クラウドアセットインベントリを活用してください

Azure ポータルで資産インベントリにアクセスする

Azure ポータルで、Microsoft Defender for Cloud>Inventory に移動します。

インベントリ ページでは、次のような情報が提供されます。

• 接続済みリソース。 Defender for Cloudに接続されているリソースをすばやく確認します。
• 全体のセキュリティ状態: 接続されているAzure、AWS、GCP リソースのセキュリティ状態に関する明確な概要を取得します。これには、Defender for Cloudに接続されているリソースの合計、環境別のリソース、異常なリソースの数が含まれます。
• レコメンデーション、アラート: 特定のリソースの状態をドリルダウンして、リソースのアクティブなセキュリティのレコメンデーションとセキュリティ アラートを確認できます。
• リスクの優先順位付け: リスクベースのレコメンデーションでは、データの機密性、インターネットへの露出、侵入の拡大の可能性、潜在的な攻撃パスなどの要因に基づいて、レコメンデーションにリスク レベルが割り当てられます。
• リスクの優先順位付けは、Defender CSPM プランが有効になっているときに使用できます。
• ソフトウェア。 インストールされているアプリケーション別のリソースを確認できます。 ソフトウェア インベントリを利用するには、Defender Cloud Security Posture Management (CSPM) プラン、または Defender for Servers プランを有効にする必要があります。

インベントリは、Azure Resource Graph (ARG) を使用して、大規模なデータのクエリと取得を行います。 詳細なカスタム分析情報を得るために、KQL を使用してインベントリをクエリできます。

インベントリを確認する

1. Azure ポータルのDefender for Cloudで、Inventory を選択します。 既定では、リソースはアクティブなセキュリティのレコメンデーションの数によって並べ替えられます。
2. 使用可能な設定を確認する:
   • [検索] で、フリー テキスト検索を使用すると、リソースを検索できます。
   • Total resources は、Defender for Cloudに接続されているリソースの数を表示します。
   • [異常なリソース] では、アクティブなセキュリティ レコメンデーションとアラートがあるリソース数が表示されます。
   • 環境別のリソース数: Azure、AWS、および GCP リソースの合計。
3. 詳細をドリルダウンするリソースを選択します。
4. リソースの Resource Health ページで、リソースに関する情報を確認します。
   • [レコメンデーション] タブには、アクティブなセキュリティ レコメンデーションがリスク順に表示されます。 各レコメンデーションをドリルダウンすると、詳細と修復オプションを確認できます。
   • [アラート] タブには、関連するセキュリティ アラートが表示されます。
   • インストール済みアプリケーションタブでは、ソフトウェアインベントリが利用可能の場合にリソース上でソフトウェアが検出されています。

ソフトウェア インベントリを確認する

ソフトウェアインベントリを使って、接続されたリソース全体でインストールされたアプリケーションを確認し、特定のソフトウェアを実行するマシンを特定しましょう。

ソフトウェア インベントリの詳細を確認するには:

1. [ インストールされているアプリケーション] を選択します。
2. [値] で、フィルター処理するアプリを選択します。
   • Total resources: Defender for Cloudに接続されているリソースの合計数。
   • 異常なリソース: 実装可能でアクティブなセキュリティ レコメンデーションがあるリソース。 修復ガイダンスについては、 セキュリティに関する推奨事項の確認に関するページを参照してください。
   • 環境別のリソースの数: 各環境内のリソースの数。
   • 登録されていないサブスクリプション: 選択したスコープ内で、まだMicrosoft Defender for Cloudに接続されていないサブスクリプション。
3. これらのアプリを実行するDefender for Cloudに接続されているリソースが表示されます。 空白のオプション項目は、Defender for Servers または Defender for Endpoint を利用できないマシンを表します。

リソースのためにインストール済みアプリケーションをレビューする

サポートリソースのResource Healthページで、「インストール済みアプリケーション」を選択して、その資産で検出されたソフトウェアを確認します。

インストール済み アプリケーション タブには以下の情報が提供されます:

