LoginSignup
4
0

More than 1 year has passed since last update.

Microsoft Security Advent Calendar 2022Advent Calendar 2022Day 20
@kimujun0512

Microsoft Defender for Endpoint から Microsoft Defender for Cloud へサーバーを移行してみた

Last updated at Posted at 2022-12-19

こんにちは。
Microsoft Security Advent Calendar 2022 20日目 に参加させていただきます。

はじめに

Microsoftのサーバー セキュリティ ソリューションには、機能や課金方法が異なる2種類の製品があり、シナリオに応じて適した保護が選択できます。

特に、MDCの有償機能として提供されるMicrosoft Defender for Servers ※以下DfS はサーバー保護に特化したソリューションであり、以下の特徴を持ちます。

  • マルチクラウド (Azure, AWS, GCP) 環境やハイブリッド環境 (オンプレミス含む) に最適化​
  • クラウドのサーバー、コンテナ、ストレージ、データベースなど、様々なリソース タイプに対して、一元的な脅威保護エクスペリエンスを提供​
  • サーバーのダウンタイムは課金がされないため、費用対効果の高いプラン​
    ( DfS ではサーバー単位固定料金ではなく時間単位の従量課金 )​
  • サーバー保護のためのより高度な機能を備えたプラン (Microsoft Defender for Servers P2) にアップグレード可能​

本記事では下記の公式ドキュメントを参考に、MDEにて管理しているサーバーをMDC（DfS）による管理に移行するための作業を実施してみます。
参考：Microsoft Defender for Endpoint から Microsoft Defender for Cloud へのサーバーの移行

前提条件

  • 環境：非Azure（オンプレミス）
  • サーバーOS：Windows Server 2022
  • サーバー台数：1台
  • 初期状態：Microsoft 365 Defender ポータルにて作業対象サーバーのインベントリが確認できる
    ※今回移行するサーバーのホスト名：win-h08arooqfrd
    画像25.png

作業①：Defender for Serversの有効化

  1. Azure Portalにサインインする

  2. 検索等を用いてポータルからMicrosoft Defender for Cloudを開く
    画像1.png

  3. 画面左側メニューのはじめにを選択する

  4. <サブスクリプション名>をクリックする
    画像2.png

  5. サーバーの状態をオンにする
    画像3.png

今回はMDEと機能レベルを合わせるためにプラン1を有効にします。

  1. プランの変更をクリックする

  2. Microsoft Defender for servers プラン 1を選択する

  3. 確認をクリックする
    画像4.png

  4. 保存をクリックする
    画像5.png

これで利用しているサブスクリプションに対してDfSが有効化になりました。

作業②：Defender for Endpointとの統合

  1. Defender for Cloudの画面左側メニューから環境設定を選択する

  2. <サブスクリプション名>をクリックする
    画像1.png

  3. 画面左側メニューから統合を選択する

  4. Microsoft Defender for Endpointによるデータへのアクセスを許可しますにチェックが入っていることを確認する
    ※チェックが入っていない場合、Microsoft Defender for Endpointによるデータへのアクセスを許可します。 にチェックを入れて保存をクリックする
    画像2.png

この設定で連携を有効化することで、サーバーに対しMDC経由でMDEがオンボードされることとなります。サブスクリプション全体で有効になるため、作業①、作業②どちらも完了するとサブスクリプション内のVMに対して、自動プロビジョニングによりMDEがオンボードされます。

作業③：Azure Connected Machine Agent インストールスクリプトの生成

今回の移行対象はオンプレミスのサーバーであるため、MDCによる保護を実装するためにはAzure Arcに接続する必要があります。

  1. Azure Portalにサインインする

  2. 検索等を用いてポータルからAzure Arcを開く
    画像8.png

  3. 画面左側メニューからサーバーを選択する

  4. 画面左上の＋追加をクリックする
    画像9.png

  5. 単一サーバーの追加タイル内のスクリプトの生成をクリックする
    画像10.png

  6. 次へをクリックする
    画像11.png

  7. ドロップダウンよりAzure内でサーバーを管理するサブスクリプションを選択する

  8. ドロップダウンよりAzure内でサーバーを管理するリソース グループを選択する

  9. ドロップダウンよりサーバーの地域を選択する

  10. ドロップダウンよりサーバーのオペレーティング システムを選択する

  11. 接続方法にてサーバーで実行されているConnected Machine Agentのインターネット接続方法を選択する

  12. 次へをクリックする
    画像12.png

  13. 必要に応じてタグを生成する。※不要であればスキップ可

  14. 次へをクリックする
    画像13.png

  15. ダウンロードをクリックする

  16. ダウンロードの完了後、閉じるをクリックする
    画像14.png

  17. ダウンロードしたスクリプトをAzure Arcインストール対象のサーバーに格納する
    画像15.png

作業④：Azure Connected Machine Agent のインストール

いよいよ最後の工程です。作業③で作成したインストールスクリプトをサーバーで実行することで、Azure Connected Machine Agentをインストールします。

  1. Azure Arcインストール対象のサーバーにログインする

  2. 管理者特権のPowerShell コマンドプロンプトを開く
    画像16.png

  3. インストールスクリプトを実行する
    画像17.png

  4. スクリプトの起動後、Azure Portalへのログインを求められる
    画像18.png

  5. 自動的にブラウザが起動し、ログイン画面が表示される

  6. Azure Portalのクレデンシャル情報を用いてログインする
    画像19.png

  7. Authentication completeが表示されたらブラウザを閉じる
    画像20.png

  8. 手順6で認証が成功するとスクリプトが再開するため、完了するまで待つ
    画像21.png

  9. Azure Portalにサインインする

  10. 検索等を用いてポータルからAzure Arcを開く
    画像22.png

  11. Azure Arcの画面左側メニューからサーバーを選択する

  12. インストールスクリプトを実行したサーバーのホスト名が表示されていて、状態が接続済みであることを確認する
    画像23a.png
    接続済みの状態を確認できるまで多少のタイムラグが生じる場合があるため、すぐに確認できなくても焦らず時間を置いて再度確認してみてください。

検知テスト

移行に必要な作業はすべて完了したので、正しく移行ができているかを検知テストで確認します。
参考：MDE検知テスト手順

移行したサーバーにログイン後、コマンドプロンプトを管理者権限で起動し、以下のコマンドを実行します。

検知テスト用コマンド
powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'

画像28.png

コマンド実行後、MDCのセキュリティ警告を開き、[Test Alert] Suspicious Powershell commandlineが発報されていれば移行は成功です。
画像26.png

注意点として、本アラートサンプルは重要度が情報案内となっています。もし待てど暮らせどアラート発報を確認できない場合、重要度に対するフィルターの設定を確認してみてください。
環境によっては高、中、低のみ表示するようになっているので、情報案内も表示するようフィルターを再設定すると確認できるかもしれません。

最後に

以上で全作業完了です。今回のオンプレサーバーのように非Azure環境のサーバーを保護するためにはサーバーにAzure Connected Machine Agent をインストールしてAzure Arcへの接続が必要になりますが、Azure上のVMやすでにAzure Arcの設定が完了しているサーバーについては作業①と作業②完了時点でMDCが有効になるため、非常に簡単であることが分かります。
今回はDfS プラン1のみ有効化しましたが、他にもAzure、AWS、GCP、オンプレ問わずリソースを保護できる機能がMDCでは提供されています。
参考：https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-cloud-introduction
ぜひ一度お試しください。

ここまで読んでいただきありがとうございました。

4
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
4
0