変更要約: MS-102 第4章を新規作成（ドメイン: Defender XDR 後半）。Defender for Endpoint（デバイスのオンボード script/Intune/GPO・エンドポイント設定 ASR/EDRブロックモード/改ざん防止・Defender Vulnerability Management で脆弱性可視化と修復）、Defender for Cloud Apps（Microsoft 365 app connector 接続・アクティビティ/ファイル ポリシーでアラート・Cloud App Discovery でシャドー IT 発見とリスクスコア・activity log 調査）。
4.1Defender for Endpoint
Microsoft Defender for Endpoint のデバイス オンボード、エンドポイント設定（攻撃面減少 ASR・EDR ブロック モード・改ざん防止）、Microsoft Defender Vulnerability Management による脆弱性の可視化と修復を理解します。
Microsoft Defender for Endpoint は デバイス（エンドポイント）の EDR/保護 を担います。導入は「接続（オンボード）」→「構成（設定）」→「弱点の管理」の順です。
4.1.1デバイスのオンボード
デバイスを Defender for Endpoint に オンボード（接続） することで、テレメトリ送信と保護が有効になります。方法は ローカルのオンボーディング スクリプト、Microsoft Intune、グループ ポリシー（GPO）、Configuration Manager など、環境に合わせて選びます。オンボードは「保護対象として登録する」工程で、後述の設定や脆弱性管理の前提です。
4.1.2エンドポイント設定
エンドポイント設定では保護を強化します。攻撃面減少（ASR）ルール は危険な挙動（Office マクロからの子プロセス起動など）をブロックし、EDR ブロック モード は他のウイルス対策が受動でも EDR が検出した脅威を ブロックします。改ざん防止（tamper protection） はマルウェアや攻撃者によるセキュリティ設定の 無効化を防ぎます。これらは「接続済みデバイスをどう守るか」の構成です。
4.1.3脆弱性の管理
Microsoft Defender Vulnerability Management は、デバイスの 既知の脆弱性・設定不備・推奨対策 を ダッシュボードで可視化し、リスクの高い項目から 修復 を促します（セキュリティ推奨、ソフトウェア インベントリ、弱点）。これは「弱点を継続的に減らす」運用で、オンボード（接続）やエンドポイント設定（構成）とは目的が異なります。
決め手：「デバイスを保護対象として接続(スクリプト/Intune/GPO)」＝オンボード。「ASR/EDRブロックモード/改ざん防止で守りを固める」＝エンドポイント設定。「脆弱性ダッシュボードで弱点を可視化し修復」＝Defender Vulnerability Management。Endpoint=デバイス保護、Office 365=メール保護。
混同に注意：
①オンボード(接続)とエンドポイント設定(構成)とVulnerability Management(脆弱性)は別工程。
②Defender for Endpoint(デバイスEDR)とDefender for Office 365(メール/コラボ保護)を取り違えない。
③改ざん防止はセキュリティ設定の無効化阻止であり脆弱性スキャンではない。
4.1.4この節のまとめ
- オンボードはデバイスをDefender for Endpointに接続(スクリプト/Intune/GPO)
- エンドポイント設定=ASR/EDRブロックモード/改ざん防止で保護を強化
- Defender Vulnerability Managementは脆弱性を可視化し優先度づけて修復
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 新しい Windows デバイス群を Microsoft Defender for Endpoint の保護対象として登録し、テレメトリ送信を有効にしたい。最初に行う工程はどれですか？
Q2. Office マクロが子プロセスを起動するような危険な挙動を、デバイス上でブロックして攻撃面を減らしたい。最適なのはどれですか？
Q3. マルウェアや攻撃者が Defender のセキュリティ設定を無効化するのを防ぎたい。最適なのはどれですか？
Q4. デバイスに存在する既知の脆弱性や設定不備をダッシュボードで把握し、リスクの高い順に修復を進めたい。最適なのはどれですか？
Q5. 社員のノート PC（デバイス）に対する EDR 保護を構成したい。メールの脅威保護ではなくデバイス保護を担う製品はどれですか？