ブロック」モードへと移行する運用が推奨されます。
検証用の「監査」／「警告」モードは、どちらもルールの有効化によって業務に必要なアプリや動作が誤ってブロックされないかを確認するために活用できますが、それぞれ役割が異なります。
「監査」モードでは、対象の動作をブロックせず、ログだけを記録します。
実際にルールを適用した場合の影響を、実際の業務に支障をきたすことなく安全に把握できます。
一方「警告」モードは、対象の動作を一時的にブロックするものの、ユーザーが警告内容を確認したうえで処理を続行できます。
そのため、より実運用に近い環境で業務への影響を評価するのに適しています。
ただし、一部のASRルールでは「警告」モードが利用できないため注意が必要です。
①Windowsローカルセキュリティ機関サブシステム（LSASS）からの資格情報の盗用をブロックする
Windowsでは、ユーザーの認証情報を「LSASS（ローカルセキュリティ機関サブシステムサービス）」という重要なシステムプロセスで管理しています。
このルールは、攻撃者がLSASSから認証情報を盗み出そうとする不審な動作をブロックし、不正ログインや社内ネットワークへの横展開を防ぐものです。
■Intuneでの設定手順
手順1：Intune管理センターへアクセス
Microsoft Intune管理センターにサインインし、「エンドポイントセキュリティ」＞「攻撃面の減少」を開きます。
手順2：新しいポリシーを作成
「ポリシーの作成」＞「プロファイルの作成」で、プラットフォームに「Windows10、Windows11、Windows Server」、プロファイルに「攻撃の回避規則」を選択し、「作成」をクリックします。
手順3：ASRルールを有効化
「構成設定」タブのルール一覧から「Windowsローカルセキュリティ機関サブシステムからの資格情報の盗用をブロックする」を選択し、任意の動作モードを設定します。
このルールは「警告」モードに対応していないため、「監査」または「ブロック」モードを選択します。
なお、このルールを「監査」モードで有効化すると、正常なアプリケーションによるLSASSへのアクセスも大量にログとして記録されます。
これは仕様上の動作であり、異常ではありません。
そのためMicrosoft公式では、「監査」モードを経由せず、テスト用の端末やグループで「ブロック」モードを有効化し、徐々に適用範囲を広げていく方法も推奨されています。
手順4：テスト端末に限定してポリシーを適用
「割り当て」タブで、ポリシーを適用するグループを選択します。
設定内容を確認したら、「確認および作成」タブで「作成」をクリックします。
これでポリシーの作成は完了です。
業務への影響を最小限に抑えるためにも、まずはテスト用の端末やグループに限定して適用し、問題がないことを確認したうえで、段階的に適用範囲を広げていくことをおすすめします。
②悪用された脆弱な署名付きドライバーの悪用をブロックする
署名付きドライバーとは、正規の開発元が作成し、電子署名によって安全性が確認されたドライバーソフトウェアのことです。
しかし、一部には脆弱性を持つものも存在し、攻撃者によって管理者権限の不正取得やセキュリティ機能の無効化などに悪用されるケースがあります。
このルールは、既知の脆弱性を持つ署名付きドライバーの読み込みをブロックし、ドライバーを悪用した権限昇格やマルウェア感染などのリスクを低減します。
■Intuneでの設定手順
手順1：Intune管理センターへアクセス
Microsoft Intune管理センターにサインインし、「エンドポイントセキュリティ」＞「攻撃面の減少」を開きます。
手順2：新しいポリシーを作成
「ポリシーの作成」＞「プロファイルの作成」で、プラットフォームに「Windows10、Windows11、Windows Server」、プロファイルに「攻撃の回避規則」を選択し、「作成」をクリックします。
手順3：ASRルールを有効化
「構成設定」タブのルール一覧から「悪用された脆弱な署名付きドライバーの悪用をブロックする」を選択し、任意の動作モードを設定します。
ここでは、検証用の「監査」または「警告」モードを選択します。
手順4：テスト端末に限定してポリシーを適用
「割り当て」タブで、ポリシーを適用するグループを選択します。
設定内容を確認したら、「確認および作成」タブで「作成」をクリックします。
これでポリシーの作成は完了です。
まずは、テスト用の端末やグループに「監査」モードまたは「警告」モードでポリシーを適用し、30～60日程度運用しながら、業務への影響がないことを確認しましょう。
問題がなければ、本番の「ブロック」モードへと移行し、ポリシーの適用範囲を徐々に広げていきます。
③WMIイベントサブスクリプションを介して永続性をブロックする
WMI（Windows Management Instrumentation）は、Windowsのシステム情報（ハードウェアやOS、稼働中のプロセスなど）の取得や設定変更を一元的に行うための管理基盤です。
攻撃者は、このWMIの仕組みを悪用して、不正なプログラムを自動実行させたり、PCを再起動した後もマルウェアを動作させ続けたりすることがあります（＝永続化）。
このルールは、そうしたWMIの悪用を防ぎ、不正プログラムが継続的に実行されるリスクを低減します。
■Intuneでの設定手順
手順1：Intune管理センターへアクセス
Microsoft Intune管理センターにサインインし、「エンドポイントセキュリティ」＞「攻撃面の減少」を開きます。
手順2：新しいポリシーを作成
「ポリシーの作成」＞「プロファイルの作成」で、プラットフォームに「Windows10、Windows11、Windows Server」、プロファイルに「攻撃の回避規則」を選択し、「作成」をクリックします。
手順3：ASRルールを有効化
「構成設定」タブのルール一覧から「悪用された脆弱な署名付きドライバーの悪用をブロックする」を選択し、任意の動作モードを設定します。
