感染が疑われるPCをMicrosoft Defender for Endpointで端末隔離すると、社内システムやインターネットなどへの一般的なネットワーク通信は制限されます。一方、対応するOSとネットワーク構成であれば、Defender for Endpointのクラウドサービスとの接続は維持されるため、隔離後も状態確認や調査、解除操作を続けられます。
ただし、フルトンネルVPNやプロキシ構成によっては、Defender for Endpointの管理通信まで到達できなくなる可能性があります。そのため、端末隔離は単にボタンを押すのではなく、対象端末、業務影響、管理通信経路を確認してから実行することが重要です。
また、端末隔離は感染を駆除する機能ではありません。被害拡大を抑えるための封じ込め策であり、隔離後も原因調査、マルウェア除去、認証情報の見直し、影響範囲の確認が必要です。
Defender for Endpointの端末隔離で何が止まるのか
Microsoft Defender for Endpointの端末隔離は、感染が疑われるデバイスをネットワークから切り離し、攻撃者による遠隔操作、情報流出、横展開などを防ぐための対応機能です。
原則として一般的なネットワーク通信を制限しつつ、Defender for Endpointサービスとの接続を維持します。これにより、隔離した端末をMicrosoft Defenderポータルから継続して監視できます。([Microsoft Learn][1])
| 対象 | 隔離後の基本的な状態 |
|---|---|
| 社内ファイルサーバーや業務システム | 原則として通信を制限 |
| インターネット上の一般的なサービス | 原則として通信を制限 |
| 他の社内PCとの通信 | 原則として通信を制限 |
| Defender for Endpointサービス | 対応条件下では接続を維持 |
| 端末内のファイルやプロセス | 隔離だけでは削除・停止されない |
| マルウェアの駆除 | 別途スキャンや修復対応が必要 |
重要なのは、端末隔離が「感染端末の通信を抑える機能」であり、「感染を完全に除去する機能」ではないことです。
隔離が正常に完了しても、端末内に不正ファイル、永続化設定、不正なタスク、侵害されたアカウントなどが残っている可能性があります。
端末隔離とファイルの検疫は別の機能
「端末隔離」と、Microsoft Defender Antivirusによる「ファイルの検疫」は混同されやすい機能です。
| 機能 | 対象 | 主な目的 |
|---|---|---|
| 端末隔離 | PCやサーバーなどのデバイス | ネットワーク通信を制限し、被害拡大を防ぐ |
| ファイルの検疫 | 検出されたファイル | 不正なファイルを実行できない状態にする |
| ウイルススキャン | 端末内のファイルや領域 | マルウェアを検出し、修復につなげる |
| Live Response | 対応デバイス | 遠隔シェルで詳細調査や対応を行う |
端末隔離を実行しただけでは、不正ファイルが自動的に検疫されたとは限りません。
反対に、1個のファイルを検疫しただけでは、攻撃者が別のプロセスや認証情報を使って端末を操作し続ける可能性があります。ネットワーク上の被害拡大が疑われる場合は、ファイル単位の対処だけでなく、端末隔離を組み合わせて考えます。
隔離前に確認するべき3つのポイント
端末隔離は強い制限を伴うため、アラートを見ただけで直ちに実行するのではなく、対象と影響を確認します。
インシデントと対象デバイスが一致しているか
最初に、Microsoft Defenderポータル上のインシデント、アラート、デバイス情報を照合します。
最低限、次の情報を確認します。
- デバイス名
- 利用者
- OS
- IPアドレス
- 端末の重要度
- 発生しているアラート
- 検出時刻
- 関連するユーザーや他のデバイス
- 現在オンラインかオフラインか
同名端末や再利用された端末名がある環境では、デバイス名だけで判断しないことが重要です。デバイスID、利用者、IPアドレス、直近のサインイン情報などを組み合わせて確認します。
隔離による業務影響を確認する
対象が一般利用者のPCなのか、共有端末なのか、サーバーなのかによって影響は異なります。
特に慎重な判断が必要なのは、次のようなデバイスです。
- 基幹業務で常時使用している端末
- 工場や医療機器などを制御している端末
- 共有ファイルや認証機能を提供するサーバー
- リモートアクセスしかできない遠隔拠点の端末
- 仮想マシンを稼働させているHyper-Vホスト
- セキュリティ担当者が現地対応できない端末