インベントリをフィルター処理する

フィルターを適用すると、総 リソース、 不健康なリソース、 環境別リソース数などの要約指標がクエリ結果を反映するように更新されます。

資産在庫のためのエクスポートツール

Defender for Cloud Inventoryページには以下のエクスポートオプションがあります:

CSV レポートをダウンロードする - 選択したフィルター オプションの結果を CSV ファイルにエクスポートします。

Open query - クエリ自体を Azure Resource Graph (ARG) にエクスポートして、Kusto クエリ言語 (KQL) クエリをさらに絞り込み、保存、または変更します。

資産インベントリのしくみ

定義済みのフィルターだけでなく、Resource Graph Explorer からソフトウェア インベントリ データを調べることができます。

ARG は、大規模なクエリの実行機能によってリソースを効率的に探索できるように設計されています。

資産インベントリで Kusto Query Language (KQL) を使用すると、Defender for Cloud データを他のリソース プロパティと相互参照することで、深い分析情報をすばやく生成できます。

資産インベントリの使用方法

資産インベントリのフィルターとクエリ オプションを使用するには:

1. Defender for Cloudのサイドバーから、Inventory を選択します。

2. [名前でフィルターしてください] ボックスを使用して特定のリソースを表示するか、フィルターを使用して特定のリソースにフォーカスします。

   既定では、リソースはアクティブなセキュリティのレコメンデーションの数によって並べ替えられます。

   Important

   各フィルターのオプションは、現在選択されているサブスクリプション内のリソースおよび他のフィルターで選択した項目に固有のものです。

   たとえば、サブスクリプションを 1 つだけ選択していて、そのサブスクリプションに、修復すべき未処理のセキュリティの推奨事項があるリソースがない場合 (異常なリソースが 0 の場合)、 [推奨事項] フィルターにオプションは表示されません。

3. [セキュリティの調査結果] フィルターを使用するには、脆弱性の検出結果の ID、セキュリティ チェック、または CVE 名からフリー テキストを入力して、影響を受けるリソースをフィルター処理します。

   

   ヒント

   [セキュリティの調査結果] と [タグ] フィルターには、1 つの値のみ指定できます。 複数のフィルターを使用してフィルター処理を行うには [フィルターの追加] を使用します。

4. 現在選択されているフィルター オプションを、Resource Graph エクスプローラーでクエリとして表示するには、 [クエリを開く] を選択します。

   

5. いくつかのフィルターを定義し、ページを開いたままにした場合、Defender for Cloudは結果を自動的に更新しません。 ページを手動で再読み込みするか、 [更新] を選択しない限り、リソースを変更しても表示される結果には影響しません。

インベントリをエクスポートする

フィルター処理されたインベントリ データをエクスポートするには:

1. フィルター処理されたインベントリを CSV 形式で保存するには、[CSV レポートのダウンロード] を選択します。

2. Resource Graph エクスプローラーでクエリを保存するには、[クエリを開く] を選択します。 クエリを保存する準備ができたら、[ 名前を付けて保存] を選択します。 [クエリの保存] で、クエリ名、説明、およびクエリがプライベートか共有かを指定します。

   

ページを手動で再読み込みするか、[更新] を選択しない限り、リソースを変更しても表示される結果には影響しません。

ソフトウェア インベントリにアクセスする

ソフトウェア インベントリにアクセスするには、次のいずれかのプランが必要です。

• Defender クラウド セキュリティ体制管理 (CSPM) からのエージェントレス マシン スキャン。
• Defender for Servers P2からのエージェントレス マシンスキャン。
• Microsoft Defender for Endpoint 統合は Defender for Servers からです。

Azure Resource Graph Explorer を使用してソフトウェア インベントリ データにアクセスして探索する例

Azure Resource Graph Explorer でソフトウェア インベントリ データに対してクエリを実行するには:

1. Azure Resource Graph Explorer を開きます。

   

2. securityresources/softwareinventories のサブスクリプション スコープを選択します

3. 次のいずれかのクエリを入力し (または、それらをカスタマイズしたり、独自に作成して)、 [クエリの実行] を選択します。

Azure Resource Graph のソフトウェアインベントリクエリ例

Azure Resource Graph Explorerで以下のKustoクエリ言語(KQL)クエリを使って、Defender for Cloudのソフトウェアインベントリデータを探索してください。