先述のLSASSルールと同様、このルールも「警告」モードに対応していないため、まずは「監査」モードで業務への影響を確認することをおすすめします。
手順4：テスト端末に限定してポリシーを適用
「割り当て」タブで、ポリシーを適用するグループを選択します。
設定内容を確認したら、「確認および作成」タブで「作成」をクリックします。
これでポリシーの作成は完了です。
まずは、テスト用の端末やグループに「監査」モードでポリシーを適用し、30～60日程度運用しながら、業務への影響がないことを確認しましょう。
問題がなければ、本番の「ブロック」モードへと移行し、ポリシーの適用範囲を徐々に広げていきます。
ICT × Optimization × Navigator = ION(イオン)
情シスが「1人で抱え込まない」環境を実現します
情シスの「誰か手伝って・・・」を現実に。
あなたの頼れる”ナビゲーター”として、共に最適解を見つけ出します。
システム企画から運用・保守、インフラ管理、セキュリティ対策、Microsoft 365活用まで、ITまわりの「困った」を幅広くサポートいたします。
「全部任せたい」も、
「この部分だけ手伝ってほしい」もOK。
専門性の高いものから定常的な作業まで、情シス業務の中から必要な部分だけを柔軟にご依頼いただけます。
５．設定後に確認すべき2つのポイント
ASRルールを設定した後は、IntuneとDefenderの両方で設定が正しく反映されていることを確認しましょう。以下2つの観点で確認を行います。
- Intune側でポリシーが正しく適用されているか
- Defender側でも有効な設定として認識されているか
Intune側でポリシーの適用状況を確認する
まずは、作成したASRポリシーが対象端末に正しく配布・適用されているかを確認します。
■手順
- Microsoft Intune管理センターにサインインする
- 左メニューから「デバイス」＞「Windows」＞「すべてのWindowsデバイス」を開く
- 対象端末を選択し、「デバイスの構成」または「ポリシー設定」を開く
- 設定一覧の中に「Attack Surface Reduction Rules」が表示されていることを確認する
- 状態が「成功」または「適用済み」となっており、エラーが出ていないことを確認する
Defender側でも設定が反映されているか確認する
続いて、Intuneで設定した内容が、Defender側にも有効な設定として反映されているかを確認します。
■手順
- Microsoft Defenderポータルにサインインする
- 左メニューから「エンドポイント」＞「デバイス」を開く
- 対象端末を選択し、「デバイスの構成」または「セキュリティ構成」を開く
- 構成一覧の中に、Intuneで作成したASRポリシーが表示されることを確認する
- 「現在、Intuneを使用してセキュリティポリシーを管理しています」と表示されていれば、設定はDefender側にも正しく反映されている
６．Business Premiumプランで使える他のセキュリティ機能
従業員数300人以下中小企業向けプラン「Microsoft 365 Business Premium」には、ASRルール以外にも、ID管理やアクセス制御、デバイス管理など、より強固なセキュリティ対策を実現できるさまざまな機能が搭載されています。
ASRルールと併せて活用したいBusiness Premiumプランのセキュリティ機能については、以下の記事で詳しく解説していますので、ぜひご参照ください。
■ID管理の基本を知るなら
■アクセス制御を強化するなら
■多要素認証（MFA）を導入するなら
■デバイスの紛失・盗難対策を強化するなら
７．まとめ －「設定して終わり」にしない継続的な運用を
いかがでしたでしょうか？
ASRルールは、一度設定したら終わりではありません。
- 想定外の警告やブロックが発生していないか
- 設定内容が業務実態に合っているか
- 適用できるASRルールが他にもないか
といった観点で、運用開始後も定期的に見直しを行い、自社の環境に合わせて継続的に最適化していくことが重要です。
一方で、設定の見直しやログ・アラートの確認、Microsoft 365の他機能との整合性を考慮した運用を継続するには、専門知識だけでなく、組織的な管理体制も求められます。
日々の問い合わせ対応や通常業務と並行しながら、セキュリティ設定を最適な状態に保ち続けることは、決して簡単ではありません。
当社コンピュータマネジメントでは、「情シス支援サービスION」を通じて、IntuneやDefenderをはじめとしたMicrosoft 365製品の導入・設定から運用・改善まで幅広くサポートしています。
Microsoft 365を活用したセキュリティ対策の強化や運用の効率化をお考えの企業様は、ぜひお気軽にご相談ください。
ICT × Optimization × Navigator = ION(イオン)
情シスが「1人で抱え込まない」環境を実現します
情シスの「誰か手伝って・・・」を現実に。
あなたの頼れる”ナビゲーター”として、共に最適解を見つけ出します。
システム企画から運用・保守、インフラ管理、セキュリティ対策、Microsoft 365活用まで、ITまわりの「困った」を幅広くサポートいたします。
「全部任せたい」も、
「この部分だけ手伝ってほしい」もOK。
専門性の高いものから定常的な作業まで、情シス業務の中から必要な部分だけを柔軟にご依頼いただけます。
お電話・FAXでのお問い合わせはこちら
03-5828-7501
03-5830-2910
【受付時間】平日 9:00~18:00
フォームでのお問い合わせはこちら
この記事を書いた人
Y.M（マーケティング室）
2020年に株式会社コンピュータマネジメントに新卒入社。
CPサイトのリニューアルに携わりつつ、会社としては初のブログを創設した。
現在は「情シス支援」をテーマに、月3本ペースでブログ更新を継続中。
