次の方法で共有


IntuneのMicrosoft Defender for Endpoint セキュリティ ベースラインの設定の一覧

この記事は、Microsoft IntuneでデプロイできるMicrosoft Defender for Endpointセキュリティ ベースラインのさまざまなバージョンで使用できる設定のリファレンスです。 タブを使用して、最新のベースライン バージョンと、まだ使用されている可能性があるいくつかの古いバージョンの設定を選択して表示します。

このリファレンスでは、設定ごとにベースラインの既定の構成が識別されます。これは、関連するセキュリティ チームによって提供されるその設定に推奨される構成でもあります。 製品とセキュリティ環境が進化するため、1 つのベースライン バージョンで推奨される既定値が、同じベースラインの新しいバージョンで見つかる既定値と一致しない場合があります。 MDM セキュリティDefender for Endpoint ベースラインなど、さまざまなベースラインの種類で、異なる既定値を設定することもできます。

Intune UI に設定の [詳細情報] リンクが含まれている場合は、こちらにも表示されます。 このリンクを使用して、設定 ポリシー構成サービス プロバイダー (CSP) または設定操作を説明する関連コンテンツを表示します。

ベースラインの新しいバージョンが使用可能になると、以前のバージョンが置き換えられます。 新しいバージョンの可用性より前に作成されたプロファイル インスタンス:

  • 読み取り専用になります。 これらのプロファイルは引き続き使用できますが、それらのプロファイルを編集して構成を変更することはできません。
  • 最新バージョンに更新できます。 プロファイルを現在のベースライン バージョンに更新した後、プロファイルを編集して設定を変更できます。

セキュリティ ベースラインの使用の詳細については、「 セキュリティ ベースラインの使用」を参照してください。 この記事では、次の方法についても説明します。

Microsoft Defender for Endpointベースライン バージョン 24H1

2020 年 12 月の Microsoft Defender for Endpoint のベースライン - バージョン 6

2020 年 9 月のMicrosoft Defender for Endpointベースライン - バージョン 5

2020 年 4 月の Microsoft Defender for Endpoint のベースライン - バージョン 4

2020 年 3 月の Microsoft Defender for Endpoint のベースライン - バージョン 3

Microsoft Defender for Endpointベースラインは、環境がMicrosoft Defender for Endpointを使用するための前提条件を満たしている場合に使用できます。

このベースラインは物理デバイス用に最適化されており、仮想マシン (VM) または VDI エンドポイントでの使用には推奨されません。 特定のベースライン設定は、仮想化された環境でのリモート 対話型セッションに影響を与える可能性があります。 詳細については、Windows のドキュメントの「Microsoft Defender for Endpoint セキュリティ ベースラインへの準拠を強化する」を参照してください。

管理用テンプレート

システム > デバイスのインストール > デバイスのインストール制限

  • これらのデバイス セットアップ クラスに一致するドライバーを使用してデバイスのインストールを禁止する
    ベースラインの既定値: 有効
    詳細情報

    • 禁止クラス
      ベースラインの既定値: d48179be-ec20-11d1-b6b8-00c04fa372a7

    • 既にインストールされている一致するデバイスにも適用されます。
      ベースラインの既定値: False

BitLocker ドライブ暗号化 > Windows コンポーネント

  • ドライブの暗号化方法と暗号強度の選択 (Windows 10 [バージョン 1511] 以降)
    ベースラインの既定値: 有効
    詳細情報

    • リムーバブル データ ドライブの暗号化方法を選択します。
      ベースラインの既定値: AES-CBC 128 ビット (既定値)

    • オペレーティング システム ドライブの暗号化方法を選択します。
      ベースラインの既定値: XTS-AES 128 ビット (既定値)

    • 固定データ ドライブの暗号化方法を選択します。
      ベースラインの既定値: XTS-AES 128 ビット (既定値)

Windows コンポーネント > BitLocker ドライブ暗号化 > 固定データ ドライブ

  • BitLocker で保護された固定ドライブを回復する方法を選択する
    ベースラインの既定値: 有効
    詳細情報

    • 固定データ ドライブの回復情報が AD DS に格納されるまで BitLocker を有効にしないでください
      ベースラインの既定値: True

    • データ復旧エージェントを許可する
      ベースラインの既定値: True

    • AD DS への BitLocker 回復情報のストレージを構成します。
      ベースラインの既定値: バックアップ回復パスワードとキー パッケージ

      値: 256 ビット回復キーを許可する

    • 固定データ ドライブの BitLocker 回復情報を AD DS に保存する
      ベースラインの既定値: True

    • BitLocker セットアップ ウィザードから回復オプションを省略する
      ベースラインの既定値: True

    • BitLocker 回復情報のユーザー ストレージを構成します。
      ベースラインの既定値: 48 桁の回復パスワードを許可する

  • BitLocker によって保護されていない固定ドライブへの書き込みアクセスを拒否する
    ベースラインの既定値: 有効
    詳細情報

  • 固定データ ドライブにドライブ暗号化の種類を適用する
    ベースラインの既定値: 有効
    詳細情報

    • 暗号化の種類を選択します(デバイス)
      ベースラインの既定値: 使用済み領域のみの暗号化

Windows コンポーネント > BitLocker ドライブ暗号化 > オペレーティング システム ドライブ

  • InstantGo または HSTI に準拠しているデバイスで、プレブート PIN のオプトアウトを許可します。
    ベースラインの既定値: 無効
    詳細情報

  • 拡張スタートアップ PIN を許可する
    ベースラインの既定値: 無効
    詳細情報

  • BitLocker で保護されたオペレーティング システム ドライブを回復する方法を選択する
    ベースラインの既定値: 有効
    詳細情報

    • BitLocker セットアップ ウィザードから回復オプションを省略する
      ベースラインの既定値: True

    • データ復旧エージェントを許可する
      ベースラインの既定値: True

      値: 256 ビット回復キーを許可する

    • AD DS への BitLocker 回復情報のストレージを構成します。
      ベースラインの既定値: 回復パスワードとキー パッケージを格納する

    • オペレーティング システム ドライブの AD DS に回復情報が格納されるまで BitLocker を有効にしないでください
      ベースラインの既定値: True