Hyper-Vホストを隔離すると、ホスト上の子仮想マシンのネットワーク通信にも影響するため、通常のクライアントPCと同じ感覚で実行してはいけません。([Microsoft Learn][1])
緊急度が高い場合でも、隔離を実行した担当者、承認者、実行理由、想定影響を記録しておくと、後の判断がしやすくなります。
Defender for Endpointへの管理通信を維持できるか
通常、端末隔離後もDefender for Endpointサービスとの接続は維持されます。しかし、ネットワーク構成によっては例外があります。
隔離前に確認したい項目は次のとおりです。
- Defender for Endpointの必要な接続先へ到達できるか
- プロキシを経由しているか
- PACまたはWPADを使用しているか
- VPNがスプリットトンネルかフルトンネルか
- SSLインスペクションなどが通信を妨げていないか
- 対象OSが端末隔離に対応しているか
- 選択的隔離を利用できる構成か
管理通信経路を把握していない状態で重要端末を隔離すると、ポータル上からの調査や通常の解除が難しくなる可能性があります。
Defenderポータルから端末を隔離する手順
Microsoft Defenderポータルでは、対象デバイスのページから端末隔離を実行します。
画面の名称や配置は更新されることがありますが、基本的な流れは次のとおりです。
対象デバイスのページを開く
対象デバイスは、主に次の場所から開けます。
- インシデントまたはアラート
- デバイスインベントリ
- ポータル内のデバイス検索
アラートから開く場合も、端末名だけで即断せず、デバイスページ上の情報を再確認します。
「Isolate device」を選択する
デバイスページのアクションメニューから「Isolate device」を選択します。
実行時にはコメントを入力し、確認操作を行います。コメントには、後から見ても理由が分かる内容を記録します。
入力例は次のとおりです。
不審なPowerShell実行と外部通信を検出。
横展開防止のため、インシデントINC-XXXXの初動対応として隔離。
承認者：情報セキュリティ責任者「マルウェア対応」「念のため」といった短いコメントだけでは、後から判断経緯を追いにくくなります。検出内容、関連インシデント、目的、承認者を簡潔に残すのが実務的です。
端末隔離を実行するには、必要な修復アクションの権限と、対象デバイスグループへのアクセス権が必要です。権限が不足している場合は、アクションが表示されない、または実行できないことがあります。([Microsoft Learn][1])
Action centerで結果を確認する
隔離操作を送信した後は、操作完了と思い込まず、Action centerで状態を確認します。
確認する項目は次のとおりです。
- 実行したアクション
- 対象デバイス
- 実行者
- 送信時刻
- 現在の状態
- 成功、保留、失敗などの結果
- 入力したコメント
あわせて、対象デバイスのページとタイムラインも確認します。Microsoft Learnでは、端末隔離後のアクション情報をAction centerとデバイスタイムラインで確認できると案内されています。([Microsoft Learn][1])
デバイスがオフラインだった場合、隔離操作は直ちに反映されないことがあります。Microsoft Defender for Endpointは一定期間再試行しますが、その間にデバイスが接続しなければ、オンライン復帰後に隔離操作を再実行する必要があります。([Microsoft Learn][1])
隔離後に確認するべき状態
端末隔離の目的は、調査を終わらせることではなく、安全に調査を続けるための時間を確保することです。
隔離後は、次の順番で状態を確認します。
デバイスが隔離状態になっているか
Microsoft Defenderポータルの対象デバイスページで、隔離状態が反映されているか確認します。
Action centerが成功でも、実際の端末状態が期待どおりとは限りません。デバイスページ、タイムライン、端末側の通信状態を組み合わせて確認します。
利用者へ連絡できる場合は、業務システムや一般的なWebサイトに接続できなくなったことも確認材料になります。ただし、利用者の申告だけで隔離完了を判断してはいけません。
Defender for Endpointとの接続が維持されているか
隔離後も、対象デバイスから次のような情報が更新されるか確認します。
- デバイスの最終確認時刻
- タイムラインイベント
- センサーの状態
- アラートや検出情報
- 送信した対応アクションの状態
更新が止まった場合は、単に端末がシャットダウンされた可能性もあります。VPN、プロキシ、ファイアウォール、必要なサービス接続先なども含めて切り分けます。
調査機能が利用できるか
