この記事では、Azureのデータ、アプリケーション、およびその他の資産を保護するための運用上のベスト プラクティスのセットについて説明します。
ベスト プラクティスは意見のコンセンサスに基づいており、現在のAzure プラットフォームの機能と機能セットで動作します。 意見やテクノロジは時間の経過と同時に変化します。 Microsoftはこれらの変更を反映するためにこの記事を定期的に更新しています。
この記事は、侵害を想定し、継続的な検証を必要とする Microsoft の ゼロ トラスト セキュリティ モデルに合わせて説明します。 Azure Policy適用による規範的なセキュリティ制御については、「Microsoft クラウド セキュリティ ベンチマーク v2 - インシデント対応およびMCSB v2 - ポスチャと脆弱性の管理を参照してください。
強力で運用可能なセキュリティに関するプラクティスの定義とデプロイ
Azure運用上のセキュリティとは、Azureのデータ、アプリケーション、およびその他の資産を保護するためにユーザーが使用できるサービス、コントロール、および機能のことです。 Azure運用セキュリティは、Security Development Lifecycle (SDL)、Microsoft Security Response Center プログラム、サイバーセキュリティの脅威に関する深い認識など、Microsoft 固有の機能によって得られた知識を組み込んだフレームワークに基づいて構築されています。
ユーザーに多要素認証を適用する
すべてのユーザーに対して二段階認証を義務付けてください。 この要件には、管理者や財務担当者など、アカウントが侵害された場合に大きな影響を及ぼす可能性のある組織内の関係者も含まれます。
二段階認証を要求するには複数の選択肢があります。 最適なオプションは、目標、実行しているMicrosoft Entraエディション、ライセンス プログラムによって異なります。 ユーザーが最適なオプションを判断するために 2 段階認証を要求する方法を参照してください。 ライセンスや価格についての詳細は、Microsoft Entra IDおよびMicrosoft Entraの多要素認証ドキュメントをご覧ください。
以下のオプションと利点が、二段階認証を有効にするのに役立ちます:
オプション1:すべてのユーザーおよびサインイン方法でMFAを有効にする Microsoft Entraセキュリティデフォルトの利点:このオプションにより、環境内のすべてのユーザーに迅速にMFAを強制し、厳格なポリシーを設けることができます:
- 管理者アカウントと管理ログオン メカニズムにチャレンジします
- すべてのユーザーに対してMicrosoft AuthenticatorによるMFAチャレンジを義務付ける
- レガシ認証プロトコルを制限します。
この方法はすべてのライセンス階層で使えますが、既存の条件付きアクセスポリシーと組み合わせることはできません。 詳細については、Microsoft Entra セキュリティデフォルトを参照してください。
オプション 2: ユーザーの状態を変更して多要素認証を有効にする。 利点:オプション2は、二段階認証を要求する従来の方法です。 この方法は、クラウドのMicrosoft Entra多要素認証とAzure多要素認証サーバーの両方で動作します。 この方法では、ユーザーがサインインして条件付きアクセス ポリシーをオーバーライドするたびに、2 段階認証を実行する必要があります。
マルチファクター認証を有効にする場所を判断するには、「私の組織に適したMicrosoft Entraマルチファクター認証のバージョンは?」をご覧ください。
オプション 3: 条件付きアクセス ポリシーを使用して多要素認証を有効にする。 利点:このオプションは 条件付きアクセスを用いて特定の条件下で二段階検証を促します。 特定の条件としては、異なる場所、信頼されていないデバイス、または危険と見なされるアプリケーションからのユーザーのサインインを指定できます。 2 段階認証を要求する特定の条件を定義すると、要求のメッセージがユーザーに繰り返し表示されないようにすることができます。このようなメッセージは、不快なユーザー エクスペリエンスとなり得ます。
オプション3は、ユーザーに対して二段階認証を有効にする最も柔軟な方法です。 条件付きアクセス ポリシーの有効化は、クラウドでの多要素認証Microsoft Entraにのみ機能し、Microsoft Entra IDのプレミアム機能です。 この方法の詳細については、「クラウドベースのMicrosoft Entra多要素認証をデプロイする」を参照してください。
