Microsoft Defender for Endpointで対象端末を選択できても、必ずLive Responseを開始できるとは限りません。Live Responseが使えない場合は、端末のオンボード状態、対応OS、テナント設定、担当者の権限、デバイスグループの範囲を順番に確認します。
また、セッションを開始できても、付与されている権限が「基本Live Response」のみであれば、スクリプト実行やファイル転送などの高度な操作は実行できません。Live Responseは、利用者の画面を操作する遠隔支援機能ではなく、セキュリティ担当者が管理対象端末をリモートシェルで調査・対処するための機能です。Microsoft Defender for Endpoint Plan 2が適用対象です。([Microsoft Learn][1])
Live Responseが使えない状態を最初に切り分ける
「使えない」といっても、発生している状態によって確認すべき場所が異なります。最初に症状を整理すると、不要な設定変更を避けられます。
| 発生している状態 | 主に確認する項目 |
|---|---|
| Live Responseを開始する項目が表示されない | ライセンス、テナント設定、担当者の権限 |
| 開始項目が無効になっている | 権限、デバイスグループの範囲、対象端末の状態 |
| セッションを開始しても接続できない | オンボード状態、端末の稼働状況、ネットワーク接続、対応OS |
| セッションには接続できるがコマンドを実行できない | 基本・高度なLive Response権限、OSごとのコマンド対応 |
runやputfileを使用できない | 高度なLive Response権限 |
| ライブラリへのアップロードボタンが無効 | セキュリティ設定を管理する権限 |
| 特定の端末だけ操作できない | デバイスグループとロールの割り当て範囲 |
| 別の担当者が接続中で開始できない | 対象端末ですでにLive Responseセッションが実行されていないか |
Live Responseでは、ユーザーに付与されたロールによって基本コマンドと高度なコマンドの利用可否が変わります。また、1台の端末に対して同時に開始できるセッションは1つです。([Microsoft Learn][1])
Live Responseは一般的な遠隔操作機能ではない
Live Responseは、セキュリティ運用チームが対象端末へリモートシェル接続し、フォレンジック情報の収集や脅威への対応を行う機能です。
代表的な用途には、次のものがあります。
- 実行中のプロセスやファイルを調査する
- 疑わしいファイルを取得する
- PowerShellやBashのスクリプトを実行する
- ファイルやスクリプトを対象端末へ配置する
- 検出した脅威に対して修復操作を行う
- コマンドの実行履歴を確認する
一方、利用者のデスクトップ画面を表示したり、マウスやキーボードを代わりに操作したりするための機能ではありません。ヘルプデスクによる画面共有や操作支援を目的としている場合は、Live Responseではなく、組織で承認されたリモートサポート手段を使用します。([Microsoft Learn][1])
対象端末がDefender for Endpointへオンボードされているか確認する
最初に確認するのは、対象端末がMicrosoft Defender for Endpointの管理対象になっているかです。
デバイス一覧に表示されるだけでは不十分
Microsoft Defenderポータルのデバイスインベントリには、Defender for Endpointへオンボードされた端末だけでなく、デバイス検出によって見つかった未管理端末が表示される場合があります。
そのため、端末名を検索できたという理由だけで、Live Responseを利用できるとは判断できません。デバイス情報にあるオンボード状態を確認し、対象端末が実際にDefender for Endpointへオンボードされていることを確認します。([Microsoft Learn][2])
確認時は、次の項目を整理します。
- 対象端末が正しいデバイスレコードか
- オンボード済みになっているか
- オフボード済みや未管理端末として登録されていないか
- 同じ端末名の重複レコードを選択していないか
- 端末が起動し、ネットワークへ接続されているか
- Defender for Endpointサービスと通信できる状態か
端末の再登録やOS再展開後は、同じコンピューター名の古いレコードが残っていることがあります。古いレコードを選択すると、現在稼働している端末へ接続できません。端末名だけでなく、最終確認時刻、OS、デバイスIDなども照合してください。
接続中のまま進まない場合
Live Responseはクラウド経由の対話型シェルです。端末とDefender for Endpointサービス間の通信状態やネットワーク品質、対象端末の負荷によって、接続やコマンド応答に時間がかかる場合があります。([Microsoft Learn][1])
接続できない場合は、次の順番で確認します。
- 対象端末が起動しているか
- インターネットまたは組織ネットワークへ接続されているか