    • オペレーティング システム ドライブの BitLocker 回復情報を AD DS に保存する
      ベースラインの既定値: True

    • BitLocker 回復情報のユーザー ストレージを構成します。
      ベースラインの既定値: 48 桁の回復パスワードを許可する

  • スレートでプリブート キーボード入力を必要とする BitLocker 認証の使用を有効にする
    ベースラインの既定値: 有効
    詳細情報

  • オペレーティング システム ドライブにドライブ暗号化の種類を適用する
    ベースラインの既定値: 有効
    詳細情報

    • 暗号化の種類を選択します(デバイス)
      ベースラインの既定値: 使用済み領域のみの暗号化
  • 起動時に追加認証を要求する
    ベースラインの既定値: 有効
    詳細情報

    • TPM スタートアップ キーと PIN を構成します。
      ベースラインの既定値: TPM でスタートアップ キーと PIN を許可しない

    • TPM の起動を構成します。
      ベースラインの既定値: TPM を許可する

    • 互換性のある TPM を使用せずに BitLocker を許可する (USB フラッシュ ドライブにパスワードまたはスタートアップ キーが必要)
      ベースラインの既定値: False

    • TPM スタートアップ PIN を構成します。
      ベースラインの既定値: TPM でスタートアップ PIN を許可する

    • TPM スタートアップ キーを構成します。
      ベースラインの既定値: TPM でスタートアップ キーを許可しない

Windows コンポーネント > BitLocker ドライブ暗号化 > リムーバブル データ ドライブ

  • リムーバブル ドライブでの BitLocker の使用を制御する
    ベースラインの既定値: 有効
    詳細情報

    • ユーザーがリムーバブル データ ドライブに BitLocker 保護を適用できるようにする (デバイス)
      ベースラインの既定値: True

      • リムーバブル データ ドライブにドライブ暗号化の種類を強制する
        ベースラインの既定値: 有効
        詳細情報

        • 暗号化の種類を選択します(デバイス)
          ベースラインの既定値: 使用済み領域のみの暗号化
    • リムーバブル データ ドライブでの BitLocker 保護の一時停止と暗号化解除をユーザーに許可する (デバイス)
      ベースラインの既定値: False

  • BitLocker によって保護されていないリムーバブル ドライブへの書き込みアクセスを拒否する
    ベースラインの既定値: 有効
    詳細情報

    • 別のorganizationで構成されているデバイスへの書き込みアクセスを許可しない
      ベースラインの既定値: False

Windows コンポーネント > エクスプローラー

  • Windows Defender SmartScreen を構成する
    ベースラインの既定値: 有効
    詳細情報

    • 次のいずれかの設定を選択します。 (デバイス)
      ベースラインの既定値: バイパスの警告と防止

インターネット エクスプローラー> Windows コンポーネント

  • インターネットから一般的にダウンロードされないファイルに関する SmartScreen フィルターの警告をバイパスしないようにする
    ベースラインの既定値: 有効
    詳細情報

  • インターネットから一般的にダウンロードされないファイルに関する SmartScreen フィルターの警告をバイパスしないようにする (ユーザー)
    ベースラインの既定値: 有効
    詳細情報

  • SmartScreen フィルターの管理を禁止する
    ベースラインの既定値: 有効
    詳細情報

    • SmartScreen フィルター モードを選択する
      ベースラインの既定値: オン

BitLocker

  • 他のディスク暗号化に対する警告を許可する
    ベースラインの既定値: 有効
    詳細情報

  • 回復パスワードローテーションを構成する
    ベースラインの既定値: Azure AD 参加済みデバイスとハイブリッド参加済みデバイスの両方の更新
    詳細情報

  • デバイス暗号化を要求する
    ベースラインの既定値: 有効
    詳細情報

Defender

  • アーカイブスキャンを許可する
    ベースラインの既定値: 許可されます。アーカイブ ファイルをスキャンします。
    詳細情報

  • 動作の監視を許可する
    ベースラインの既定値: 許可されます。リアルタイム動作監視を有効にします。
    詳細情報

  • Cloud Protection を許可する
    ベースラインの既定値: 許可されます。Cloud Protection を有効にします。
    詳細情報

  • Emailスキャンを許可する
    ベースラインの既定値: 許可されます。メールスキャンを有効にします。
    詳細情報

  • フル スキャンリムーバブル ドライブのスキャンを許可する
    ベースラインの既定値: 許可されます。リムーバブル ドライブをスキャンします。
    詳細情報

  • アクセス保護の許可
    ベースラインの既定値: 許可されます。
    詳細情報

  • リアルタイム監視を許可する
    ベースラインの既定値: 許可されます。リアルタイム監視サービスをオンにして実行します。
    詳細情報

  • ネットワーク ファイルのスキャンを許可する
    ベースラインの既定値: 許可されます。ネットワーク ファイルをスキャンします。
    詳細情報

  • ダウンロードしたすべてのファイルと添付ファイルのスキャンを許可する
    ベースラインの既定値: 許可されます。
    詳細情報

  • スクリプトスキャンを許可する
    ベースラインの既定値: 許可されます。
    詳細情報

  • ユーザー UI アクセスを許可する
    ベースラインの既定値: 許可されます。ユーザーが UI にアクセスできるようにします。
    詳細情報

    • 難読化される可能性のあるスクリプトの実行をブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • Office マクロからの Win32 API 呼び出しをブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • 有病率、年齢、または信頼されたリストの条件を満たしていない限り、実行可能ファイルの実行をブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • Office 通信アプリケーションによる子プロセスの作成をブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • すべての Office アプリケーションが子プロセスを作成できないようにブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • Adobe Reader による子プロセスの作成をブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • Windows ローカル セキュリティ機関サブシステムからの資格情報の盗み取りをブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • ダウンロードした実行可能コンテンツの起動を JavaScript または VBScript でブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • サーバーの Web シェル作成をブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • USB から実行される信頼されていないプロセスと署名されていないプロセスをブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • WMI イベント サブスクリプションを使用して永続化をブロックする
      ベースラインの既定値: 監査
      詳細情報