隔離後に利用できる調査・対応機能には、次のようなものがあります。
- Microsoft Defender Antivirusのスキャン
- 調査パッケージの収集
- Live Response
- 自動調査
- デバイスタイムラインの確認
- 高度な追及による関連端末や通信の確認
ただし、すべての機能がすべてのOS、ライセンス、構成で利用できるわけではありません。
たとえば、Live Responseや調査パッケージの収集は、契約プランや対象OSのサポート条件を確認する必要があります。Defender for Endpoint Plan 1で利用できる手動対応アクションは限定されており、Microsoft Learnでも各アクションのOS要件を確認するよう案内されています。([Microsoft Learn][1])
「隔離できたからLive Responseも使えるはず」と考えず、機能ごとに対応条件を確認してください。
管理通信まで切れる可能性がある構成
端末隔離ではDefender for Endpointとの接続維持が考慮されていますが、ネットワーク経路によっては管理通信も失われます。
フルトンネルVPN
特に注意が必要なのがフルトンネルVPNです。
フルトンネルVPNでは、Defender for Endpoint向けを含む通信がVPN装置や社内ネットワークを経由します。隔離によってVPN経路に必要な通信が止まると、Defender for Endpointのクラウドサービスへ到達できなくなる可能性があります。
Microsoft Learnでも、フルトンネルVPNの背後にあるデバイスは、隔離後にDefender for Endpointクラウドサービスへ接続できなくなることがあると説明しています。Defender for Endpointやクラウド保護関連の通信には、スプリットトンネルを使用することが推奨されています。([Microsoft Learn][1])
「VPNに対応している」という説明だけを見て、すべてのVPN構成で管理通信が維持されると判断しないことが重要です。
Webプロキシ
次のようなプロキシ構成でも注意が必要です。
- PACファイル
- WPAD
- 明示的な固定プロキシ
- 直接接続とプロキシを組み合わせた構成
Microsoft Learnでは、Webプロキシを使用する環境では、ネットワーク隔離から復旧できなくなる可能性があるため、選択的隔離の利用を検討するよう案内しています。([Microsoft Learn][1])
隔離前には、Defender for Endpointサービスへの接続が、どのプロセス、宛先、プロキシ設定に依存しているかを確認しておきます。
選択的隔離を利用する場合
選択的隔離では、全面的な通信遮断ではなく、隔離中も必要なプロセスや接続先を許可する構成を利用できます。
利用例としては、次のような通信があります。
- セキュリティ管理サービス
- 運用管理ツール
- 業務継続に不可欠な接続先
- Microsoft TeamsやOutlook
ただし、許可範囲を広げすぎると、攻撃者がその通信経路を悪用する可能性があります。
「業務を止めたくない」という理由だけで多数の宛先やアプリケーションを除外するのではなく、隔離中に本当に必要な通信だけを選定します。対応OSや除外設定の可否も事前に確認してください。([Microsoft Learn][1])
手動隔離と自動隔離は適用条件が異なる
Defender for Endpointには、管理者が実行する手動隔離のほか、Automatic Attack Disruptionによって自動的に端末を隔離する仕組みがあります。
両者を同じ条件の機能として扱ってはいけません。
| 項目 | 手動隔離 | 自動隔離 |
|---|---|---|
| 実行主体 | セキュリティ担当者 | Defenderの自動攻撃中断機能 |
| 判断方法 | アラートや業務影響を人が確認 | 検出した攻撃状況に基づく |
| 主な確認場所 | デバイスページ、Action center | インシデントのアクティビティ、デバイスページ、Action center |
| 除外の考え方 | 選択的隔離の設定 | 自動攻撃中断の対象除外も考慮 |
| 適用対象 | 対応するデバイス | 自動隔離固有の対象条件あり |
Microsoft Learnでは、自動端末隔離について、Defender for Endpointにオンボードされ、管理されているエンドユーザー向けワークステーションが対象とされています。手動で隔離できるデバイスと、自動隔離の対象デバイスが必ず一致するわけではありません。([Microsoft Learn][1])