以下のクエリは、 securityresources テーブルから発見されたすべてのソフトウェア在庫レコードを一覧にし、各資産のベンダー名、ソフトウェア名、バージョンを返します。

securityresources
| where type == "microsoft.security/softwareinventories"
| project id, Vendor=properties.vendor, Software=properties.softwareName, Version=properties.version

以下のクエリを使ってソフトウェアのインベントリ記録を取得し、バージョン番号でフィルタリングしてください。 この例は、特定のビルド以下のバージョンで動作しているWindows Server 2019マシンを示しています:

securityresources
| where type == "microsoft.security/softwareinventories"
| project id, Vendor=properties.vendor, Software=properties.softwareName, Version=tostring(properties.    version)
| where Software=="windows_server_2019" and parse_version(Version)<=parse_version("10.0.17763.1999")

以下のクエリを使って、複数の特定のソフトウェア製品がインストールされているAzure仮想マシンを特定してください。 このクエリはソフトウェアインベントリエントリーとAzure VM識別子を関連付け、複数のマッチがあるマシンのみを返します。

securityresources
| where type == "microsoft.security/softwareinventories"
| extend vmId = properties.azureVmId
| where properties.softwareName == "apache_http_server" or properties.softwareName == "mysql"
| summarize count() by tostring(vmId)
| where count_ > 1

以下のクエリを使ってソフトウェアインベントリデータとセキュリティ評価を組み合わせ、特定のソフトウェア製品と不適切なセキュリティ推奨が並行されているマシンを探しましょう。 この例は、MySQLをインストールし、管理ポートを公開しているマシンを見つけ、Azure VM IDを小文字に正規化して正確な結合を図っています:

securityresources
| where type == "microsoft.security/softwareinventories"
| extend vmId = tolower(properties.azureVmId)
| where properties.softwareName == "mysql"
| join (
    securityresources
| where type == "microsoft.security/assessments"
| where properties.displayName == "Management ports should be closed on your virtual machines" and properties.status.code == "Unhealthy"
| extend vmId = tolower(properties.resourceDetails.Id)
) on vmId

次のステップ

• セキュリティに関する推奨事項を確認する
• セキュリティ アラートの管理と対応
• 連続エクスポート - SIEM、SOAR、またはその他のツールにセキュリティ データをエクスポートする
• Azure Workbooks を使用してカスタム セキュリティ ダッシュボードを作成する
• Defender for Cloud プランを有効にする
• AWS アカウントを接続する
• GCP プロジェクトを接続する

この記事では、Microsoft Defender XDR ポータル内で Microsoft Defender for Cloud の統合クラウド資産インベントリを使用して、マルチクラウド インフラストラクチャを管理および監視する方法について説明します。

概要

クラウド資産インベントリは、Azure、アマゾン ウェブ サービス (AWS)、Google Cloud Platform (GCP) 全体のクラウド インフラストラクチャの 1 つのビューを提供します。 ワークロード、重要度、カバレッジの状態ごとに資産をグループ化します。 また、正常性データ、デバイス アクション、リスク信号を 1 つのインターフェイスに結合します。

主な機能

統合クラウド資産インベントリは、マルチクラウドインフラの管理と監視のための以下のコア機能を提供します。

統合されたマルチクラウドの可視性

クラウドアセットインベントリは、クラウドプロバイダー間で資産を一貫して監視・管理するのに役立ちます。

• Comprehensive coverage: Azure、AWS、GCP、およびその他のサポートされているプラットフォーム全体の資産を表示します。
• 一貫性のあるインターフェイス: 1 つのインターフェイスを使用してマルチクラウド資産を管理します。
• リアルタイム同期: 接続されているクラウド環境の現在の資産データを確認します。
• クロスプラットフォームの関係: クラウド プロバイダー間の依存関係を確認します。