    • [プレビュー]コピーまたは偽装されたシステム ツールの使用をブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • 悪用された脆弱な署名されたドライバーの悪用をブロックする (デバイス)
      ベースラインの既定値: ブロック
      詳細情報

    • PSExec および WMI コマンドからのプロセスの作成をブロックする
      ベースラインの既定値: 監査
      詳細情報

    • Office アプリケーションによる実行可能コンテンツの作成をブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • Office アプリケーションによるコードの他のプロセスへの挿入をブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • [プレビュー]セーフ モードでのコンピューターの再起動をブロックする
      ベースラインの既定値: ブロック
      詳細情報

    • ランサムウェアに対する高度な保護を使用する
      ベースラインの既定値: ブロック
      詳細情報

    • 電子メール クライアントと Web メールから実行可能なコンテンツをブロックする
      ベースラインの既定値: ブロック
      詳細情報

  • スキャンを実行する前に署名を確認する
    ベースラインの既定値: 有効
    詳細情報

  • クラウド ブロックのレベル
    ベースラインの既定値:
    詳細情報

  • クラウド拡張タイムアウト
    ベースラインの既定値: 構成済み
    値: 50
    詳細情報

  • ローカル 管理マージを無効にする
    ベースラインの既定値: ローカル 管理マージを有効にする
    詳細情報

  • ネットワーク保護を有効にする
    ベースラインの既定値: 有効 (ブロック モード)
    詳細情報

  • ローカル管理者から除外を非表示にする
    ベースラインの既定値: この設定を有効にすると、ローカル管理者は、Windows セキュリティ アプリまたは PowerShell を使用して除外リストを表示できなくなります。
    詳細情報

  • ローカル ユーザーからの除外を非表示にする
    ベースラインの既定値: この設定を有効にすると、ローカル ユーザーは、Windows セキュリティ アプリまたは PowerShell を使用して除外リストを表示できなくなります。
    詳細情報

  • Oobe で Rtp と Sig の更新を有効にする
    ベースラインの既定値: この設定を有効にすると、OOBE 中にリアルタイム保護とセキュリティ インテリジェンス Updatesが有効になります。
    詳細情報

  • PUA Protection
    ベースラインの既定値: PUA Protection on。検出された項目はブロックされます。他の脅威と共に履歴に表示されます。
    詳細情報

  • リアルタイム スキャン方向
    ベースラインの既定値: すべてのファイル (双方向) を監視します。
    詳細情報

  • Scan パラメーター
    ベースラインの既定値: クイック スキャン
    詳細情報

  • クイック スキャン時間をスケジュールする
    ベースラインの既定値: 構成済み
    値: 120
    詳細情報

  • スキャン日のスケジュール
    ベースラインの既定値: 毎日
    詳細情報

  • スキャン時間をスケジュールする
    ベースラインの既定値: 構成済み
    値: 120
    詳細情報

  • 署名の更新間隔
    ベースラインの既定値: 構成済み
    値: 4
    詳細情報

  • サンプルの送信同意
    ベースラインの既定値: すべてのサンプルを自動的に送信します。
    詳細情報

Device Guard

  • Credential Guard
    ベースラインの既定値: (UEFI ロックで有効) UEFI ロックで Credential Guard をオンにします。
    詳細情報

