Azure には、クラウド デプロイのすべてのレイヤーにわたる包括的なセキュリティ機能が用意されています。 Microsoft Azure は、透過的なアカウンタビリティを実現しながら、顧客データの機密性、整合性、可用性を提供します。 この記事では、保護、検出、応答の機能別に整理された Azure のセキュリティ アーキテクチャについて説明します。
機能領域別に整理された Azure セキュリティ機能の包括的な概要については、「 Azure セキュリティの概要」を参照してください。 実装の詳細なガイダンスとベスト プラクティスについては、このドキュメント全体でリンクされているドメイン固有のセキュリティの概要に関する記事を参照してください。
Microsoft のセキュリティ アーキテクチャ
Azure セキュリティ サービスは、次の 3 つの基本カテゴリに分類されます。
- 安全・保護:アイデンティティ、インフラ、ネットワーク、データ全体にわたる防御の深層戦略を実施します。
- 脅威の検出:不審な活動や潜在的なセキュリティインシデントを特定します。
- 調査と対応:セキュリティイベントを分析し、是正措置を講じます。
次の図は、Azure セキュリティ サービスがこれらのカテゴリとそれらが保護するリソースとどのように一致するかを示しています。
セキュリティ制御とベースライン
Microsoft クラウド セキュリティ ベンチマークは、Azure サービスの包括的なセキュリティ ガイダンスを提供します。
- セキュリティコントロール:Azureテナントおよびサービス全体に適用される高レベルの推奨事項。
- サービスベースライン:特定の設定推奨を伴う個別のAzureサービスに対するコントロールの実装。
これらのコントロールとベースラインを使用して、次の操作を行います。
- クラウド展開のためのセキュリティ標準を確立しましょう。
- Microsoft Defender for Cloudの規制遵守ダッシュボードを使って、大規模にコンプライアンスを評価しましょう。
- CIS、NIST、PCI-DSSなどの業界フレームワークへのマッピング。
- Azure Policyで安全な設定を実装してください。
ガバナンスとコンプライアンスの機能については、 Azure のセキュリティ管理と監視の概要に関するページを参照してください。
安全性確保と保護
Azure では、ID、インフラストラクチャ、ネットワーク、およびデータ全体で階層化されたセキュリティ制御が提供されます。 詳細な実装ガイダンスについては、ドメイン固有の概要に関する記事を参照してください。
脅威の防止
Microsoft Defender for Cloud は、継続的な評価と高度な脅威保護を備えた統合セキュリティ管理を提供します。 包括的な情報については、Azure 脅威保護をご覧ください。
ID とアクセス
- Microsoft Entra ID - クラウドのアイデンティティとアクセス管理。
- Privileged Identity Management - ジャストインタイムの特権アクセス。
- Microsoft Entra ID 保護 - 自動リスク検出と修復。
詳細については、 Azure ID 管理のセキュリティの概要に関するページを参照してください。
ネットワークのセキュリティ
- Azure Firewall - IDPSを用いたクラウドネイティブネットワークファイアウォール。
- Azure DDoS Protection - 常時稼働の DDoS 軽減。
- Azure VPN Gateway - 暗号化された拠点間接続。
- Azure Front Door - 統合WAFを備えたグローバルロードバランサー。
- Azure Private Link - Azure サービスへのプライベート接続。
詳細については、 Azure ネットワーク セキュリティの概要に関するページを参照してください。
データ保護
- Azure Key Vault - FIPS 140-2レベル1(標準層)およびFIPS 140-3レベル3(プレミアム層)認証済みのHSMによる安全な鍵と秘密ストレージ。
- Key Vault マネージド HSM - シングルテナントの FIPS 140-3 レベル 3 対応 HSM。
- Azure Storage Service Encryption - 保管時の自動暗号化。
- Azure Backup - 独立かつ隔離されたバックアップ。
- Azure 機密コンピューティング - AM SEV-SNP、Intel TDX、NVIDIA H100 GPU対応を用いたハードウェアベースのデータ保護。
詳細については、 Azure での Azure 暗号化の概要 と キー管理に関するページを参照してください。
Governance
- Azure Policy - 標準を強制し、コンプライアンスを評価する。
詳細については、 Azure のセキュリティ管理と監視の概要に関するページを参照してください。
脅威を検出する
Azure 脅威検出サービスは、環境内の疑わしいアクティビティとセキュリティ インシデントを特定します。
- Microsoft Defender for Cloud - ワークロード特化プランによる高度な脅威保護。
- Microsoft Sentinel - クラウドネイティブのSIEMおよびSOARソリューション。
- Microsoft Defender XDR - 統合されたエンドポイント、アイデンティティ、メール、アプリケーション保護。
- Azure Network Watcher - ネットワーク監視と診断。
- Microsoft Defender for Cloud Apps - Cloud Access security broker (CASB)
包括的な脅威検出機能については、 Azure 脅威の保護に関するページを参照してください。
調査して対応する
Azure には、セキュリティ イベントを分析し、インシデントに対応するためのツールが用意されています。
- Microsoft Sentinel - 検索およびクエリツールを用いた脅威ハンティング。
- Azure Monitor - Log Analyticsワークスペースを用いた包括的なテレメトリ収集と分析。
- Microsoft Entra の監視と正常性とは - 活動ログおよび監査履歴。
- Microsoft Defender for Cloud Apps - クラウド環境調査ツール。
監視と運用のガイダンスについては、 Azure のセキュリティ管理と監視の概要に関するページを参照してください。
次のステップ
- 機能分野別に整理された包括的な概要については、Azureセキュリティ入門をレビューしてください。
- Azureのセキュリティサービスと技術をレビューし、包括的なセキュリティ機能のリストを確認してください。
- クラウドにおける責任の共有を理解しましょう。
- 「Azure セキュリティのベスト プラクティスとパターン」を読んでください。
- Microsoftクラウドセキュリティベンチマークについて学びましょう。
