Defender for Servers に関する一般的な質問

はい。 サブスクリプション内の特定のリソースで Defender for Servers を管理できるようになり、保護戦略を完全に制御できます。 この機能を使用すると、サブスクリプション レベルで構成されている設定とは異なるカスタム構成で特定のリソースを構成できます。 リソース レベルでの Defender for Servers の有効化の詳細について学習します。 ただし、接続されている AWS アカウントまたは GCP プロジェクトで Microsoft Defender for Servers を有効にすると、接続されているすべてのマシンが Defender for Servers によって保護されます。

Microsoft Defender for Endpoint for Servers のライセンスを既にお持ちの場合は、Microsoft Defender for Servers Plan 1 または 2 のライセンスの該当部分について料金を払う必要はありません。

割引を要求するには、ヘルプとサポート センターで新しいサポート リクエストを作成し、Azure ポータルを通じて Defender for Cloud サポート チームにお問い合わせください。

1. Azure portal にサインインします。

2. [サポートとトラブルシューティング] を選択します

   

3. [ヘルプとサポート] を選択します。

4. [サポート リクエストの作成] を選択します。

5. 次の情報を入力します。

   

6. [次へ] を選択します。

7. [次へ] を選択します。

8. [追加情報] タブで、お客様の組織名、テナント ID、購入したMicrosoft Defender for Endpoint for Servers のライセンス数、購入したMicrosoft Defender for Endpoint for Servers のライセンスの有効期限、その他すべての必須フィールドを入力します。

9. [次へ] を選択します。

10. ［作成］ を選択します

サブスクリプションで Defender for Servers を有効にすると、電源状態に基づいて、すべてのマシンに対して課金されます。

Azure VM:

Azure Arc マシン:

Defender for Servers プラン 1 は Log Analytics に依存しません。 サブスクリプション レベルで Defender for Servers プラン 2 を有効にすると、既定の Log Analytics ワークスペースで Defender for Cloud によってそのプランが自動的に有効になります。 カスタム ワークスペースを使用する場合は、ワークスペースでプランを有効にするようにしてください。 詳細については、次を参照してください。

• サブスクリプションと接続されたカスタム ワークスペースに対して Defender for Servers を有効にした場合、両方に対して課金されることはありません。 システムでは一意の VM が識別されます。
• クロスサブスクリプション ワークスペースで Defender for Servers を有効にする場合:
  • Log Analytics エージェントの場合、Defender for Servers プランが有効になっていないサブスクリプションを含め、すべてのサブスクリプションの接続されたマシンが課金されます。
  • Azure Monitor エージェントの場合、Defender for Servers の課金と機能の対象範囲は、サブスクリプションで有効になっているプランのみに依存します。

Microsoft Defender for Servers は、Log Analytics ワークスペース レベルで有効にできますが、そのワークスペースに報告するサーバーのみが保護および課金され、それらのサーバーは、Microsoft Defender for Endpoint、脆弱性評価、Just-In-Time VM アクセスなど一部の利点を得られません。

Defender for Servers プラン 2 を有効にすると、1 日あたり 500 MB の無料データ インジェストが得られます。 この許容量は具体的には、Defender for Cloud によって直接収集されたセキュリティ データ型が対象となります。

この許容量は、1 日あたりのレートを全ノードにわたって平均したものです。 1 日の空き容量の合計制限は [マシンの数] × 500 MB です。 100 MB を送信するマシンの他に 800 MB を送信するマシンがあったとしても、その合計が 1 日の無料の上限を超えなければ、余分に課金されることはありません。

Defender for Cloud の課金は、Log Analytics の課金と密接に関連しています。 Microsoft Defender for Servers では、セキュリティ データ型の以下のサブセットに対して、マシンで 1 日 1 ノード当たり 500 MB の割り当てが提供されます:

• SecurityAlert
• SecurityBaseline
• SecurityBaselineSummary
• SecurityDetection
• SecurityEvent
• WindowsFirewall
• ProtectionStatus
• ワークスペースで Update Management ソリューションが実行されていないか、ソリューションのターゲット設定が有効になっている場合は、Update と UpdateSummary。
• MDCFileIntegrityMonitoringEvents