ワークロード固有の分析情報

インベントリはワークロードの種類別に整理され、それぞれが調整された可視性とデータを提供します。

• 仮想マシン: セキュリティ体制と脆弱性データを持つクラウド プロバイダー全体のコンピューティング インスタンス
• データ リソース: コンプライアンスと露出に関する分析情報を使用したデータベース、ストレージ アカウント、データ サービス
• コンテナー: セキュリティ スキャンの結果を含む Kubernetes クラスター、コンテナー インスタンス、コンテナー レジストリ
• AI および ML サービス: ガバナンスとセキュリティ コンテキストを備えた人工知能 (AI) と機械学習 (ML) リソース。
• API: Representational State Transfer (REST) アプリケーション プログラミング インターフェイス (API)、サーバーレス関数、および露出分析を使用した統合サービス。
• DevOps リソース: 継続的インテグレーションと継続的デプロイ (CI/CD) パイプライン、リポジトリ、および開発ツールとセキュリティ分析情報。
• ID リソース: サービス アカウント、マネージド ID、アクセス制御コンポーネント
• サーバーレス: 関数、ロジック アプリ、イベントドリブン コンピューティング リソース

高度なフィルター処理とスコープ設定

フィルタリングやスコーピング機能により、インベントリビューを最も重要な資産に絞ることができます。

• 永続的なスコープ設定: エクスペリエンス全体で一貫したフィルター処理を行うには、クラウド スコープを使用します。
• 多次元フィルター処理: 環境、ワークロード、リスク レベル、コンプライアンスの状態でフィルター処理します。
• 検索機能: 組み込みの検索で資産をすばやく検索できます。
• 保存されたビュー: 操作タスクを繰り返すフィルター処理されたビューを保存します。

資産の分類とメタデータ

資産インベントリは、各リソースに分類やカバレッジのメタデータを加え、セキュリティ対策の優先順位付けを支援します。

資産の重要度の分類

資産は、次に基づいて自動的に分類されます。

• ビジネスへの影響: 資産の種類、依存関係、組織の重要度によって決定されます
• セキュリティ体制: 構成、脆弱性、コンプライアンスの状態に基づく
• リスク要因: インターネットへの公開、データの機密性、アクセス パターンを含む
• カスタム分類: ユーザー定義の重要度ルールと手動によるオーバーライド

対象範囲の状態インジケーター

各資産には、カバレッジ情報が表示されます。

• Protected: Defender for Cloudの完全保護が有効
• 部分: 一部のセキュリティ機能が有効になっており、他の機能はアップグレードに使用できます
• 保護されていない: Defender for Cloud 保護なし、オンボードが必要
• 除外: 監視または保護から明示的に除外

正常性とリスクのシグナル

統合リスク インジケーターは、包括的な資産コンテキストを提供します。

• セキュリティ アラート: アクティブなセキュリティ インシデントと脅威の検出
• 脆弱性: 既知のセキュリティの弱点と必要なパッチ
• コンプライアンスの状態: 規制とポリシーのコンプライアンス評価
• 露出メトリック: インターネット アクセシビリティ、特権アクセス、攻撃対象のデータ

ナビゲーションとフィルター処理

以下のナビゲーションおよびフィルタリング機能を使って、Defenderポータル内のクラウド資産を見つけ、範囲を特定できます。

クラウド インベントリへのアクセス

Microsoft Defender ポータルでクラウド インベントリを開くには:

1. Microsoft Defender ポータルに移動する
2. メイン ナビゲーションから [Assets>Cloud ] を選択します
3. フォーカスされたビューにワークロード固有のタブを使用します。
   • すべての資産: すべてのワークロードの種類の包括的なビュー
   • VM: 仮想マシン固有のインベントリと分析情報
   • データ: データベースやストレージを含むデータ リソース
   • コンテナー: コンテナーと Kubernetes リソース
   • AI: 人工知能と機械学習サービス
   • API: API と統合サービス
   • DevOps: 開発とデプロイのパイプライン リソース
   • ID: ID およびアクセス管理コンポーネント
   • サーバーレス: 関数型およびイベント駆動型のコンピューティング リソース

