MDE Client Analyzer を使用した初動調査とセルフサービスの範囲

Published: feedback 共有

本記事では、Microsoft Defender for Endpoint Client Analyzer (以下、Client Analyzer) を使用したセルフサービスで対応できる範囲をご案内します。

本記事の内容

  • セルフサービスで確認できる範囲
  • Client Analyzer の実行前に記録する情報
  • Windows、Linux、macOS での採取例
  • よくある問題の切り分け例

セルフサービスで確認できる範囲

Client Analyzer を使用したセルフサービスでは、主に次の項目を確認できます。

  • オンボードしたデバイスがデバイス インベントリに登録されない場合の、Sense サービス、接続性、証明書、プロキシ、前提条件の状態
  • オンボードに失敗する場合の、OS とオンボーディング方式の対応状況、Sense サービス、ポリシー、更新プログラムの状態
  • Microsoft Defender for Endpoint (以下、MDE) の必須 URL への接続に失敗する場合の、接続先、接続方式、ポート、プロキシ、TLS インスペクション、証明書失効確認の状態
  • デバイスが想定と異なるテナントへオンボードされている場合の、デバイス ID、Org ID、オンボーディング情報
  • プロキシ設定が想定と異なる場合の、WinHTTP プロキシと MDE センサーが検出したプロキシの状態
  • MDE または Microsoft Defender ウイルス対策 (以下、MDAV) コンポーネントが古い、または停止している場合の、OS、センサー、プラットフォーム、エンジン、セキュリティ インテリジェンスの状態
  • ポリシーが想定どおりに適用されていない場合の、管理経路、割り当て、対象グループ、競合、適用優先順位、同期状態

また、採取いただいた Client Analyzer 内の MpSupportFiles.cab、FullSenseClient.etl、MDAV の詳細トレース、WPR、メモリ ダンプなどには、製品内部の診断イベントが含まれており、イベント ID、フィールド、戻り値、内部状態の定義や解析方法が公開されているわけではありません。
個々のログ出力、イベント、フィールド、戻り値、内部状態の意味や、解析方法そのものを目的として弊社サポートサービスへお問い合わせいただいても、ご回答が叶わない形となりますので、ご容赦ください。

HTML レポートの各セクションと表示内容は、Microsoft Learn の クライアント アナライザー HTML レポートについて を参照してください。

実行前に記録する情報

Client Analyzer を実行する前に、次の情報を記録してください。

  1. 発生している事象と期待する動作
  2. 事象が発生した日時、タイム ゾーン、頻度
  3. 対象デバイス名、OS、再現の有無
  4. 直前に行ったポリシー、ネットワーク、プロキシ、製品更新の変更
  5. Microsoft Defender ポータル上のデバイス名、最終確認日時、センサー正常性状態

Client Analyzer 収集中に事象を再現できたかどうかもご確認ください。採取時間と事象発生時間が一致しない場合、詳細調査が困難になる可能性がございますので、ご留意ください。

Client Analyzer を実行する

以下に OS ごとの Client Analyzer の実行例を示します。ツールの画面、ファイル名、プロンプトはバージョンによって変わる場合があります。

Windows での採取例

重要

次の -i -v -c -a は、ネットワーク、MDAV、アプリケーション互換性、パフォーマンスに関する情報を同時に採取するコマンド例です。必要なオプションは発生している事象によって異なります。常にすべてのオプションを指定するのではなく、Microsoft Learn の クライアント アナライザーに関する問題を診断する またはサポート担当者の案内に従ってください。

  1. MDE Client Analyzer をダウンロードし、任意のフォルダーへ展開します。

  2. 管理者権限でコマンド プロンプトを起動します。

  3. カレント フォルダーを MDEClientAnalyzer.cmd の格納先へ移動し、調査対象に応じたコマンドを実行します。次は採取コマンドの一例です。

    1
    MDEClientAnalyzer.cmd -i -v -c -a

  4. 次の Problem Steps Recorder (PSR) のプロンプトが表示された場合は、スクリーンショットの採取を許可する場合に Y を入力し、Enter キーを押します。画面に機密情報が表示される可能性も考慮し、組織の情報管理ルールに従って選択してください。

    1
    Type 'Y' and press ENTER to allow Problem Steps Recorder to capture screenshots. Use any other key or ENTER to disable PSR.