重要な端末を自動隔離の対象外にする場合も、単に除外して終わりではなく、代替となる封じ込め手順を準備しておく必要があります。
隔離中に進めるインシデント対応
隔離後は、次の観点で調査と修復を進めます。
侵入経路を特定する
メール添付、Webサイト、脆弱性、盗まれた認証情報、リモート管理ツールなど、攻撃の起点を確認します。
侵入経路が分からないまま端末だけを初期化しても、同じ攻撃が再発する可能性があります。
不正な実行や永続化を確認する
次の項目を調べます。
- 不審なプロセス
- 自動起動設定
- サービス
- スケジュールタスク
- PowerShellやコマンドの実行履歴
- 不審なユーザーアカウント
- セキュリティ設定の変更
- Defenderの無効化や除外設定
- 外部接続先
- リモートログオン履歴
調査パッケージには、プロセス、ネットワーク接続、スケジュールタスク、サービス、ユーザーとグループなど、調査に利用できる情報が含まれます。([Microsoft Learn][1])
他の端末への影響を確認する
対象端末だけを見て対応を終えないことが重要です。
同じ不正ファイル、URL、IPアドレス、ユーザー、実行コマンドが、他のデバイスでも確認されていないか調査します。
特に認証情報の侵害が疑われる場合は、端末を隔離しても攻撃者が別の端末から活動を続ける可能性があります。
必要な修復を行う
調査結果に応じて、次のような対応を組み合わせます。
- マルウェアの削除または検疫
- ウイルススキャン
- 不正なタスクやサービスの削除
- 脆弱なソフトウェアの更新
- 侵害されたアカウントの無効化
- パスワード変更
- セッショントークンの失効
- 不正なアプリ登録や権限付与の取り消し
- 端末の再イメージング
- IoCのブロック登録
端末の再イメージングが必要か、既存環境の修復で継続利用できるかは、侵害の深刻度と調査結果から判断します。
隔離を解除してよい条件
業務を早く再開したいという理由だけで隔離を解除すると、攻撃者の通信や横展開も再開する可能性があります。
解除前には、少なくとも次の項目を確認します。
- 侵入原因を特定または十分に絞り込めている
- 不正ファイルやプロセスへの対処が完了している
- 永続化設定が残っていない
- OSやソフトウェアの脆弱性に対処している
- 侵害された可能性のある認証情報を変更している
- 他のデバイスへの影響範囲を確認している
- Defenderセンサーとウイルス対策機能が正常である
- 解除後に監視する担当者と期間を決めている
- 情報セキュリティ担当者が解除を承認している
すべての原因を完全に断定できないケースでも、残存リスクと監視方法を整理したうえで解除判断を行います。
「Release from isolation」で解除する手順
原因対処とリスク評価が完了したら、対象デバイスの隔離を解除します。
対象デバイスを開く
デバイスインベントリまたは対象デバイスのページを開きます。
別の端末を解除しないよう、デバイス名、利用者、デバイスID、関連インシデントを再確認します。
「Release from isolation」を実行する
隔離中のデバイスでは、アクションメニューに「Release from isolation」が表示されます。
解除理由をコメントに残し、確認操作を行います。Microsoft Learnでも、デバイスページから「Release from isolation」を選択して解除できると案内されています。([Microsoft Learn][1])
コメントには、修復内容と解除判断を記録します。
不正ファイルを削除し、永続化設定がないことを確認。
対象ユーザーのパスワード変更とセッション失効を実施。
関連端末への横展開が確認されなかったため隔離を解除。Action centerと端末側で復旧を確認する
解除操作後は、次の項目を確認します。
- Action centerで解除が成功している
- デバイスページの隔離状態が解除されている
- Defender for Endpointへの報告が継続している
- DNSやインターネット通信が復旧している
- 必要な社内システムへ接続できる
- VPNやプロキシが正常に動作している
- 不審な外部通信が再発していない
- 新しいアラートが発生していない
通信が復旧したことだけを見て対応を終了せず、一定期間はデバイスタイムラインやアラートを重点的に監視します。
通常の解除ができない場合の対応
ネットワーク構成や端末状態によっては、ポータルから解除操作を送信しても反映されないことがあります。
まず、次の点を確認します。
- 端末が起動しているか
- Defender for Endpointのセンサーが動作しているか
- 必要なサービス接続先へ到達できるか
- フルトンネルVPNに依存していないか