Dma Guard

  • デバイス列挙ポリシー
    ベースラインの既定値: すべてブロック (最も制限が厳しい)
    詳細情報

ファイアウォール

  • 証明書失効リストの検証
    ベースラインの既定値: なし
    詳細情報

  • ステートフル Ftp を無効にする
    ベースラインの既定値: True
    詳細情報

  • ドメイン ネットワーク ファイアウォールを有効にする
    ベースラインの既定値: True
    詳細情報

    • ローカル Ipsec ポリシーのマージを許可する
      ベースラインの既定値: True
      詳細情報

    • ステルス モードを無効にする
      ベースラインの既定値: False
      詳細情報

    • 受信通知を無効にする
      ベースラインの既定値: True
      詳細情報

    • マルチキャスト ブロードキャストへのユニキャスト応答を無効にする
      ベースラインの既定値: False
      詳細情報

    • グローバル ポートユーザープリフェッチマージを許可
      ベースラインの既定値: True
      詳細情報

    • ステルス モード Ipsec セキュリティで保護されたパケット除外を無効にする
      ベースラインの既定値: True
      詳細情報

    • ローカル ポリシーのマージを許可する
      ベースラインの既定値: True
      詳細情報

  • パケット キューを有効にする
    ベースラインの既定値: 構成済み
    値: 無効
    詳細情報

  • プライベート ネットワーク ファイアウォールを有効にする
    ベースラインの既定値: True
    詳細情報

    • プライベート プロファイルの既定の受信アクション
      ベースラインの既定値: ブロック
      詳細情報

    • マルチキャスト ブロードキャストへのユニキャスト応答を無効にする
      ベースラインの既定値: False
      詳細情報

    • ステルス モードを無効にする
      ベースラインの既定値: False
      詳細情報

    • グローバル ポートユーザープリフェッチマージを許可
      ベースラインの既定値: True
      詳細情報

    • ローカル Ipsec ポリシーのマージを許可する
      ベースラインの既定値: True
      詳細情報

    • ステルス モード Ipsec セキュリティで保護されたパケット除外を無効にする
      ベースラインの既定値: True
      詳細情報

    • 受信通知を無効にする
      ベースラインの既定値: True
      詳細情報

    • ローカル ポリシーのマージを許可する
      ベースラインの既定値: True
      詳細情報

    • 既定の送信アクション
      ベースラインの既定値: 許可
      詳細情報

    • 認証アプリでユーザーのプリフェッチのマージを許可する
      ベースラインの既定値: True
      詳細情報

  • パブリック ネットワーク ファイアウォールを有効にする
    ベースラインの既定値: True
    詳細情報

    • ステルス モードを無効にする
      ベースラインの既定値: False
      詳細情報

    • 既定の送信アクション
      ベースラインの既定値: 許可
      詳細情報

    • 受信通知を無効にする
      ベースラインの既定値: True
      詳細情報

    • ステルス モード Ipsec セキュリティで保護されたパケット除外を無効にする
      ベースラインの既定値: True
      詳細情報

    • ローカル ポリシーのマージを許可する
      ベースラインの既定値: True
      詳細情報

    • 認証アプリでユーザーのプリフェッチのマージを許可する
      ベースラインの既定値: True
      詳細情報

    • パブリック プロファイルの既定の受信アクション
      ベースラインの既定値: ブロック
      詳細情報

    • マルチキャスト ブロードキャストへのユニキャスト応答を無効にする
      ベースラインの既定値: False
      詳細情報

    • グローバル ポートユーザープリフェッチマージを許可
      ベースラインの既定値: True
      詳細情報

    • ローカル Ipsec ポリシーのマージを許可する
      ベースラインの既定値: True
      詳細情報

  • 事前共有キー エンコード
    ベースラインの既定値: UTF8
    詳細情報

  • セキュリティ アソシエーションのアイドル時間
    ベースラインの既定値: 構成済み
    値: 300
    詳細情報

Microsoft Edge

  • SmartScreen Microsoft Defender構成する
    ベースラインの既定値: 有効

  • 望ましくない可能性のあるアプリをブロックするように smartScreen Microsoft Defender構成する
    ベースラインの既定値: 有効

  • Microsoft Defender SmartScreen DNS 要求を有効にする
    ベースラインの既定値: 有効

  • 新しい SmartScreen ライブラリを有効にする
    ベースラインの既定値: 有効

  • 信頼できるソースからのダウンロードに対して SmartScreen チェックを強制的にMicrosoft Defenderする
    ベースラインの既定値: 有効

  • サイトの SmartScreen プロンプトMicrosoft Defenderバイパスしないようにする
    ベースラインの既定値: 有効

  • ダウンロードに関するMicrosoft Defender SmartScreen 警告のバイパスを防止する
    ベースラインの既定値: 有効

攻撃面の減少ルール

攻撃面の縮小ルールでは、デバイスごとにポリシーのスーパーセットを作成するために、さまざまなポリシーの設定の統合がサポートされています。 競合していない設定のみがマージされます。 競合している設定は、ルールのスーパーセットには追加されません。 以前は、2 つのポリシーに 1 つの設定の競合が含まれている場合、両方のポリシーが競合しているとフラグが設定され、どちらのプロファイルの設定も展開されません。

攻撃面の縮小ルールのマージ動作は次のとおりです。

  • 次のプロファイルの攻撃面縮小ルールは、ルールが適用されるデバイスごとに評価されます。
    • デバイス > 構成ポリシー > Endpoint Protection プロファイル > Microsoft Defender Exploit Guard >Attack Surface Reduction
    • エンドポイント セキュリティ > 攻撃面の縮小ポリシー >攻撃面の縮小ルール
    • エンドポイント セキュリティ > セキュリティ ベースライン> Microsoft Defender for Endpointベースライン >接続サーフェス削減規則
  • 競合のない設定は、デバイスのポリシーのスーパーセットに追加されます。
  • 2 つ以上のポリシーに競合する設定がある場合、競合する設定は組み合わせポリシーに追加されず、競合しない設定はデバイスに適用されるスーパーセット ポリシーに追加されます。
  • 競合する設定の構成のみが保留されます。

詳細については、Microsoft Defender for Endpointドキュメントの「攻撃面の縮小ルール」を参照してください。

  • Office 通信アプリによる子プロセスの作成をブロックする
    ベースラインの既定値: 有効にする
    詳細情報

  • Adobe Reader による子プロセスの作成をブロックする
    ベースラインの既定値: 有効にする
    詳細情報

  • Office アプリケーションによるコードの他のプロセスへの挿入をブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • Office アプリケーションによる実行可能コンテンツの作成をブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • ダウンロードした実行可能コンテンツの起動を JavaScript または VBScript でブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • ネットワーク保護を有効にする
    ベースラインの既定値: 有効にする
    詳細情報

  • USB から実行される信頼されていないプロセスと署名されていないプロセスをブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • Windows ローカル セキュリティ機関サブシステムからの資格情報の盗用をブロックする (lsass.exe)
    ベースラインの既定値: 有効にする
    詳細情報

  • 電子メールおよび Web メール クライアントからの実行可能なコンテンツのダウンロードをブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • すべての Office アプリケーションが子プロセスを作成できないようにブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • 難読化される可能性のあるスクリプトの実行をブロックする (js/vbs/ps)
    ベースラインの既定値: ブロック
    詳細情報

  • Office マクロから Win32 API 呼び出しをブロックする
    ベースラインの既定値: ブロック
    詳細情報

Application Guard

詳細については、Windows ドキュメント の「WindowsDefenderApplicationGuard CSP 」を参照してください。

Microsoft Edge を使用する場合、Microsoft Defender Application Guardは、organizationによって信頼されていないサイトから環境を保護します。 分離されたネットワーク境界に一覧表示されていないサイトにユーザーがアクセスすると、サイトは Hyper-V 仮想閲覧セッションで開きます。 信頼されたサイトは、ネットワーク境界によって定義されます。