フィルターを効果的に使用する

フィルターを使って調査したい資産やリスクに絞り込みましょう。

• 環境のフィルター処理: 特定のクラウド プロバイダーを選択するか、すべての環境を表示します。
• スコープのフィルター処理: 組織の境界に合わせてクラウド スコープを適用します。
• リスクベースのフィルター処理: リスクの高い資産または公開されている資産に重点を置く。
• ワークロードのフィルター処理: 特定のクラウド リソースの種類に結果を絞り込みます。
• 状態のフィルター処理: 保護の状態、コンプライアンス状態、または正常性インジケーターでフィルター処理します。

検索と検出

検索・発見ツールは、大規模な環境で関連資産を迅速に見つけるのに役立ちます。

• テキスト検索: 名前、リソース ID、またはメタデータで資産を検索します。
• タグベースの検索: クラウド プロバイダーのタグとラベルで資産を検索します。
• 高度なクエリ: フィルターを組み合わせて資産を正確に検出します。
• エクスポート機能: レポートと分析のためにフィルター処理された結果をエクスポートします。

資産の詳細と分析情報

インベントリ内の資産を選択すると、詳細な構成情報、セキュリティ情報、関係情報が表示されます。

包括的な資産情報

各資産は、次のような詳細情報を提供します。

• 基本的なメタデータ: リソース名、ID、場所、作成時間。
• 構成の詳細: 現在の設定、ポリシー、適用された構成。
• セキュリティ体制: コンプライアンスの状態、脆弱性評価、およびセキュリティに関する推奨事項。
• リスク評価: 露出分析、脅威インテリジェンス、およびリスク スコア。
• リレーションシップ: 依存関係、接続、および関連リソース。

セキュリティに関する推奨事項の統合

資産は、関連するセキュリティに関する推奨事項に直接リンクします。

• 構成の改善: 構成の誤りを修正し、セキュリティ強化を改善します。
• 脆弱性の修復: 修正プログラムの適用とセキュリティ更新プログラムに優先順位を付けます。
• アクセス制御: ID とアクセス許可の設定を改善します。
• ネットワーク セキュリティ: ファイアウォール規則、セグメント化、露出制御を改善します。

インシデント対応ワークフロー

インベントリは、次の方法でセキュリティ操作をサポートします。

• アラートの関連付け: 特定の資産にアラートをリンクして、調査を高速化します。
• 応答アクション: 資産コンテキストから直接修復ワークフローを開きます。
• フォレンジックのサポート: インシデント分析中に詳細な資産コンテキストを使用します。
• 自動化の統合: オーケストレーションと自動応答に API アクセスを使用します。

露出管理との統合

攻撃パスの視覚化

インベントリ内の資産は、攻撃パス分析と統合されます。

• パスへの関与: 特定の資産が含まれている攻撃パスを確認します。
• チョーク ポイント識別: 主要な収束ポイントであるアセットを強調表示します。
• ターゲット分類: 一般的な攻撃ターゲットを特定します。
• エントリ ポイント分析: 初期アクセス パスを提供できる資産を特定します。

重要な資産管理

インベントリでは、重要な資産ワークフローがサポートされています。

• 自動分類: 資産は、定義済みのルールによって重要とマークできます。
• 手動指定: セキュリティ チームは、資産をクリティカルとして手動でマークできます。
• 重要度の継承: 資産リレーションシップは、重要度の分類に影響を与える可能性があります。
• 保護の優先順位付け: 重要な資産の監視と保護が強化されます。

脆弱性管理の統合

クラウド資産は、脆弱性管理とシームレスに接続します。

• 統合された脆弱性ビュー: 1 つのダッシュボードでクラウドとエンドポイントの脆弱性を確認します。
• リスクベースの優先順位付け: 資産コンテキストとビジネスへの影響によって脆弱性に優先順位を付けます。
• 修復の追跡: クラウド環境全体で修復の進行状況を追跡します。
• コンプライアンス レポート: クラウドとエンドポイントのデータを含むレポートを生成します。

レポートと分析

組み込みのレポート

• 管理レポート: クラウド資産全体のDefender for Cloudデプロイを評価します。
• リスク評価: マルチクラウド環境全体のリスクを確認します。
• コンプライアンス ダッシュボード: クラウド資産全体の規制コンプライアンスの状態を追跡します。
• 傾向分析: 時間の経過に伴うセキュリティ体制の変化を監視します。

