Intune と Microsoft Defender で特定の USB デバイスのみ許可する設定

前提条件

Microsoft Intune

• Microsoft Intuneにてポリシーを配布するため、事前に環境構築および対象デバイスの登録が必要になります。

Microsoft Defender for Endpoint P1/P2 (またはBusiness)

• すべてのUSBメモリを読み取り専用（または読み書き不可）にする場合は上記Intuneのみで実現できますが特定の機器を許可したい場合はこちらのライセンスとIntuneの組み合わせが必要になります。
• 厳密にはローカルポリシーで似たようなことが出来ますが、完全ではないためここでは割愛します。

手順

デバイスコントロール機能を使用してリムーバブルメディアアクセス制御を構成する手順と確認ポイント

こんにちは Security & Compliance サポートチームです。 この記事では、Microsoft Defender for Endpoin...

jp-sec.github.io

1. 許可対象USBメモリのID確認

1. PCにUSBメモリを接続
2. [Windowsアイコン]を右クリック > [デバイスマネージャー]をクリック
   
3. 該当機器の[USB大容量記憶装置]にて右クリック > [プロパティ]を開く
   
4. [詳細]タブを開いて[プロパティ]にて「インターフェイスパス]をコピーしておいて下さい
   

3. 再利用可能な設定 (USBデバイスの一覧) の作成

「すべてのUSBストレージ」を対象とした設定 (デフォルト禁止用)

1. Intune 管理センターにアクセス
2. [エンドポイントセキュリティ] >[攻撃面の減少]をクリック
3. 設定画面にて[再利用可能な設定]タブを選択して[+追加]をクリック
   
4. [基本]タブにてわかりやすい名前を入力
5. [構成設定]タブにて[+Add] > [リムーバブル記憶域]をクリック
   
6. 行が追加されるので[+インスタンスの編集]をクリック
   
7. [リムーバブル記憶域インスタンスの構成]にて以下の通り入力して保存をクリック
   
   • PrimaryId:
     1 RemovableMediaDevices
   • 名前: 「AllRemovableMediaDevices」などわかりやすい名前をつける
   • 上記以外の項目は空欄のまま
8. [一致の種類]をオフ(全項目に一致)にして[次へ]をクリック
   
9. [レビューおよび追加]タブにて[追加]をクリック

「許可したいUSBストレージ」を対象とした設定 (特定デバイスのみ許可)

1. 前述の手順1〜手順6を実施
2. [リムーバブル記憶域インスタンスの構成]にて以下の通り入力して[保存]をクリック
   
   • InstancePathId: 冒頭で控えたデバイスのインタフェースパスを入力
   • 名前: 「SpecalRemovableMediaDevices」などわかりやすい名前をつける
   • 上記以外の項目は空欄のまま
3. 複数のデバイスを許可する場合は、[+Add] > [リムーバブル記憶域]をクリックして前項の構成作業を繰り返す
4. 前述の手順7, 8 を実施

3. ポリシーの作成

1. Intune 管理センターにアクセス
2. [エンドポイントセキュリティ] >[攻撃面の減少]をクリック
3. [概要] タブの [+ポリシーの作成] をクリック
4. プラットフォームの作成画面にて以下の通り選択して[作成]をクリック
   • プラットフォーム: Windows 10、Windows 11、Windows Server
   • プロファイル: デバイスコントロール
     
5. [基本]タブにて名前(わかりやすい名前)を入力
6. [構成管理]タブにて[デバイスコントロール]の設定画面まで移動
7. 登録画面の[+Edit Entry]をクリック
   
8. [エントリの構成]画面にて以下の通り設定して[OK]をクリック
   
   • 名前: 「Block all usb storage devices」などわかりやすい名前をつける
   • 種類: 拒否
   • オプション: なし
   • アクセスマスク: 「読み取り」「書き込み」「実行」にチェック
9. 「含まれるID」と「除外されるID」を設定します。
   
   • 含まれるID: 『「すべてのUSBストレージ」を対象とした設定』で作成したものを指定
   • 除外されるID: 『「許可したいUSBストレージ」を対象とした設定 (特定デバイスのみ許可)』で作成したものを指定
10. 次に[+追加]をクリックし、追加された行にある [+Edit Entry]をクリック
    
11. [エントリの構成]画面にて以下の通り設定して[OK]をクリック
    
    • 名前: 「Allow specific usb storage devices」などわかりやすい名前をつける
    • 種類: 許可
    • オプション: なし
    • アクセスマスク: 「読み取り」「書き込み」「実行」にチェック
12. 前の画面に戻り「含まれるID」と「除外されるID」を設定します。
    
    • 含まれるID: 『「許可したいUSBストレージ」を対象とした設定 (特定デバイスのみ許可)』で作成したものを指定
    • 除外されるID: 空欄のまま
13. [次へ]をクリック
    
14. [スコープ]タブ、[割り当て]タブは自社の環境に合わせて設定
15. [確認および作成]タブにて内容を確認の上、作成クリック

動作確認