- プロキシ設定が管理通信を妨げていないか
- Action centerで解除が保留または失敗になっていないか
Microsoft Defenderポータルでは、応答しなくなった隔離端末に対して、強制解除用スクリプトをダウンロードできる場合があります。
このスクリプトは対象デバイス専用で、有効期限があり、対応するWindowsバージョンや必要な権限などの条件があります。通常の解除が失敗した場合の手段であり、日常的な解除方法として扱うものではありません。([Microsoft Learn][1])
強制解除に備える場合は、隔離が発生してから手順を調べるのではなく、事前に次の事項を運用手順書へまとめておきます。
- 強制解除スクリプトを取得できる担当者
- 必要なポータル権限
- 対象端末へスクリプトを持ち込む方法
- 現地作業者への連絡経路
- 実行記録の保存先
- 解除後の監視手順
端末隔離で失敗しやすいポイント
隔離した時点で駆除完了と判断する
隔離は封じ込めです。マルウェア、永続化、侵害された認証情報への対処は別途必要です。
Action centerを確認しない
操作を送信しただけでは、端末に反映されたとは限りません。成功、保留、失敗の状態を確認します。
フルトンネルVPNを見落とす
隔離後にDefender for Endpointへ接続できず、通常の解除や追加調査が難しくなる原因になります。
重要サーバーを一般PCと同じ手順で隔離する
サーバー、Hyper-Vホスト、制御端末は影響範囲が大きいため、事前承認と代替手段が必要です。
手動隔離と自動隔離の条件を混同する
対象範囲、適用条件、除外方法が異なります。自動隔離から除外した端末については、手動対応手順を別に準備します。
業務影響を恐れて解除を急ぐ
通信が止まっている間は不便ですが、攻撃者の活動も抑えられています。原因対処前の解除は、被害を再拡大させる可能性があります。
事前に整備しておきたい端末隔離チェックリスト
実際にインシデントが発生してからネットワーク構成や権限を確認すると、初動が遅れます。
平常時に次の項目を整理しておくと、端末隔離を安全に運用できます。
| 確認項目 | 整備内容 |
|---|---|
| 権限 | 隔離、解除、強制解除を実行できる担当者 |
| 承認 | 緊急時に誰が隔離を承認するか |
| ネットワーク | Defender for Endpointへの通信経路 |
| VPN | フルトンネルとスプリットトンネルの対象 |
| プロキシ | PAC、WPAD、固定プロキシの利用状況 |
| 重要端末 | 隔離時の影響が大きい端末の一覧 |
| 自動隔離 | 対象範囲と除外対象 |
| 調査 | Live Responseや調査パッケージの利用条件 |
| 解除 | 解除判断のチェック項目 |
| 代替手段 | 通常解除できない場合の現地対応手順 |
| 記録 | Action center、コメント、対応履歴の保存方法 |
可能であれば、本番業務に影響しない検証端末を使い、隔離、状態確認、調査、解除までの一連の手順を事前に確認します。
特に、VPNやプロキシを利用する組織では、「隔離できるか」だけでなく、隔離後もDefender for Endpointへの管理通信を維持できるか、正常に解除できるかまで確認することが重要です。
端末隔離は「通信遮断」ではなく「調査を続けられる封じ込め」として運用する
Defender for Endpointの端末隔離は、感染が疑われるPCの一般的なネットワーク通信を制限しながら、対応条件下でDefender for Endpointとの管理通信を維持する機能です。
ただし、フルトンネルVPNやプロキシなどの構成によっては、管理通信まで失われる可能性があります。隔離前に対象デバイス、業務影響、管理通信経路、利用可能な調査機能を確認してください。
実行後はAction centerとデバイス状態を確認し、原因調査と修復を継続します。解除は、マルウェア除去やリスク評価が終わってから「Release from isolation」で行い、通信復旧とアラートの再発がないことまで確認します。
端末隔離を安全に使うための次の行動は、組織内のVPN・プロキシ構成を整理し、隔離から解除までの手順を検証端末で確認することです。
[1]: https://learn.microsoft.com/en-us/defender-endpoint/respond-machine-alerts “Take response actions on a device in Microsoft Defender for Endpoint – Microsoft Defender for Endpoint | Microsoft Learn”
コメント