ワークスペースが従来のノードごとの価格レベルである場合、Defender for Cloud と Log Analytics の割り当てが結合されて、取り込まれたすべての課金対象データにまとめて適用されます。

はい。 Azure サブスクリプション、接続された AWS アカウント、接続された GCP プロジェクトで Defender for Servers によって保護されているすべてのマシンに対して請求が行われます。 マシンという用語には、Azure 仮想マシン、Azure Virtual Machine Scale Sets のインスタンス、Azure Arc 対応サーバーが含まれます。 Log Analytics がインストールされていないマシンには、Log Analytics エージェントに依存しない保護が適用されます。

以前、Microsoft Defender for Endpoint は Log Analytics エージェントにより提供されていました。 サポートを拡張して Windows Server 2019 と Linux を含めるようにした際に、Microsoft は、自動でオンボードを実行する拡張機能も追加しました。

Defender for Cloud によって、次のものを実行しているマシンに拡張機能が自動的にデプロイされます。

• Windows Server 2019 および Windows Server 2022
• MDE 統合ソリューションの統合が有効になっている場合は、Windows Server 2012 R2 および 2016
• Azure Virtual Desktop 上の Windows 10
• OS のバージョンが Defender for Cloud で認識されない場合は、Windows Server の他のバージョン (たとえば、カスタム VM イメージを使用している場合)。 この場合、Microsoft Defender for Endpoint は、引き続き Log Analytics エージェントにより提供されます。
• Linux

統合を有効にしたのに拡張機能がマシンで実行されていない場合は、以下を確認してください。

1. 調査する問題があると確定できるまでには、少なくとも 12 時間待つ必要があります。
2. 12 時間を過ぎてもマシンで拡張機能が実行されていない場合、統合の前提条件を満たしていることを確認してください。
3. 調査中のマシンに関連するサブスクリプションで Microsoft Defender for Servers プランが有効になっていることを確認してください。
4. Azure のサブスクリプションを Azure テナント間で移動した場合、Defender for Cloud によって Defender for Endpoint がデプロイされる前に、いくつかの手動準備作業が必要です。 詳細については、Microsoft サポートにお問い合わせください。

Defender for Endpoint for Servers のライセンスは、Microsoft Defender for Servers に含まれています。

不正解です。 Defender for Endpoint を Defender for Servers に統合することで、マシンでのマルウェア対策も得られます。

• Defender for Endpoint 統合ソリューションの統合が有効になっている Windows Server 2012 R2 では、Defender for Servers は アクティブ モード で Microsoft Defender ウイルス対策をデプロイします。
• 新しい Windows Server オペレーティング システムでは、Microsoft Defender ウイルス対策はオペレーティング システムに含まれており、"アクティブ モード" で有効になります。
• Linux では、Defender for Servers はマルウェア対策コンポーネントを含む Defender for Endpoint をデプロイし、パッシブ モード でコンポーネントを設定します。

Microsoft 以外のエンドポイント ソリューションからの切り替えの詳しい手順については、Microsoft Defender for Endpoint の移行の概要に関するドキュメントを参照してください。

Defender for Servers プラン 1 とプラン 2 では、Microsoft Defender for Endpoint プラン 2 の機能が提供されます。

Microsoft Defender for Servers には、お使いのマシンの脆弱性スキャンが含まれています。 Qualys ライセンスも Qualys アカウントも必要ありません。すべてが Defender for Cloud 内でシームレスに処理されます。 このスキャナーの詳細およびデプロイ方法の手順については、Defender for Cloud の統合された Qualys 脆弱性評価ソリューションに関する記事を参照してください。

[インベントリ] ビューには、クラウドに接続されているリソースの Defender がクラウドセキュリティ対策管理 (CSPM) の観点から一覧表示されます。 フィルターには、アクティブな推奨事項があるリソースのみが表示されます。