  • Edge のApplication Guardを有効にする (オプション)
    基準計画の既定値: Edge に対して有効
    詳細情報

    • エンタープライズ以外の承認済みサイトから外部コンテンツをブロックする
      ベースラインの既定値: はい
      詳細情報

    • クリップボードの動作
      ベースラインの既定値: PC とブラウザー間のコピーと貼り付けをブロックする
      詳細情報

  • Windows のネットワークの分離のポリシー
    ベースラインの既定値: 構成
    詳細情報

    • ネットワーク ドメイン
      ベースラインの既定値: securitycenter.windows.com

BitLocker

  • ストレージ カードの暗号化を要求する (モバイルのみ)
    ベースラインの既定値: はい
    詳細情報

    注:

    Windows 10 MobileWindows Phone 8.1 のサポートは、2020 年 8 月に終了しました。

  • OS と固定データ ドライブの完全ディスク暗号化を有効にする
    ベースラインの既定値: はい
    詳細情報

  • BitLocker システム ドライブ ポリシー
    ベースラインの既定値: 構成
    詳細情報

    • オペレーティング システム ドライブの暗号化方法を構成する
      ベースラインの既定値: 未構成
      詳細情報
  • BitLocker 固定ドライブ ポリシー
    ベースラインの既定値: 構成
    詳細情報

    • BitLocker によって保護されていない固定データ ドライブへの書き込みアクセスをブロックする
      ベースラインの既定値: はい
      詳細情報
      この設定は、 BitLocker 固定ドライブ ポリシー[構成] に設定されている場合に使用できます。

    • 固定データ ドライブの暗号化方法を構成する
      ベースラインの既定値: AES 128 ビット XTS
      詳細情報

  • BitLocker リムーバブル ドライブ ポリシー
    ベースラインの既定値: 構成
    詳細情報

    • リムーバブル データ ドライブの暗号化方法を構成する
      ベースラインの既定値: AES 128 ビット CBC
      詳細情報

    • BitLocker によって保護されていないリムーバブル データ ドライブへの書き込みアクセスをブロックする
      ベースラインの既定値: 未構成
      詳細情報

  • バッテリー使用時にスリープ状態になった場合のスタンバイ状態 ベースラインの既定値: 無効
    詳細情報

  • 接続中にスリープ状態になったときのスタンバイ状態
    ベースラインの既定値: 無効
    詳細情報

  • OS と固定データ ドライブの完全ディスク暗号化を有効にする
    ベースラインの既定値: はい
    詳細情報

  • BitLocker システム ドライブ ポリシー
    ベースラインの既定値: 構成
    詳細情報

    • スタートアップ認証が必要
      ベースラインの既定値: はい
      詳細情報

    • 互換性のある TPM スタートアップ PIN
      ベースラインの既定値: 許可
      詳細情報

    • 互換性のある TPM スタートアップ キー
      ベースラインの既定値: 必須
      詳細情報

    • TPM に互換性がないデバイスで BitLocker を無効にする
      ベースラインの既定値: はい
      詳細情報

    • オペレーティング システム ドライブの暗号化方法を構成する
      ベースラインの既定値: 未構成
      詳細情報

  • BitLocker 固定ドライブ ポリシー
    ベースラインの既定値: 構成
    詳細情報

    • BitLocker によって保護されていない固定データ ドライブへの書き込みアクセスをブロックする
      ベースラインの既定値: はい
      詳細情報
      この設定は、 BitLocker 固定ドライブ ポリシー[構成] に設定されている場合に使用できます。

    • 固定データ ドライブの暗号化方法を構成する
      ベースラインの既定値: AES 128 ビット XTS
      詳細情報

  • BitLocker リムーバブル ドライブ ポリシー
    ベースラインの既定値: 構成
    詳細情報

    • リムーバブル データ ドライブの暗号化方法を構成する
      ベースラインの既定値: AES 128 ビット CBC
      詳細情報

    • BitLocker によって保護されていないリムーバブル データ ドライブへの書き込みアクセスをブロックする
      ベースラインの既定値: 未構成
      詳細情報

  • BitLocker システム ドライブ ポリシー
    ベースラインの既定値: 構成
    詳細情報

    • スタートアップ認証が必要
      ベースラインの既定値: はい
      詳細情報

    • 互換性のある TPM スタートアップ PIN
      ベースラインの既定値: 許可
      詳細情報

    • 互換性のある TPM スタートアップ キー
      ベースラインの既定値: 必須
      詳細情報

    • TPM に互換性がないデバイスで BitLocker を無効にする
      ベースラインの既定値: はい
      詳細情報

    • オペレーティング システム ドライブの暗号化方法を構成する
      ベースラインの既定値: 未構成
      詳細情報

  • バッテリー使用時にスリープ状態になった場合のスタンバイ状態 ベースラインの既定値: 無効
    詳細情報

  • 接続中にスリープ状態になったときのスタンバイ状態
    ベースラインの既定値: 無効
    詳細情報

  • OS と固定データ ドライブの完全ディスク暗号化を有効にする
    ベースラインの既定値: はい
    詳細情報

  • BitLocker 固定ドライブ ポリシー
    ベースラインの既定値: 構成
    詳細情報

    • BitLocker によって保護されていない固定データ ドライブへの書き込みアクセスをブロックする
      ベースラインの既定値: はい
      詳細情報
      この設定は、 BitLocker 固定ドライブ ポリシー[構成] に設定されている場合に使用できます。

    • 固定データ ドライブの暗号化方法を構成する
      ベースラインの既定値: AES 128 ビット XTS
      詳細情報

  • BitLocker リムーバブル ドライブ ポリシー
    ベースラインの既定値: 構成
    詳細情報

    • リムーバブル データ ドライブの暗号化方法を構成する
      ベースラインの既定値: AES 128 ビット CBC
      詳細情報

    • BitLocker によって保護されていないリムーバブル データ ドライブへの書き込みアクセスをブロックする
      ベースラインの既定値: 未構成
      詳細情報