  5. Enter the number of minutes to collect traces: と表示された場合は、採取時間の例として 10 を入力し、Enter キーを押します。必要な採取時間も事象とオプションによって異なります。

  6. コマンド プロンプト上で 10 分のタイマー カウントが開始するまで待ち、タイマーが終了するまでに対象の事象を再現します。

  7. タイマー終了後も、情報採取と結果の圧縮が完了するまでコマンドを停止せずに待ちます。すべてのデータが生成されるまで 15 分以上かかる場合があります。赤字のエラーや黄色字の警告が表示された場合も、処理が継続している間はコマンド プロンプトを閉じないでください。

  8. コマンド実行フォルダー配下に生成された MDEClientAnalyzerResult フォルダーまたは結果 ZIP ファイルを確認します。再採取で上書きしないよう、採取日時やデバイス名を含む名前で元の結果を保管します。

Linux での採取例

  1. 事象再現時に次のコマンドを実行し、mdatp health の出力と実行日時を記録します。

    1
    mdatp health

  2. OS に /var/log/messages が存在する場合は、このファイルを採取します。ディストリビューションによってログの保存先が異なるため、存在しない場合は、その OS で利用している systemd journal または syslog の該当時間帯のログを採取します。

  3. Client Analyzer には Python 版とバイナリ版があります。Python 版を使用する場合は、次のコマンドで XMDEClientAnalyzer.zip をダウンロードします。Python 版では Python 3 と追加の Python パッケージが必要になるため、実行前に Linux でクライアント アナライザーを実行する の前提条件を確認してください。

    1
    wget --quiet -O XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer

    Python 版の展開方法と実行方法は、上記の Microsoft Learn または macOS および Linux デバイスで Client Analyzer ツールによる正常性診断を実行する方法 を参照してください。以降は、Python への依存がないバイナリ版の採取例です。

  4. Python への依存を避ける場合は、XMDE Client Analyzer Binary から XMDEClientAnalyzerBinary.zip をダウンロードし、任意のディレクトリで展開します。

    1
    2
    unzip -q XMDEClientAnalyzerBinary.zip -d XMDEClientAnalyzerBinary
    cd XMDEClientAnalyzerBinary

  5. 展開された Linux 用 ZIP のうち、デバイスのアーキテクチャに対応するファイルを展開します。ファイル名はツールのバージョンによって異なる場合があります。たとえば x64 用は次のように展開します。

    1
    unzip -q SupportToolLinuxamd64Binary.zip

  6. MDESupportTool に実行権限を付与し、診断パッケージを採取します。

    1
    2
    chmod +x MDESupportTool
    sudo ./MDESupportTool -d

  7. 処理中に Do you wish to continue? と表示された場合は、内容を確認して y を入力します。

  8. 処理完了後にコンソールへ表示される保存先を確認し、生成された *_output.zip などの結果 ZIP ファイルを保管します。

最新の手順は Microsoft Learn の Linux でクライアント アナライザーを実行する を参照してください。

macOS での採取例

  1. 事象再現時に mdatp health を実行し、出力と実行日時を記録します。

    1
    mdatp health

  2. XMDE Client Analyzer Binary をダウンロードして展開し、macOS 用の SupportToolMacOSBinary.zip を展開します。

    1
    2
    3
    4
    curl -s -L -o XMDEClientAnalyzerBinary.zip "https://aka.ms/XMDEClientAnalyzerBinary"
    unzip -q XMDEClientAnalyzerBinary.zip -d XMDEClientAnalyzerBinary
    cd XMDEClientAnalyzerBinary/XMDEClientAnalyzer
    unzip -q SupportToolMacOSBinary.zip

  3. MDESupportTool に実行権限を付与し、診断パッケージを採取します。

    1
    2
    chmod +x MDESupportTool
    sudo ./MDESupportTool -d --mdatp-log debug

  4. 処理完了後に生成された結果 ZIP ファイルを保管します。

最新の手順は Microsoft Learn の macOS でクライアント アナライザーを実行する および macOS および Linux デバイスで Client Analyzer ツールによる正常性診断を実行する方法 を参照してください。

よくある問題の切り分け例

オンボードしたデバイスがデバイス インベントリに登録されない

オンボーディング操作が完了してもデバイスが Microsoft Defender ポータルのデバイス インベントリに表示されない場合は、次の情報を順に確認します。

  1. HTML レポートの Device Information で、採取対象のデバイス名、OS、デバイス識別子が想定した端末のものか確認します。

  2. 管理者権限のコマンド プロンプトで次のコマンドを実行し、Sense サービスが STATE: 4 RUNNING であることを確認します。

    1
    sc.exe query Sense

  3. HTML レポートの Detailed Results で、EDR Cloud CnC など MDE の必須 URL への接続テスト、証明書、プロキシに関する Error または Warning を確認します。

  4. OS とオンボーディング方式がサポート対象であり、必要な更新プログラムとオンボーディング ポリシーが適用されているか確認します。

Sense サービスの停止、接続テスト失敗、プロキシ誤構成などが見つかった場合は、公開手順に従って修正し、Client Analyzer を再実行します。Sense サービスの確認方法を含む具体的な手順は、Japan CSS Security Support Blog の Microsoft Defender for Endpoint (MDE) にオンボードしたデバイスがデバイス インベントリに登録されない問題のトラブルシューティング手順 を参照してください。