たとえば、8 個のサブスクリプションにアクセス可能であるが、現時点で推奨事項があるのが 7 個のみである場合、[リソースの種類] = [サブスクリプション] でフィルター処理すると、アクティブな推奨事項を含む 7 個のサブスクリプションのみが表示されます。

Defender for Cloud で監視されるすべてのリソースにエージェントが必要なわけではありません。 たとえば、Defender for Cloud では、Azure Storage アカウントや、ディスク、Logic Apps、Data Lake Analysis、Event Hubs などの PaaS リソースをエージェントが監視する必要はありません。

価格やエージェントの監視がリソースに関係しない場合、インベントリのこれらの列には何も表示されません。

アルゴリズムを実行した結果として、既存の NSG 構成に基づいて許可すべきトラフィックが Defender for Cloud で識別されなかった場合、すべてのトラフィックを拒否ルールが推奨されます。 そのため、推奨されるルールは、指定されたポートに届くすべてのトラフィックを拒否します。 このタイプのルールの名前は、"システム生成" として表示されます。 このルールを適用した後は、NSG の実際の名前は、プロトコル、トラフィックの方向、"DENY"、およびランダムな数値から成る文字列になります。

前提条件を満たすゲスト構成拡張機能をデプロイするには、以下の手順を実行します。

• 選択したマシンに対して、セキュリティのベスト プラクティスを実装するセキュリティ コントロールのセキュリティの推薦事項であるゲスト構成拡張機能がマシンにインストールされている必要があるに従います。

• 規模が大きい場合は、ポリシー イニシアティブの仮想マシンでゲスト構成ポリシーを有効にするための前提条件をデプロイするを割り当てます。

[該当なし] タブに記載されているリソースのリストには、 [理由] 列も含まれています。 一般的な理由として、以下が挙げられます。

サブスクリプション レベルで Servers プランを有効にすると、Defender for Cloud が既定のワークスペースで Servers プランを自動的に有効にします。 [Azure VM を Defender for Cloud で作成された既定のワークスペースに接続する] オプションを選択し、[適用] を選択することによって、既定のワークスペースに接続します。

ただし、既定のワークスペースの代わりにカスタム ワークスペースを使用している場合、サーバー プランが有効になっていないすべてのカスタム ワークスペースでサーバー プランを有効にする必要があります。

カスタム ワークスペースを使用していて、サブスクリプション レベルでのみプランを有効にしている場合は、レコメンデーション ページに Microsoft Defender for servers should be enabled on workspaces レコメンデーションが表示されます。 このレコメンデーションでは、[修正] ボタンを使用して、ワークスペース レベルでサーバー プランを有効にするオプションが提供されます。 サーバー プランがワークスペースに対して有効になっていない場合でも、サブスクリプション内のすべての VM が課金の対象となります。 VM では、Microsoft Defender for Endpoint、VA ソリューション (MDVM/Qualys)、Just-In-Time VM アクセスなど、Log Analytics ワークスペースに依存する機能は活用されません。

サブスクリプションとその接続されたワークスペースの両方でサーバー プランを有効にしても、2 倍の料金は発生しません。 システムは、各一意の VM を識別します。

クロス サブスクリプションのワークスペースでサーバー プランを有効にした場合、サーバー プランが有効になっていないサブスクリプションを含む、すべてのサブスクリプションの接続済み VM が課金の対象となります。

はい。 Azure サブスクリプションまたは接続されている AWS アカウントで Microsoft Defender for Servers を有効にすると、Azure サブスクリプションまたは AWS アカウントに接続されているすべてのマシンに対して課金されます。 マシンという用語には、Azure 仮想マシン、Azure 仮想マシン スケール セット インスタンス、および Azure Arc 対応サーバーが含まれます。 Log Analytics がインストールされていないマシンには、Log Analytics エージェントに依存しない保護が適用されます。

マシンから複数のワークスペースに報告があり、そのすべてで Defender for Servers が有効な場合、接続されているワークスペースごとにマシンが課金されます。

