Azure のインシデント対応の概要

インシデント対応は、組織のアクティブな攻撃キャンペーンを調査して修復する方法です。 Azure 環境に効果的なインシデント対応を行うには、共有責任モデル、Azure ネイティブの調査機能、自動対応ツールを理解する必要があります。

この記事では、Azure 固有のインシデント対応に関する考慮事項について説明します。 フィッシング、パスワードスプレー、トークン盗難、その他の攻撃タイプに関する詳細なプレイブックを含む、包括的でプラットフォームに依存しないインシデント対応ガイダンスについては、Microsoft Securityドキュメントのインシデント対応概要をご覧ください。

本記事は NIST SP 800-61 の段階、すなわち準備、検出・分析、封じ込めと回復、インシデント後の活動と整合しています。 Azure Policy の適用に関する規範的なセキュリティ制御については、「 Microsoft Cloud Security Benchmark v2 - Incident Response」を参照してください。

インシデント対応の準備

インシデントが発生する前に、計画、手順、および機能を確立します。

Azure 固有のインシデント対応計画を作成する。 従来のプランは、共有責任モデル、API ベースの証拠収集、サービス プロバイダーのコラボレーションがデータセンターのインシデント処理と異なるクラウド環境で失敗することがよくあります。 プランは次の内容に対応する必要があります。

• IaaS、PaaS、SaaS サービスに対する Microsoft と組織の間の責任の明確な説明
• Azure Monitorログ、Microsoft Entra監査ログ、NSGフローログを使ったクラウドネイティブ調査
• VM スナップショット、メモリ ダンプ、およびネットワーク パケット キャプチャの手順
• Microsoftのコラボレーションプロセス、Microsoft サポートおよびMicrosoft Security Response Center(MSRC)を含む

Microsoft Defender for Cloud でセキュリティ連絡先を構成します。 コラボレーションが必要なインシデントの間に Microsoft が到達できる連絡先を指定します。 24 時間 365 日アクセス可能なプライマリ連絡先、グローバル カバレッジのバックアップ連絡先、さまざまなインシデントの種類のロールベースの連絡先を含めます。 詳細については、「 セキュリティ連絡先の構成」を参照してください。

自動化された通知ワークフローを実装します。 手動通知では、重大な遅延が発生します。 Azure Logic Apps と Microsoft Sentinel プレイブックを使用して、インシデントの重大度、規制要件、影響を受けるリソースに基づいて適切な利害関係者にアラートを自動的にルーティングします。 未確認の重大インシデントの時間ベースのトリガーを使用してエスカレーション 手順を構成します。

応答手順を定期的にテストします。 組織は、制御されたテストではなく、実際のインシデントの間にギャップを検出します。 ランサムウェア、データ漏洩、内部脅威などの攻撃シナリオを用いた四半期ごとのテーブルトップ演習を実施します。

インシデントの検出と分析

高品質のアラート生成と体系的な調査機能を実装します。

統合された脅威検出を有効にする

プライマリ統合セキュリティ プラットフォームとして Microsoft Defender XDR を展開します。 Defender XDR は、エンドポイント、ID、電子メール、クラウド アプリからのアラートを統合インシデントに自動的に関連付け、マシンの速度で自動調査と対応を提供します。 詳細については、「 Microsoft Defender XDR」を参照してください。

ワークロードに適した Defender プラン (サーバー、ストレージ、コンテナー、Key Vault) を使用して Microsoft Defender for Cloud を構成します。 脅威の範囲を維持しながら、アラートのしきい値を調整し、既知の誤検知の抑制ルールを作成します。 詳しくは、 Microsoft Defender for Cloudに関するページをご覧ください。

一元化された SIEM および SOAR 機能用に Microsoft Sentinel を実装します。 インテリジェントなアラート グループ化とエンティティ エンリッチメントを使用して、自動インシデント作成の分析ルールを構成します。 調査グラフとエンティティの動作分析を使用して、包括的な調査を行います。 詳細については、「 Microsoft Sentinel」を参照してください。

包括的なログ記録を確立する

包括的なログ データは、攻撃のタイムラインを構築し、スコープを理解するために不可欠です。 収集:

• Microsoft Entra IDログ:サインインログ、監査ログ、リスクの高いユーザー検出。
• Azureアクティビティログ:リソースの変更やポリシー変更を含むコントロールプレーン操作。
• NSGフローログ:横方向移動検出のためのソースと宛先マッピングを備えたネットワークトラフィック。
• リソース診断ログ:Azure Storage、Key Vault、SQL、Firewall、Application Gatewayのログ。

ログを Log Analytics ワークスペースに送信して、長期的なリテンション期間と一元的なクエリを実行します。 詳細については、「 Azure Monitor」を参照してください。

ビジネスへの影響に基づいてインシデントに優先順位を付ける

ビジネスへの影響、収益の依存関係、規制スコープに基づいて、重要度レベルで Azure リソースにタグを付けます。 資産の重要度、データの機密性、脅威インテリジェンスの信頼度を考慮して、Microsoft Sentinel で自動重大度スコアリングを構成します。 規制で保護されたデータまたは重要なビジネス システムに関連するインシデントを自動的にエスカレートします。 詳細については、「 リソースのタグ付け」を参照してください。

インシデントを封じ込め、復旧する

自動攻撃の速度に合わせて応答を自動化します。

証拠を直ちに保持する

証拠収集の遅延と不適切な処理により、フォレンジックの整合性が損なわれる。 証拠の保存を自動化する:

• VMスナップショット:修復前に侵害されたVMのポイントインタイムスナップショットを作成します。
• 不可変ストレージ:不可変ストレージポリシーとリーガルホールドを用いて、ログや証拠をAzure Storageにエクスポートします。
• ネットワーク パケット キャプチャ: ネットワーク フォレンジックには Azure Network Watcher を使用します。
• メモリダンプ:Azure拡張機能を使って揮発性証拠を収集します。

法的手続きのために暗号ハッシュとアクセスログを用いて管理連鎖を維持しましょう。

封じ込めアクションを自動化する

自動攻撃が目標を数分で完了するまで、手動封じ込めには数時間かかります。 次の目的で Microsoft Sentinel プレイブックをデプロイします。

• ユーザーアカウントの対応:アカウントを無効化し、パスワードをリセットし、セッションを終了し、権限を取り消してください。
• ネットワーク隔離:調査アクセスを維持しつつVMを隔離するNSGルールを修正します。
• デバイス隔離:Microsoft Defender for Endpointを通じて侵害されたエンドポイントを隔離する。
• マルウェア対応:組織全体でファイルを隔離し、ハッシュをブロックします。

偽陽性の損害を防ぐために、影響の大きいアクションの承認ワークフローを構成します。 詳細については、「 プレイブックを使用して脅威への対応を自動化する」を参照してください。

Azure ネイティブ分離機能を使用する

• ネットワークセキュリティグループ:攻撃者のトラフィックをブロックする拒否ルールを追加してください。
• Azure Firewall:悪意のあるIPやドメインをブロックするルールを展開します。
• Microsoft Entra 条件付きアクセス:侵害されたアカウントや場所からのアクセスをブロックします。
• Privileged Identity Management:特権アクセス割り当てを取り消す。

インシデント後の学習と改善

再発防止に向けて体系的な事後活動を実施する。

学習したレッスンを文書化します。 何がうまく機能し、改善が必要かを判断します。 インシデント中に検出された完全な攻撃タイムライン、対応の有効性、ギャップをキャプチャします。

証拠を適切に保持する。 さまざまなインシデントの種類の規制要件を満たす保持ポリシーを使用して、不変の Azure Storage に証拠を格納します。

検出機能の更新。 インシデント中に観察された攻撃手法の検出ルールを追加します。 検出されたアクティビティを MITRE ATT&CK 手法にマップして、防御ギャップを特定します。

応答手順を改善します。 学習した教訓に基づいてプレイブックと Runbook を更新します。 応答中に検出された手動のボトルネックに対処するように自動化を調整します。

インシデント対応プレイブック

Microsoft では、一般的な攻撃シナリオに関する詳細なプレイブックを提供しています。

その他のプレイブックについては、「 インシデント対応プレイブック」を参照してください。

次のステップ

• 包括的な指針を得るために インシデント対応の概要 を確認してください。
• Azureでの脅威保護について学びましょう。
• 運用セキュリティのベスト プラクティスを確認しましょう。
• Microsoft Cloud Security Benchmark v2 - インシデント対応を探る。