- Defender for Endpointへの通信がプロキシやファイアウォールで遮断されていないか
- Defenderのセンサーやエージェントが稼働しているか
- デバイスインベントリの情報が最近更新されているか
- 同じ端末に別の担当者が接続していないか
Windows Server 2016やWindows Server 2012 R2などの下位サーバーでは、エージェント構成やプロキシ方式も影響します。特に静的プロキシを使用する環境では、オンボード方式との組み合わせによってLive Responseが期待どおり動作しない場合があるため、サーバー側の接続構成も確認します。([Microsoft Learn][1])
対象OSとエージェントのバージョンを確認する
Live Responseは、すべてのOSやバージョンで利用できるわけではありません。対象端末が公式の対応範囲に含まれているか確認します。
Microsoft Learnに示されている主な対応範囲は次のとおりです。
| OS | 主な確認点 |
|---|---|
| Windows 11 | サポート対象のWindows 11であること |
| Windows 10 | 対応バージョン、または指定された更新プログラムが適用されていること |
| macOS | 対応するDefender for Endpointのバージョン以降であること |
| Linux | 対応するDefender for Endpointのバージョン以降であること |
| Windows Server 2022以降 | サーバー向けLive Response設定も確認する |
| Windows Server 2019 | 対応バージョンと更新状態を確認する |
| Windows Server 2016／2012 R2 | Unified Agentなどの要件を確認する |
| Azure Stack HCI OS | 対応バージョン以降であること |
対応OSや必要なエージェントバージョンは更新される可能性があります。古い手順書の記載だけで判断せず、対象端末のOSと現在の公式対応一覧を照合してください。([Microsoft Learn][1])
テナントでLive Responseが有効になっているか確認する
端末側の条件を満たしていても、テナントの高度な機能でLive Responseが無効になっていれば利用できません。
Microsoft Defenderポータルで、次の設定を確認します。
- Microsoft Defenderポータルへサインインする
- **［設定］→［エンドポイント］→［高度な機能］**を開く
- Live Responseに関する設定をオンにする
- サーバーを調査する場合は、サーバー向けLive Responseも確認する
- 設定を保存する
英語表示では、Settings > Endpoints > Advanced featuresです。設定画面の名称や配置はポータルの更新により変わる場合があります。
高度な機能には、主に次の設定があります。
| 設定 | 役割 |
|---|---|
| Live response | 適切な権限を持つユーザーが端末でセッションを開始できるようにする |
| Live response for servers | サーバーを対象としたセッションを開始できるようにする |
| Allow unsigned script execution in live response | 未署名のPowerShellスクリプト実行を許可する |
Live Responseを有効化できるのは、ポータル設定を管理できる管理者または対応する権限を持つユーザーです。([Microsoft Learn][2])
未署名スクリプトの許可は必須ではない
「未署名スクリプトの実行許可」は、Live Responseそのものを利用するための必須設定ではありません。未署名のPowerShellスクリプトを実行する場合に限って必要です。
この設定を有効にすると、信頼性を確認できていないスクリプトを実行できる範囲が広がります。単に作業を簡単にする目的で常時有効にするのではなく、署名済みスクリプトの使用を基本とし、必要性とリスクを確認して判断してください。([Microsoft Learn][1])
担当者のLive Response権限を確認する
Live Responseの設定が有効でも、操作する担当者に必要な権限がなければセッションを開始できません。また、基本権限だけでは一部の操作に制限があります。
権限モデルの違いに注意する
Microsoft Defender for Endpointでは、環境によって従来のRBACとMicrosoft Defender統合RBACが使われています。
新しいテナントでは統合RBACが標準となっており、既存テナントでは従来のロールと権限構成が維持されている場合があります。そのため、インターネット上の手順と自組織の画面で、権限名や設定場所が一致しないことがあります。([Microsoft Learn][3])
重要なのは画面上の名称ではなく、担当者に次の有効な権限が付与されているかです。
| 実行したい操作 | 必要になる主な権限 |
|---|---|
| Live Responseセッションを開始する | 基本Live Response |