はい。 2 つ以上の異なる Log Analytics ワークスペース (マルチホーム) にデータを送信するように Log Analytics エージェントを構成した場合、ワークスペースごとに 500 MB のデータ インジェストが無料で提供されます。 これはノード単位、レポート先ワークスペース単位、日単位で計算され、"セキュリティ" または "マルウェア対策" ソリューションがインストールされているどのワークスペースでも利用できます。 500 MB の制限を超えて取り込まれたデータについては課金の対象となります。

ワークスペースに接続されている仮想マシン (VM) ごとに、1 日あたり許容量 500 MB の無料データ インジェストを受け取れます。 この割り当ては具体的には、Defender for Cloud によって直接収集されるセキュリティ データ型に適用されます。

データ許容量は、接続されているすべてのマシンで計算される 1 日あたりのレートです。 1 日あたりの無料限度の合計は [マシンの数] x 500 MB です。 したがって、ある日にいくつかのマシンで 100 MB を送信し、他のマシンで 800 MB を送信したとしても、すべてのマシンからのデータの合計が、1 日の無料限度を超えなければ、余分に課金されることはありません。

Defender for Cloud の課金は、Log Analytics の課金と密接に関連しています。 Microsoft Defender for Servers では、セキュリティ データ型の以下のサブセットに対して、マシンで 1 日当たり 500 MB/ノードの割り当てが提供されます:

• SecurityAlert
• SecurityBaseline
• SecurityBaselineSummary
• SecurityDetection
• SecurityEvent
• WindowsFirewall
• ProtectionStatus
• ワークスペースで Update Management ソリューションが実行されていないか、ソリューションのターゲット設定が有効になっている場合は、Update と UpdateSummary。

ワークスペースが従来のノードごとの価格レベルである場合、Defender for Cloud と Log Analytics の割り当てが結合されて、取り込まれたすべての課金対象データにまとめて適用されます。 Microsoft Sentinel のお客様がメリットを得る方法の詳細については、Microsoft Sentinel の価格ページを参照してください。

データの使用状況は、Azure portal、またはスクリプトを実行して、2 つの異なる方法で表示できます。

Azure portal で回線使用量を確認します:

1. Azure portal にサインインします。

2. Log Analytics ワークスペースに移動する。

3. ワークスペースを選択します。

4. 使用量と推定コストの選択。

   

また、価格レベルごとに選択することで、さまざまな価格レベルで推定コストを 表示することもできます。

スクリプトを使用して使用状況を表示するには:

1. Azure portal にサインインします。

2. Log Analytics ワークスペース>に移動するLogs。

3. 時間の範囲を選択してください 時間範囲について説明します。

4. 次のクエリをコピーして、[ ここにクエリを入力する] セクションに貼り付ける。

   let Unit= 'GB';
   Usage
   | where IsBillable == 'TRUE'
   | where DataType in ('SecurityAlert', 'SecurityBaseline', 'SecurityBaselineSummary', 'SecurityDetection', 'SecurityEvent', 'WindowsFirewall', 'MaliciousIPCommunication', 'SysmonEvent', 'ProtectionStatus', 'Update', 'UpdateSummary')
   | project TimeGenerated, DataType, Solution, Quantity, QuantityUnit
   | summarize DataConsumedPerDataType = sum(Quantity)/1024 by  DataType, DataUnit = Unit
   | sort by DataConsumedPerDataType desc
   

5. [実行] を選択します。

   

Log Analytics ワークスペースで使用状況を分析する方法について説明します。

使用量に基づいて、1 日の手当を使用するまでは課金されません。 課金される場合、500MB が消費された後に使用されたデータのみ、または Defender for Cloud のカバレッジに該当しないその他のサービスのみ課金の対象となります。

ソリューションを特定のエージェント セットに制限することで、コストを管理し、ソリューション用に収集されるデータの量を制限することもできます。 ソリューションのターゲット設定を使用して、ソリューションにスコープを適用し、ワークスペース内のコンピューターのサブセットを対象にします。 ソリューションのターゲット設定を使用している場合、Defender for Cloud では、ソリューションがないものとしてワークスペースが一覧表示されます。

次のステップ

Defender for Servers のデプロイを計画する