EDR（Endpoint Detection and Response）ソフトウェア導入について

本学では、研究成果、教育資料及び業務情報を取り扱う情報機器（コンピュータなど、以下「端末」と表記）をサイバー攻撃やマルウェア感染から保護するため、端末に対する情報セキュリティ対策の強化を進めています。その一環としてウイルス対策ソフトウェアを導入していますが、近年は生成AI等を利用した攻撃の高度化・迅速化により、ウイルス対策ソフトウェアのみでは対応が難しい事案も増加しています。このため、本学ではウイルス対策ソフトウェアによる従来の防御に加え、EDR（Endpoint Detection and Response）機能を備えた Microsoft Defender for Endpoint P2（以下「MDE」と表記）を導入しています。

 

EDRとは、端末上で発生する不審な挙動やサイバー攻撃の兆候を検知し、調査や被害拡大防止を支援する情報セキュリティ対策です。従来のウイルス対策ソフトウェアは、主として既知のマルウェアの検知・駆除を行います。一方、EDRは、利用者自身では気付きにくい不審なプログラムの実行や異常な通信等を検知し、情報セキュリティ事故の早期発見や原因調査、被害拡大防止に役立ちます。

https://www.microsoft.com/ja-jp/security/business/endpoint-security/microsoft-defender-endpoint

こんな不安はありませんか？

  • ​​​​​​未知のマルウェアへの感染や感染被害の拡大が心配。
  • 身に覚えのないソフトウェアが動いているかも。
  • 自分の端末が攻撃を受けていても気づけないのではないか。
  • 数日ソフトウェアの更新を忘れていたけれど問題ないだろうか。
  • セキュリティ事故が起きても対応方法が分からない。

このようなリスクへの対応を強化するため、本学ではEDRを導入しています。

対象者

常勤教員・特任教員

※職員端末については導入済みです。

導入対象端末

本学の TMU ID を利用して Microsoft 365 にサインインし、教育・研究のために利用者が継続的かつ専有的に利用する端末を対象とします。

公費購入端末・私費購入端末は問いません（ひとり5台まで）。

共用端末や不特定多数が利用する端末は対象外です。

OS要件

Windows: Windows 11 Professional, Education, Enterprise

macOS: 最新バージョンと2つ前までのバージョン

 

※Windows Homeをお使いの場合は、Educationへの移行後にご利用いただけます。
　Educationへの移行は、Microsoft 365ライセンスより利用申請をしてください。
（本学保有ライセンスによる移行となるため費用はかかりません）

 

端末構成

  • Microsoft Defender Antivirus (MDAV)：ウィルス対策

端末へのマルウェア侵入防止やウイルススキャンを行うための標準的なウイルス対策機能です。

以下のMDE導入に伴い、他社製ウイルス対策ソフトをアンインストールし、MDEと連携するMDAVへ移行します。

 

  • Microsoft Defender for Endpoint P2 (MDE)：EDR

マルウェア感染や不正アクセス等の脅威を検知し、影響範囲の調査や被害拡大防止を支援する機能です。

 

  • Microsoft Intune：クラウド型端末管理支援機能

端末の情報セキュリティ状態や設定を Microsoft 365 のクラウドサービス上で支援するための機能です。情報セキュリティ対策や情報セキュリティインシデント対応に利用します。

EDR（Microsoft Defender for Endpoint）運用について

本学の運用

本学は、端末の安全性維持及び情報セキュリティ対策を目的としてEDR及びIntuneを運用します。利用者活動の監視や、教育・研究内容、業務内容の把握を目的とした運用は行いません。

また、教員端末については、従来どおり利用者に管理者権限を残したまま運用します。

本学では、平常時の情報セキュリティ対策から、情報セキュリティインシデント発生時の対応まで、以下の運用を実施します。

  • 平常時

端末の安全な利用を支援するため、平常時は以下の情報セキュリティ運用を実施します。

  • 情報セキュリティ状態の確認
  • 推奨するセキュリティ設定の適用・維持
  • ウイルス対策機能の最新状態の維持
  • ソフトウェア及び端末の脆弱性把握
  • 情報セキュリティ上の問題の早期発見

 