| 端末上の情報を読み取る | 基本Live Response |
| 対象端末からファイルを取得する | 基本Live Response |
| 対象端末へファイルを配置する | 高度なLive Response |
| ライブラリ内のスクリプトを実行する | 高度なLive Response |
| 高度な対応操作を実行する | 高度なLive Response |
| Live Responseのテナント設定を変更する | システム設定・ポータル設定の管理権限 |
| 特定の端末を操作する | 対象端末を含むデバイスグループへのアクセス |
統合RBACでは、基本操作にBasic live response（Manage）、高度な操作に**Advanced live response（Manage）**が対応します。基本Live Responseではセッション開始、ファイル取得、読み取り中心の操作ができ、高度なLive Responseではファイルのアップロードやスクリプト実行などが可能になります。([Microsoft Learn][4])
管理者権限を付ければ解決するとは限らない
原因確認のために、担当者へグローバル管理者などの強い権限を付与する方法は推奨できません。
Live Responseは端末上でスクリプト実行や修復操作まで行えるため、必要な担当者に必要な権限だけを付与することが重要です。基本調査を行う一次対応者には基本Live Response、ファイル配置やスクリプト実行を担当する二次対応者には高度なLive Responseを付与するなど、役割を分離すると安全です。Microsoftも最小権限のロール利用を推奨しています。([Microsoft Learn][5])
デバイスグループの範囲を確認する
担当者にLive Response権限があっても、対象端末が担当者のアクセス可能なデバイスグループに含まれていなければ操作できません。
デバイスグループは、端末名、ドメイン、タグ、OSなどの条件で端末を分類し、Microsoft Entraのユーザーグループごとにアクセス範囲を制御する仕組みです。([Microsoft Learn][6])
次の組み合わせを確認してください。
- 担当者が所属するMicrosoft Entraグループ
- そのグループへ割り当てられたDefenderのロール
- ロールに含まれる基本または高度なLive Response権限
- 担当者がアクセスできるデバイスグループ
- 対象端末が実際に所属しているデバイスグループ
特に見落としやすいのが、端末のタグ変更やグループ条件の重複です。1台の端末が複数の条件に一致した場合、優先順位が高いデバイスグループへ所属します。想定していたグループではなく、別のグループに分類されていないか確認してください。([Microsoft Learn][6])
デバイスグループの変更は、反映まで数分から数時間かかる場合があります。設定直後に操作できない場合は、設定内容が正しいことを確認したうえで、反映状況も考慮します。([Microsoft Learn][6])
セッションには接続できるが必要な操作を実行できない場合
Live Responseへ接続できている場合は、端末のオンボードや基本的な接続条件はおおむね満たしています。次に、権限とコマンドの対応範囲を確認します。
基本コマンドと高度なコマンドを区別する
基本Live Response権限では、調査を目的とした読み取り中心の操作を実行できます。
代表的な基本コマンドには、次のものがあります。
| コマンド | 用途 |
|---|---|
dir | ディレクトリ内のファイルやサブディレクトリを表示する |
processes | 実行中のプロセスを表示する |
fileinfo | ファイル情報を確認する |
findfile | 指定した名前のファイルを検索する |
getfile | 対象端末からファイルを取得する |
jobs | 実行中のジョブと状態を確認する |
status | 指定したコマンドの状態や結果を確認する |
help | コマンドのヘルプを表示する |
高度なLive Response権限では、ライブラリに登録したファイルやスクリプトを利用した操作が可能になります。
| コマンド | 用途 |
|---|---|
library | Live Responseライブラリ内のファイルを表示する |
putfile | ライブラリ内のファイルを対象端末へ配置する |
run | ライブラリ内のPowerShellまたはBashスクリプトを実行する |
remediate | ファイル、プロセス、サービスなどに修復操作を行う |
undo | 対応している修復操作を元に戻す |
基本コマンドは使えるのにrunやputfileを使用できない場合は、接続障害ではなく、高度なLive Response権限が付与されていない可能性が高いと判断できます。([Microsoft Learn][1])
OSによって使用できるコマンドが異なる
Live Responseに対応しているOSでも、すべてのコマンドを共通して使用できるわけではありません。
例えば、次のコマンドはWindowsおよびWindows Server向けです。