ブラウザー

  • Microsoft Edge に SmartScreen を要求する
    ベースラインの既定値: はい
    詳細情報

  • 悪意のあるサイト アクセスをブロックする
    ベースラインの既定値: はい
    詳細情報

  • 未検証のファイルのダウンロードをブロックする
    ベースラインの既定値: はい
    詳細情報

データ保護

  • 直接メモリ アクセスをブロックする
    ベースラインの既定値: はい
    詳細情報

Device Guard

  • 資格情報ガードを有効にする
    ベースラインの既定値: UEFI ロックで有効にする
    詳細情報

デバイスのインストール

  • デバイス識別子によるハードウェア デバイスのインストール
    ベースラインの既定値: ハードウェア デバイスのインストールをブロックする
    詳細情報

    • 一致するハードウェア デバイスを削除する ベースラインの既定値: はい

    • ブロックされているハードウェア デバイス識別子
      ベースラインの既定値: 既定では構成されていません。1 つ以上のデバイス識別子を手動で追加します。

  • セットアップ クラスによるハードウェア デバイスのインストール
    ベースラインの既定値: ハードウェア デバイスのインストールをブロックする
    詳細情報

    • 一致するハードウェア デバイスを削除する ベースラインの既定値: 未構成

    • ブロックされているハードウェア デバイス識別子 ベースラインの既定値: 既定では構成されていません。1 つ以上のデバイス識別子を手動で追加します。

  • セットアップ クラスによってハードウェア デバイスのインストールをブロックします。
    ベースラインの既定値: はい
    詳細情報

    • 一致するハードウェア デバイスを削除します。
      ベースラインの既定値: はい

    • ブロック リスト
      ベースラインの既定値: 既定では構成されていません。1 つ以上のセットアップ クラスのグローバル一意識別子を手動で追加します。

DMA Guard

  • カーネル DMA 保護と互換性のない外部デバイスの列挙
    ベースラインの既定値: すべてブロック
    詳細情報
  • カーネル DMA 保護と互換性のない外部デバイスの列挙
    ベースラインの既定値: 未構成
    詳細情報

エンドポイントの検出と対応

  • すべてのファイルの共有のサンプル
    ベースラインの既定値: はい
    詳細情報

  • テレメトリ レポートの頻度を迅速化する
    ベースラインの既定値: はい
    詳細情報

ファイアウォール

  • ステートフル ファイル転送プロトコル (FTP)
    ベースラインの既定値: 無効
    詳細情報

  • セキュリティアソシエーションが削除されるまでにアイドル状態になる秒数
    ベースラインの既定値: 300
    詳細情報

  • 事前共有キー エンコード
    ベースラインの既定値: UTF8
    詳細情報

  • 証明書失効リスト (CRL) の検証
    ベースラインの既定値: 未構成
    詳細情報

  • パケット キュー
    ベースラインの既定値: 未構成
    詳細情報

  • ファイアウォール プロファイルのプライベート
    ベースラインの既定値: 構成
    詳細情報

    • 受信接続がブロックされている
      ベースラインの既定値: はい
      詳細情報

    • マルチキャスト ブロードキャストに対するユニキャスト応答が必要
      ベースラインの既定値: はい
      詳細情報

    • 送信接続が必要
      ベースラインの既定値: はい
      詳細情報

    • 受信通知がブロックされました
      ベースラインの既定値: はい
      詳細情報

    • グループ ポリシーのグローバル ポート 規則がマージされました
      ベースラインの既定値: はい
      詳細情報

    • ファイアウォールが有効
      ベースラインの既定値: 許可
      詳細情報

    • グループ ポリシーからの承認されたアプリケーション ルールがマージされない
      ベースラインの既定値: はい
      詳細情報

    • グループ ポリシーからの接続セキュリティ規則がマージされない
      ベースラインの既定値: はい
      詳細情報

    • 受信トラフィックが必要
      ベースラインの既定値: はい
      詳細情報

    • グループ ポリシーのポリシー 規則がマージされない
      ベースラインの既定値: はい
      詳細情報

  • ステルス モードがブロックされました
    ベースラインの既定値: はい
    詳細情報
  • ファイアウォール プロファイルのパブリック
    ベースラインの既定値: 構成
    詳細情報

    • 受信接続がブロックされている
      ベースラインの既定値: はい
      詳細情報

    • マルチキャスト ブロードキャストに対するユニキャスト応答が必要
      ベースラインの既定値: はい
      詳細情報

    • 送信接続が必要
      ベースラインの既定値: はい
      詳細情報

    • グループ ポリシーからの承認されたアプリケーション ルールがマージされない
      ベースラインの既定値: はい**
      詳細情報

    • 受信通知がブロックされました
      ベースラインの既定値: はい
      詳細情報

    • グループ ポリシーのグローバル ポート 規則がマージされました
      ベースラインの既定値: はい
      詳細情報

    • ファイアウォールが有効
      ベースラインの既定値: 許可
      詳細情報

    • グループ ポリシーからの接続セキュリティ規則がマージされない
      ベースラインの既定値: はい
      詳細情報

    • 受信トラフィックが必要
      ベースラインの既定値: はい
      詳細情報

    • グループ ポリシーのポリシー 規則がマージされない
      ベースラインの既定値: はい
      詳細情報

  • ステルス モードがブロックされました
    ベースラインの既定値: はい
    詳細情報
  • ファイアウォール プロファイル ドメイン
    ベースラインの既定値: 構成
    詳細情報

