最近、自宅内のネットワークやPCやサーバのセキュリティの強度を高めようと色々やっている。 PCは複数台あって Intune で管理できるものと出来ないものがある。 今回は Intune で管理できない PC をLive Response でメンテナンスする話です。
この Intune で管理できないPC、いわゆるゲーミングPCで子供が遊んでいることが多く、子供が遊んでいる際中でもメンテナンスを行いたい、バックエンドで子供はゲームは利用できることを条件で調べていたら見つかったのがこの Live Respose でした。 まあ、Win-RMとかSSHでやれなくもないのですが Live Response の良いところが何個かあるのでそれはこのあと紹介します。
目次
Live Respose とは？
そもそも Live Response とは何なのか、簡単に紹介していきます。
「管理者がリモートから端末の画面を邪魔せず、バックグラウンドで直接コマンド操作や調査を行えるクラウド型リモートシェル機能」 です。
従来の「リモートデスクトップ（RDP）」のようにユーザーをサインアウトさせたり、画面操作を奪ったりすることなく、セキュリティ調査や設定変更をサイレントに実行できます。
また、一番の目的は Incident Response ということで、侵害されたデバイスを Defeder for Endpoint で隔離した後に安全に調査や修復を行うためのツールという感じです。
- ファイルの操作・採取: 不審なマルウェアファイルのダウンロード、解析用ログの取得、修復パッチやスクリプトの配置。
- プロセス・サービスの調査: 実行中のプロセス一覧の確認や、悪意のあるプロセスの強制終了。
- PowerShell コマンドのバックグラウンド実行: レジストリの変更、Defender 設定の更新、修復用スクリプトの実行。
- ネットワーク分離中の端末へのアクセス: 感染拡大を防ぐために「ネットワーク分離（Isolation）」された端末であっても、Live Response だけは通信を維持して調査・復旧が可能。
リモートデスクトップと簡単に比較してみます。 一番の違いは Live Response はバックグラウンド実行であることと、クラウド経由で利用できることです。 そして、RDPはGUI操作であることに対してCUI操作となることです。
| 項目 | Live Response | 一般的なリモートデスクトップ (RDP) |
|---|---|---|
| ユーザーへの影響 | 完全バックグラウンド（画面や操作を一切邪魔しない） | 画面がロックされる、またはユーザーが操作できなくなる |
| 通知・表示 | ポップアップや通知なし（作業中も気づかれない） | サインイン画面や警告が表示される |
| 接続経路 | クラウド経由（インターネットさえ繋がっていれば社外でも可） | VPN接続や同一LAN、開放ポート等が必要になりがち |
| 操作形態 | 専用の CUI（コマンドラインシェル） | GUI（マウス操作画面） |
インシデント初動対応（IR）
アラート検知時、端末を使っている社員の業務を止めることなく、瞬時にメモリダンプの採取や疑わしいファイルの回収を行う。
サイレントな構成修正
ユーザーの離席や再起動を待たずに、脆弱性の設定（ASR ルールやウイルススキャン定義など）を裏でサクッと修正・適用する。
Live Response の利用には Microsoft Defender for Endpoint Plan2 が必要です。
Live Response を利用するためのテナント設定
Live Response を利用するにはテナントで機能の有効化が必要です。
Microsoft Defender の管理画面にアクセスし、設定 > エンドポイント > 全般 > オプション構成 から以下2つの設定を有効化します。
- Live Response
- Live Response の署名のないスクリプトの実行
上記のテナントでの Live Response の有効化を行わずに Live Response を利用すると以下のメッセージが表示されて接続は失敗します。
“ライブ応答セッションを作成できませんでした Live Response tenant setting is disabled.”
Live Response による操作イメージ
まずは Live Response の接続を開始します。
Microsoft Defender の管理画面にアクセスし、資産 > デバイス から接続したいデバイスを選択し、右上のメニューから“ライブ応答セッションを開始する”を実行します。
“Session established” と表示されれば接続は完了です。 CUIとなりますがバックエンドで Windows デバイスの操作を行えるようになりました。
Powershellを実行する場合は事前にライブラリにアップロードします。
以下実行例です。 最初の run script では普通のPowershellとして実行できると勘違いした結果のErrorです（Error: [User input] Parts of the command couldn’t be recognized, including: ‘-commands’)
“run 20261108.ps1″で事前にライブラリにアップロードした powershellスクリプトを実行します。
接続できない場合（接続先のWindowsが起動していない場合の挙動）
接続先のWindowsデバイスが起動していない場合は当然Live Response で接続することは出来ません。
“Pending” となり、いつまでたっても接続できません。
まとめ
Live Response の機能から実際の接続してコマンド実行する流れを一通り確認できました。
確認する前は普通に対話型でPowershell実行できると考えていたのですが、実際やってみると最初にスクリプトをアップロードする必要があるため使い勝手はよくないことがわかりました。 remidiation で事前定義されている場合は実行できる場合もあるようですがそこは今後勉強してみようと思います。
以上