registryservicesscheduledtasksdriverspersistencestartupfoldersconnections
一方、dir、fileinfo、findfile、getfile、processes、jobs、statusなどは、Windows、macOS、Linuxで広く利用できます。
Windowsで使用できたコマンドを、そのままmacOSやLinuxで実行できるとは限りません。コマンドが認識されない場合は、権限だけでなく、対象OSでの対応可否を公式のコマンド一覧で確認します。([Microsoft Learn][1])
コマンドの構文や利用可能な引数は、次の形式で確認できます。
help <コマンド名>例として、getfileの使い方を確認する場合は次のように入力します。
help getfileファイルやスクリプトを扱えない場合の確認点
ライブラリへファイルを登録しているか
runでPowerShellまたはBashスクリプトを実行するには、事前にスクリプトをLive Responseライブラリへ登録する必要があります。
対象端末上の任意のパスを指定して、直接ローカルスクリプトを実行する仕組みではありません。基本的な流れは次のとおりです。
- スクリプトを内容確認・承認する
- Live Responseライブラリへアップロードする
libraryで登録状態を確認するrunでスクリプトを実行する- 実行結果を確認する
Live Responseセッション内からライブラリへファイルをアップロードするには、追加のセキュリティ設定管理権限が必要です。権限がない場合、アップロードボタンがグレー表示になることがあります。一方、ライブラリ管理ページから登録する方法も用意されています。([Microsoft Learn][1])
ファイルサイズとタイムアウトを確認する
コマンド自体が利用可能でも、ファイルサイズやネットワーク帯域によって処理が完了しないことがあります。
公式情報では、getfileで取得できるファイルの上限は3GBです。ただし、上限以内でも通信速度が不足すると、コマンドの制限時間内に転送が終わらない場合があります。通常のコマンドは10分、getfile、findfile、runは30分の時間制限があります。([Microsoft Learn][1])
大きなファイルを取得できない場合は、次を検討します。
- 取得対象を必要なログやファイルだけに絞る
- 可能であればファイルを分割する
- バックグラウンドダウンロードを利用する
- 対象端末とネットワークの負荷を確認する
- 同じ処理を何度も重複実行しない
安全にLive Responseを実行する手順
Live Responseでは対象端末の状態を変更できるため、接続できた後の操作にも統制が必要です。
読み取り操作から開始する
調査開始直後からスクリプト実行や修復操作を行うのではなく、まず読み取り中心のコマンドで状況を確認します。
実行例は次のとおりです。
processesdir C:\Tempfileinfo "C:\Temp\suspicious.exe"findfile suspicious.exeこれらはコマンド形式の説明例です。特定環境での実測結果を示すものではありません。
対象ファイルやプロセスを特定した後、組織のインシデント対応手順に従って、ファイル取得、スクリプト実行、修復操作へ進みます。
変更を伴う操作は目的と影響を確認する
特に注意が必要なのは、次のような操作です。
putfileによるファイル配置runによるスクリプト実行remediateによる削除や停止- ネットワーク隔離に関する操作
- 未署名PowerShellスクリプトの実行
実行前に、対象端末、対象パス、実行目的、想定される影響、復旧方法を確認します。業務端末やサーバーでは、誤ったプロセス停止やファイル削除がサービス停止につながる可能性があります。
コマンドのキャンセルを過信しない
Live Response画面でCtrl + Cを押しても、Microsoft Defenderポータル上の表示がキャンセルされるだけで、端末側ですでに開始された処理が停止しない場合があります。
特にremediateなどの変更操作は、ポータルでキャンセルした後も端末側で継続する可能性があります。実行ボタンを押した後に止めればよいと考えず、実行前にコマンドと対象を確認してください。([Microsoft Learn][1])
実行履歴と取得資料を管理する
Live Responseのコマンドログでは、コマンドID、コマンドライン、実行時間、状態、入出力などを確認できます。調査終了後は、必要な記録を組織のインシデント管理手順へ残します。([Microsoft Learn][1])
管理対象には、次のような情報が含まれます。
- 調査対象の端末
- セッションの開始・終了時刻
- 実行したコマンド
- スクリプトの名称と版
- 取得したファイル
- 実行結果
- 修復や変更を行った内容
- 実行者と承認者
取得したマルウェア検体、ログ、メモリ情報などには、機密情報や個人情報が含まれる可能性があります。通常の共有フォルダーへ安易に保存せず、アクセス権、保存期間、持ち出し、削除方法を組織の規程に合わせて管理してください。
調査終了後は、Live Responseセッションを明示的に切断します。