    • マルチキャスト ブロードキャストに対するユニキャスト応答が必要
      ベースラインの既定値: はい
      詳細情報

    • グループ ポリシーからの承認されたアプリケーション ルールがマージされない
      ベースラインの既定値: はい
      詳細情報

    • 受信通知がブロックされました
      ベースラインの既定値: はい
      詳細情報

    • グループ ポリシーのグローバル ポート 規則がマージされました
      ベースラインの既定値: はい
      詳細情報

    • ファイアウォールが有効
      ベースラインの既定値: 許可
      詳細情報

    • グループ ポリシーからの接続セキュリティ規則がマージされない
      ベースラインの既定値: はい
      詳細情報

    • グループ ポリシーのポリシー 規則がマージされない
      ベースラインの既定値: はい
      詳細情報

  • ステルス モードがブロックされました
    ベースラインの既定値: はい
    詳細情報

Microsoft Defender

  • リアルタイム保護を有効にする
    ベースラインの既定値: はい
    詳細情報

  • クラウド保護タイムアウトを延長するための追加の時間 (0 ~ 50 秒)
    ベースラインの既定値: 50
    詳細情報

  • ダウンロードしたすべてのファイルと添付ファイルをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • スキャンの種類
    ベースラインの既定値: クイック スキャン
    詳細情報

  • Defender スケジュール スキャン日:
    ベースラインの既定値: 毎日

  • Defender スキャンの開始時刻:
    ベースラインの既定値: 未構成

  • Defender サンプル提出の同意
    ベースラインの既定値: 安全なサンプルを自動的に送信する
    詳細情報

  • クラウド配信の保護レベル
    ベースラインの既定値:
    詳細情報

  • フル スキャン中にリムーバブル ドライブをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • Defender 望ましくない可能性のあるアプリに対するアクション
    ベースラインの既定値: ブロック
    詳細情報

  • クラウドによる保護を有効にする
    ベースラインの既定値: はい
    詳細情報

  • リアルタイム保護を有効にする
    ベースラインの既定値: はい
    詳細情報

  • クラウド保護タイムアウトを延長するための追加の時間 (0 ~ 50 秒)
    ベースラインの既定値: 50
    詳細情報

  • ダウンロードしたすべてのファイルと添付ファイルをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • スキャンの種類
    ベースラインの既定値: クイック スキャン
    詳細情報

  • Defender サンプル提出の同意
    ベースラインの既定値: 安全なサンプルを自動的に送信する
    詳細情報

  • クラウド配信の保護レベル
    ベースラインの既定値:
    詳細情報

  • フル スキャン中にリムーバブル ドライブをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • Defender 望ましくない可能性のあるアプリに対するアクション
    ベースラインの既定値: ブロック
    詳細情報

  • クラウドによる保護を有効にする
    ベースラインの既定値: はい
    詳細情報

  • で毎日のクイック スキャンを実行する
    ベースラインの既定値: 午前 2 時
    詳細情報

  • スケジュールされたスキャンの開始時刻
    ベースラインの既定値: 午前 2 時

  • スケジュールされたスキャンの CPU 優先度を低く構成する
    ベースラインの既定値: はい
    詳細情報

  • Office 通信アプリによる子プロセスの作成をブロックする
    ベースラインの既定値: 有効にする
    詳細情報

  • Adobe Reader による子プロセスの作成をブロックする
    ベースラインの既定値: 有効にする
    詳細情報

  • 受信メール メッセージをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • リアルタイム保護を有効にする
    ベースラインの既定値: はい
    詳細情報

  • 検疫されたマルウェアを保持する日数 (0 から 90)
    ベースラインの既定値: 0
    詳細情報

  • Defender システム スキャン スケジュール
    ベースラインの既定値: ユーザー定義
    詳細情報

  • クラウド保護タイムアウトを延長するための追加の時間 (0 ~ 50 秒)
    ベースラインの既定値: 50
    詳細情報

  • フル スキャン中にマップされたネットワーク ドライブをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • ネットワーク保護を有効にする
    ベースラインの既定値: はい
    詳細情報

  • ダウンロードしたすべてのファイルと添付ファイルをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • アクセス保護をブロックする
    ベースラインの既定値: 未構成
    詳細情報

  • ブラウザー スクリプトをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • Microsoft Defender アプリへのユーザー アクセスをブロックする
    ベースラインの既定値: はい
    詳細情報

  • スキャンあたりの最大許容 CPU 使用率 (0 ~ 100%)
    ベースラインの既定値: 50
    詳細情報

  • スキャンの種類
    ベースラインの既定値: クイック スキャン
    詳細情報

  • セキュリティ インテリジェンス更新プログラムをチェックする頻度 (0 から 24 時間) を入力します
    ベースラインの既定値: 8
    詳細情報

  • Defender サンプル提出の同意
    ベースラインの既定値: 安全なサンプルを自動的に送信する
    詳細情報

  • クラウド配信の保護レベル
    ベースラインの既定値: *未構成
    詳細情報

  • アーカイブ ファイルのスキャン
    ベースラインの既定値: はい
    詳細情報

  • 動作の監視を有効にする
    ベースラインの既定値: はい
    詳細情報

  • フル スキャン中にリムーバブル ドライブをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • ネットワーク ファイルをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • Defender 望ましくない可能性のあるアプリに対するアクション
    ベースラインの既定値: ブロック
    詳細情報

  • クラウドによる保護を有効にする
    ベースラインの既定値: はい
    詳細情報

  • Office アプリケーションによるコードの他のプロセスへの挿入をブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • Office アプリケーションによる実行可能コンテンツの作成をブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • ダウンロードした実行可能コンテンツの起動を JavaScript または VBScript でブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • ネットワーク保護を有効にする
    ベースラインの既定値: 監査モード
    詳細情報

  • USB から実行される信頼されていないプロセスと署名されていないプロセスをブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • Windows ローカル セキュリティ機関サブシステムからの資格情報の盗用をブロックする (lsass.exe)
    ベースラインの既定値: 有効にする
    詳細情報