一方、センサーが稼働し、必須 URL への接続テストも成功しているにもかかわらずデバイスが登録されない場合は、クラウド側のデータ受信状況やデバイス ID の突き合わせが必要になる可能性があります。この場合は、採取日時と結果パッケージを添えて弊社サポートサービスへお問い合わせください。

重要

採取いただいた情報が情報採取から 1 週間以上など経過している場合、クラウド側のデータ受信状況などを突き合せた詳細調査が叶わない可能性があり、再度情報採取を依頼する可能性がございますこと、ご容赦ください。

オンボードに失敗する

オンボーディング スクリプトや管理ツールでエラーとなる、またはオンボーディング状態にならない場合は、次の情報からお客様側で切り分けます。

  1. HTML レポートの Device Information の OS とビルドから、利用するオンボーディング方式のサポート対象か確認します。
  2. 管理者権限のコマンド プロンプトで sc.exe query Sense を実行し、Sense サービスが存在するか、また STATE: 4 RUNNING であるか確認します。サービスが存在しない場合や停止している場合は、OS ごとの前提条件とオンボーディング手順を確認します。
  3. HTML レポートの Detailed Results で、オンボーディング、サービス開始、接続性、証明書、プロキシ、前提条件に関する Error とガイダンスを確認します。
  4. 利用している管理方式の割り当て、対象グループ、ポリシー競合、更新プログラム、再起動待ちを確認します。

公開ガイダンスに従って前提条件、ポリシー、サービス、通信を修正できる場合はセルフサービスの範囲です。正しいポリシーが配布されているにもかかわらずセンサー サービスが開始できない、同じ Error が継続する、または HTML レポートに原因が示されない場合は、センサーの内部ログや OS 側の詳細ログの解析が必要になるため、弊社サポートサービスへお問い合わせください。

重要

採取いただいた情報が情報採取から 1 週間以上など経過している場合、クラウド側のデータ受信状況などを突き合せた詳細調査が叶わない可能性があり、再度情報採取を依頼する可能性がございますこと、ご容赦ください。

MDE の必須 URL への接続に失敗している

Detailed Results の接続性カテゴリに Error がある場合は、失敗した接続先とガイダンスを確認します。特に EDR Cloud CnC など、MDE センサーが使用する通信の失敗は、デバイスがポータルへ登録されない、またはセンサーが非アクティブになる原因となる可能性があります。

次の順で確認します。

  1. 利用中の接続方式に対応する最新の MDE サービス URL が許可されているか確認します。対応する URL とプロキシ要件は、Microsoft Learn の プロキシを使用して Defender for Endpoint サービスに接続するようにデバイスを構成する を参照してください。
  2. URL のワイルドカード、ポート、テナントの保存リージョンに対応した許可設定を確認します。
  3. 認証が必要なプロキシ、TLS インスペクション、証明書失効確認の遮断がないか確認します。
  4. HTML レポートの Device Information の System-wide WinHTTP proxy と Sense Service Discovered Proxy が想定した値か確認します。
  5. 設定変更後に Client Analyzer を再実行し、同じ接続テストが成功するか確認します。

想定と異なるテナントへオンボードされている

デバイス ID、Org ID、オンボーディング情報が想定した環境と異なる場合は、過去のオンボーディング設定や古いポリシーが残っていないか確認します。

オンボーディング パッケージを手動で編集せず、現在のテナントから取得した正しいパッケージと、利用している管理方式の公開手順に従って、オフボードおよび再オンボードを検討します。VDI などではデバイス識別子の取り扱いに固有の要件があるため、該当するオンボーディング手順を確認してください。

プロキシ設定が想定と異なる

HTML レポートの Device Information の System-wide WinHTTP proxy と Sense Service Discovered Proxy を確認します。

プロキシの設定方法、認証方式、除外リスト、PAC ファイル、TLS インスペクションの対象を確認し、MDE がサポートするプロキシ構成に修正した後、再度接続テストを実施します。

MDE/MDAV コンポーネントが古い、または停止している

HTML レポートの Device Information　に表示された OS ビルド、MDE センサー、MDAV プラットフォーム、エンジン、セキュリティ インテリジェンスの状態を確認します。

サポート対象外または古いコンポーネントがある場合は、Microsoft Update など組織で承認された更新経路を使用して最新化します。サービスを無効にする設定、更新元への通信制限、サード パーティ製セキュリティ製品との競合も確認します。

ポリシーが想定どおりに適用されていない

HTML レポートの Device Information の Device Configuration Management Details などから、Intune、MDE セキュリティ構成管理、グループ ポリシー、Microsoft Configuration Manager など、利用している管理経路を確認します。

複数の管理経路から同じ設定を配布している場合は、競合や適用優先順位を確認します。意図したポリシーの割り当て、対象グループ、同期状態を修正し、ポリシー同期後に Client Analyzer を再実行します。

まとめ

Client Analyzer を使用したセルフサービスで対応できる範囲をご案内しました。