  • 情報セキュリティインシデント発生時

マルウェア感染や不正アクセス・通信等が疑われる場合は、被害拡大の防止及び原因調査のため、必要に応じて以下の対応を実施します。

  • ウイルススキャン
  • 端末情報及びログ情報の収集
  • ネットワーク隔離
  • ファイル検疫
  • アプリケーション実行制限

 

  • 利用者への説明・確認を行う対応

利用者への影響が大きい以下の操作については、事前に利用者へ内容を説明した上で実施します。対応・操作は、情報企画係（CSIRTメンバーのみ）が行います。

  • リモート支援（画面共有や遠隔操作による問題解決の支援）
  • ライブレスポンス（コマンドの実行によるデバイスの調査、マルウェア サンプルの取得等）
  • Retire（組織データ及び設定の削除）

情報収集の考え方

EDRでは、脅威検知や端末の情報セキュリティ状態の把握を行うため、平常時から以下の情報を収集します。また、情報セキュリティインシデント発生時には、原因調査や影響範囲の確認のため、収集した情報を利用します。

    • 端末情報（デバイス識別子、OSバージョン等）
    • ソフトウェア情報
    • 脆弱性情報
    • ネットワーク接続データ（ホストIPアドレス、ポート番号）
    • 実行プロセス情報（実行中のプロセス、ハッシュ）
    • ファイル情報（ファイル名・サイズ・ハッシュ値）
    • レジストリデータ

 

本学は利用者活動の監視や、教育・研究内容、業務内容の把握を目的としてEDRを利用するものではありません。したがって、以下の内容を確認することを目的とした運用は行いません。

    • 通信内容（メール本文、チャット本文、Teams会話内容等）
    • Word、Excel、PDF、Webフォーム等の文書内容
    • 教材や講義資料の内容
    • 研究データの内容
    • メール本文
    • 写真・画像・音声・動画等の内容

利用者への影響

平常時の利用において大きな影響はありません。

情報セキュリティインシデント対応としてウイルススキャンやネットワーク隔離等を実施する場合、以下のように一時的に端末利用へ影響が生じる場合があります。

  • ウイルススキャンを実施する場合は、他のウイルス対策ソフトウェア同様に、一時的に端末動作が遅くなる場合があります。
  • ネットワーク隔離により、一時的にネットワーク接続やアプリケーション利用が制限される場合があります。

利用申請・導入手順

①　利用申請用のフォームに必要事項を記入して送信します。複数台申請する場合も、お手数ですが1台ごとにフォームを分けて送信してください。

          https://forms.office.com/r/6bsPRJLGvZ

 

②　以下のマニュアルに沿って設定を行います。

【Windowsの場合】 Windows版MDEユーザー向けマニュアル（P3-P6）

【macOSの場合】     macOS版MDEユーザー向けマニュアル（P3-P12）

なお、マイクロソフト社以外のセキュリティソフトウェア（Apex One等）がインストールされている場合は、設定作業前にアンインストールしてください。

【Apex Oneの場合】 TMUNERのウイルス対策ソフトウェア利用をご参照ください。

 

③　法人情報化戦略企画室にてMicrosoft 365管理画面での処理を行い、反映確認後にメールにてお知らせします。

        反映にあたっては端末との通信が頻繁に発生するため、完了までに最長で７日間要することがあります。

解除申請

①　解除を希望する端末のデバイス名を明記して、以下のアドレスへメールを送信します。

s-johokikaku●jmj.tmu.ac.jp

（メール送信の際は●をアットマークに変換して送信してください。）

②　法人情報化戦略企画室にてサーバ側の処理後、メールにてご連絡します。

③　必要に応じて端末側での作業を実施します。（廃棄済の場合は作業不要です）

 

なお、以下のような端末は情報企画係にて登録を解除することがあります。

  • OSのサポート期限が切れた端末
  • 長期間（６か月以上）応答が確認できない端末
  • ソフトウェアの更新ができず、安全性が確保できない端末

セキュリティ事故発生時の連絡

EDR導入後も、情報セキュリティ事故発生時の連絡体制に変更はありません。

マルウェア感染、不正アクセス、端末紛失その他情報セキュリティ事故が疑われる場合は、利用者自身で対応を試みず、速やかに所属のCSIRTへ連絡してください。