  • 電子メールおよび Web メール クライアントからの実行可能なコンテンツのダウンロードをブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • すべての Office アプリケーションが子プロセスを作成できないようにブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • 難読化される可能性のあるスクリプトの実行をブロックする (js/vbs/ps)
    ベースラインの既定値: ブロック
    詳細情報

  • Office マクロから Win32 API 呼び出しをブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • で毎日のクイック スキャンを実行する
    ベースラインの既定値: 午前 2 時
    詳細情報

  • スケジュールされたスキャンの開始時刻
    ベースラインの既定値: 午前 2 時

  • スケジュールされたスキャンの CPU 優先度を低く構成する
    ベースラインの既定値: はい
    詳細情報

  • Office 通信アプリによる子プロセスの作成をブロックする
    ベースラインの既定値: 有効にする
    詳細情報

  • Adobe Reader による子プロセスの作成をブロックする
    ベースラインの既定値: 有効にする
    詳細情報

  • 受信メール メッセージをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • リアルタイム保護を有効にする
    ベースラインの既定値: はい
    詳細情報

  • 検疫されたマルウェアを保持する日数 (0 から 90)
    ベースラインの既定値: 0
    詳細情報

  • Defender システム スキャン スケジュール
    ベースラインの既定値: ユーザー定義
    詳細情報

  • クラウド保護タイムアウトを延長するための追加の時間 (0 ~ 50 秒)
    ベースラインの既定値: 50
    詳細情報

  • フル スキャン中にマップされたネットワーク ドライブをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • ネットワーク保護を有効にする
    ベースラインの既定値: はい
    詳細情報

  • ダウンロードしたすべてのファイルと添付ファイルをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • アクセス保護をブロックする
    ベースラインの既定値: 未構成
    詳細情報

  • ブラウザー スクリプトをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • Microsoft Defender アプリへのユーザー アクセスをブロックする
    ベースラインの既定値: はい
    詳細情報

  • スキャンあたりの最大許容 CPU 使用率 (0 ~ 100%)
    ベースラインの既定値: 50
    詳細情報

  • スキャンの種類
    ベースラインの既定値: クイック スキャン
    詳細情報

  • セキュリティ インテリジェンス更新プログラムをチェックする頻度 (0 から 24 時間) を入力します
    ベースラインの既定値: 8
    詳細情報

  • Defender サンプル提出の同意
    ベースラインの既定値: 安全なサンプルを自動的に送信する
    詳細情報

  • クラウド配信の保護レベル
    ベースラインの既定値: *未構成
    詳細情報

  • アーカイブ ファイルのスキャン
    ベースラインの既定値: はい
    詳細情報

  • 動作の監視を有効にする
    ベースラインの既定値: はい
    詳細情報

  • フル スキャン中にリムーバブル ドライブをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • ネットワーク ファイルをスキャンする
    ベースラインの既定値: はい
    詳細情報

  • Defender 望ましくない可能性のあるアプリに対するアクション
    ベースラインの既定値: ブロック
    詳細情報

  • クラウドによる保護を有効にする
    ベースラインの既定値: はい
    詳細情報

  • Office アプリケーションによるコードの他のプロセスへの挿入をブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • Office アプリケーションによる実行可能コンテンツの作成をブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • ダウンロードした実行可能コンテンツの起動を JavaScript または VBScript でブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • ネットワーク保護を有効にする
    ベースラインの既定値: 監査モード
    詳細情報

  • USB から実行される信頼されていないプロセスと署名されていないプロセスをブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • Windows ローカル セキュリティ機関サブシステムからの資格情報の盗用をブロックする (lsass.exe)
    ベースラインの既定値: 有効にする
    詳細情報

  • 電子メールおよび Web メール クライアントからの実行可能なコンテンツのダウンロードをブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • すべての Office アプリケーションが子プロセスを作成できないようにブロックする
    ベースラインの既定値: ブロック
    詳細情報

  • 難読化される可能性のあるスクリプトの実行をブロックする (js/vbs/ps)
    ベースラインの既定値: ブロック
    詳細情報

  • Office マクロから Win32 API 呼び出しをブロックする
    ベースラインの既定値: ブロック
    詳細情報

Microsoft Defender セキュリティ センター

  • Exploit Guard 保護インターフェイスの編集をユーザーにブロックする
    ベースラインの既定値: はい
    詳細情報

スマートスクリーン

  • ユーザーが SmartScreen の警告を無視できないようにブロックする
    ベースラインの既定値: はい
    詳細情報

  • Windows SmartScreen を有効にする
    ベースラインの既定値: はい
    詳細情報

  • Microsoft Edge に SmartScreen を要求する
    ベースラインの既定値: はい
    詳細情報

  • 悪意のあるサイト アクセスをブロックする
    ベースラインの既定値: はい
    詳細情報

  • 未検証のファイルのダウンロードをブロックする
    ベースラインの既定値: はい
    詳細情報

  • SmartScreen Microsoft Defender構成する
    ベースラインの既定値: 有効

  • サイトの SmartScreen プロンプトMicrosoft Defenderバイパスしないようにする
    ベースラインの既定値: 有効

  • ダウンロードに関するMicrosoft Defender SmartScreen 警告のバイパスを防止する
    ベースラインの既定値: 有効

  • 望ましくない可能性のあるアプリをブロックするように smartScreen Microsoft Defender構成する
    ベースラインの既定値: 有効

  • ストアからのみアプリを要求する
    ベースラインの既定値: はい

  • Windows SmartScreen を有効にする
    ベースラインの既定値: はい
    詳細情報

Windows Hello for Business

詳細については、Windows ドキュメントの PassportForWork CSP に関するページを参照してください。

  • ブロック Windows Hello for Business
    ベースラインの既定値: 無効

    • PIN の小文字 ベースラインの既定値: 許可

    • PIN の特殊文字 ベースラインの既定値: 許可

    • PIN の大文字 ベースラインの既定値: 許可

次の手順