カスタム分析

• 高度なハンティング: Kusto クエリ言語 (KQL) を使用してクラウド資産データのクエリを実行します。
• API アクセス: カスタム レポートと統合のために、インベントリ データにプログラムでアクセスします。
• エクスポート機能: 外部分析用に複数の形式で資産データをエクスポートします。
• ダッシュボード統合: クラウド資産インベントリ データを使用してカスタム ダッシュボードを構築します。

制限事項と考慮事項

現在の制限

• リアルタイム更新: 一部の資産の変更がインベントリに表示されるまでに時間がかかる場合があります。
• 履歴データ: 資産の履歴データは、早期ロールアウト中に制限される可能性があります。

パフォーマンスに関する考慮事項

• 大規模な環境: フィルター処理とスコープ設定により、多くの資産を持つ環境でのパフォーマンスが向上します。
• 更新レート: 資産データは定期的に更新されます。 リアルタイム チェックの場合は、クラウド プロバイダー コンソールを使用します。
• ネットワークの依存関係: インベントリ機能には、クラウド プロバイダー アプリケーション プログラミング インターフェイス (API) への信頼性の高い接続が必要です。

スコープの制限事項

一部の資産はDefender for Cloudで設定されたクラウド範囲外に現れる場合があります:

• クロススコープ依存関係: 複数のスコープにまたがるリレーションシップを持つ資産。
• フローティング アセット: 一部の資産の種類では、きめ細かいスコープがサポートされていません。
• 継承されたアクセス許可: スコープ外の親リソースからアクセス許可を継承する資産。

ベスト プラクティス

インベントリ管理

• 定期的なレビュー: 精度と完全性についてインベントリを定期的に確認します。
• タグ付け戦略: 組織を改善するために、クラウド環境全体で一貫したタグを使用します。
• スコープの構成: 組織に合わせてクラウド スコープを構成します。
• フィルターの最適化: 毎日のタスクに役立つフィルターの組み合わせを保存します。

セキュリティ操作

• 重要な資産の焦点: ビジネスクリティカルな資産の監視と保護に優先順位を付けます。
• リスクベースのアプローチ: リスク インジケーターを使用して、セキュリティの焦点とリソースの割り当てをガイドします。
• 統合ワークフロー: インシデント対応ワークフローと脆弱性ワークフローでインベントリ データを使用します。
• 自動化の機会: インベントリ API を使用して自動化する反復的なタスクを特定します。

インベントリを確認する

1. Microsoft Defender ポータルで、 Assets>Cloud に移動します。

2. 統合クラウド資産の概要を確認します。

   • 接続されているすべてのクラウド環境全体のリソースの合計
   • 正常なリソースと異常なリソースを示すセキュリティ体制の概要
   • Defender for Cloudの保護状態を示すカバレッジメトリック
   • リスク レベル別の資産を示すリスク分布

3. ワークロード固有のタブを使用して、特定の資産の種類に注目します。

   • 仮想マシンとコンピューティング インスタンスの VM を 選択する
   • データベースとストレージ リソースの データ の選択
   • Kubernetesやコンテナー関連の資産を選択するにはコンテナーを選択してください。
   • AI と機械学習のワークロードに対して AI を選択する
   • API 管理とエンドポイントの API の選択
   • 開発パイプライン用リソースに DevOps を選択する
   • アイデンティティおよびアクセス管理資産を選択する
   • 関数とサーバーレス コンピューティングには サーバーレス を選択する

4. グローバル スコープ フィルターを適用して、特定のクラウド スコープまたは組織の境界に重点を置く

5. 資産を選択すると、詳細情報が表示されます。

   • リスク レベルによって優先されるセキュリティに関する推奨事項
   • 脅威検出の分析情報を使用したセキュリティ アラート
   • 攻撃経路への関与 が、可能性のある攻撃シナリオへの参加を示す
   • セキュリティ標準に対するコンプライアンスの状態
   • インターネットへの露出や横移動の可能性を含むリスク要因

次のステップ

• クラウドの概要ダッシュボード
• セキュリティに関する推奨事項を管理する