利用時に避けるべき運用
Live Responseが技術的に利用できても、権限や目的が正当でなければ使用すべきではありません。
特に次の運用は避けてください。
- 組織が管理していない個人所有PCを無断で調査する
- 利用者の操作支援を目的にLive Responseを使用する
- 担当業務と関係のない端末グループへアクセス権を広げる
- 便利さだけを理由に未署名スクリプトを常時許可する
- 内容を確認していないスクリプトをライブラリへ登録する
- Windows向けコマンドがmacOSやLinuxでも使えると判断する
- 調査資料や取得ファイルを無期限に保存する
- 問題解決のために管理者権限を無条件で付与する
Live Responseは強力な調査機能であるため、端末の所有者、管理主体、調査権限、保存する証拠の取扱いを明確にしたうえで使用します。
Live Responseが使えないときの最終チェックリスト
原因を切り分ける際は、次の順番で確認すると効率的です。
- Microsoft Defender for Endpoint Plan 2の対象環境か
- 対象端末がデバイスインベントリに表示されているだけでなく、オンボード済みか
- 古いレコードや重複レコードを選択していないか
- 対象端末が起動し、Defender for Endpointサービスへ接続できるか
- 対象OSとエージェントのバージョンがLive Responseに対応しているか
- テナントの高度な機能でLive Responseが有効か
- サーバーの場合、サーバー向けLive Responseが有効か
- 担当者に基本Live Response権限があるか
runやputfileが必要な場合、高度なLive Response権限があるか- 対象端末を含むデバイスグループへアクセスできるか
- 使用するコマンドが対象OSに対応しているか
- 別の担当者が同じ端末でセッションを開始していないか
- ファイルサイズやコマンドの時間制限を超えていないか
- ロールやデバイスグループの変更が反映済みか
Live Responseを使えない場合、最初から権限だけを変更するのではなく、端末のオンボードと接続状態、対応OS、テナント設定、ロール、デバイスグループ、コマンド対応の順に確認します。
セッションを開始できるのに特定の操作だけ実行できない場合は、基本Live Responseと高度なLive Responseの権限差、またはOSごとのコマンド差を重点的に確認してください。原因を切り分けた後は、必要最小限の権限と操作に限定し、コマンド履歴や取得資料を組織の規程に沿って管理することが重要です。
[1]: https://learn.microsoft.com/en-us/defender-endpoint/live-response “Investigate entities on devices using live response in Microsoft Defender for Endpoint – Microsoft Defender for Endpoint | Microsoft Learn”
[2]: https://learn.microsoft.com/en-us/defender-endpoint/advanced-features “Configure advanced features in Microsoft Defender for Endpoint – Microsoft Defender for Endpoint | Microsoft Learn”
[3]: https://learn.microsoft.com/en-us/defender-xdr/manage-rbac “Microsoft Defender unified role-based access control (RBAC) – Microsoft Defender XDR | Microsoft Learn”
[4]: https://learn.microsoft.com/en-us/defender-xdr/custom-permissions-details “Permissions in Microsoft Defender unified role-based access control (RBAC) – Microsoft Defender XDR | Microsoft Learn”
[5]: https://learn.microsoft.com/en-us/defender-endpoint/user-roles “Create and manage roles for role-based access control – Microsoft Defender for Endpoint | Microsoft Learn”
[6]: https://learn.microsoft.com/en-us/defender-endpoint/machine-groups “Create and manage device groups in Microsoft Defender for Endpoint – Microsoft Defender for Endpoint | Microsoft Learn”
コメント