オプション 4: リスクベースの条件付きアクセス ポリシーを評価して、条件付き アクセス ポリシーで多要素認証を有効にする。 利点: このオプションを使用すると、次のことが可能になります。
- 組織の ID に影響する潜在的な脆弱性を検出します。
- 組織の ID に関連する検出された疑わしいアクションに対する自動応答を構成します。
- 疑わしいインシデントを調査し、適切なアクションを実行して解決します。
この方法は、Microsoft Entra ID 保護のリスク評価を用いて、すべてのクラウドアプリケーションに対してユーザーおよびサインインリスクに基づいて二段階認証が適用されるかどうかを判断します。 この方法では、Microsoft Entra ID P2 ライセンスが必要です。 このメソッドの詳細については、Microsoft Entra ID 保護を参照してください。
注
オプション 2 (ユーザーの状態を変更することで多要素認証を有効にする) では、条件付きアクセス ポリシーをオーバーライドします。 オプション 3 とオプション 4 では条件付きアクセス ポリシーが使用されるため、オプション 2 を使用することはできません。
二段階認証などの追加の身分保護層を導入しない組織は、認証情報盗難攻撃に対してより脆弱です。 資格情報盗用攻撃はデータの侵害につながる可能性があります。
ユーザー パスワードの管理と監視
次の表に、ユーザー パスワードの管理に関連するベスト プラクティスをいくつか示します。
クラウド上で適切なレベルのパスワード保護を確保しましょう。 MicrosoftのIDプラットフォーム(Microsoft Entra ID、Active Directory、Microsoft アカウント)のユーザー向けに適用されたMicrosoftパスワードガイダンスのガイダンスに従ってください。
ユーザーアカウントに関連する不審な行動を監視しましょう。 リスクのあるユーザーやリスクの高いサインインをMicrosoft Entraのセキュリティレポートを使って監視しましょう。
高リスクパスワードを自動的に検出し、修正します。Microsoft Entra ID 保護は、Microsoft Entra ID P2エディションの機能であり、以下を可能にします:
- 組織の ID に影響する潜在的な脆弱性を検出します。
- 組織の ID に関連する検出された疑わしいアクションに対する自動応答を構成します。
- 疑わしい事件を調査し、適切な対応を取って解決しましょう。
Microsoft からインシデント通知を受け取る
セキュリティオペレーションチームがMicrosoftからのAzureインシデント通知を受け取るようにしてください。 インシデント通知は、セキュリティチームがAzureリソースが侵害されていることを知らせ、潜在的なセキュリティリスクに迅速に対応し、修正できるようにします。
Azure登録ポータルでは、管理者の連絡先情報にセキュリティ操作を通知する詳細が含まれていることを確認できます。 連絡先情報は、電子メール アドレスと電話番号です。
Azure サブスクリプションを管理グループに整理する
組織に多数のサブスクリプションがある場合は、これらのサブスクリプションのアクセス、ポリシー、およびコンプライアンスを効率的に管理する方法が必要になることがあります。 Azure管理グループは、サブスクリプションを超えるレベルのスコープを提供します。 管理グループと呼ばれるコンテナーにサブスクリプションを整理して、管理グループに管理条件を適用できます。 管理グループ内のすべてのサブスクリプションは、管理グループに適用された条件を自動的に継承します。
管理グループとサブスクリプションの柔軟な構造をディレクトリに構築することができます。 各ディレクトリには、ルート管理グループと呼ばれる 1 つの最上位管理グループがあります。 このルート管理グループは階層に組み込まれており、すべての管理グループとサブスクリプションはルート管理グループにまとめられます。 ルート管理グループでは、グローバル ポリシーとAzureロールの割り当てをディレクトリ レベルで適用できます。
管理グループの使用に関するベスト プラクティスを次にいくつか示します。
新規サブスクリプションに追加時にポリシーや権限などのガバナンス要素が適用されるようにしてください。 ルート管理グループを使って、すべてのAzure資産に適用される全社的なセキュリティ要素を割り当ててください。 要素の例としては、ポリシーやアクセス許可があります。
管理グループの上層レベルをセグメンテーション戦略と整合させ、各セグメント内でコントロールとポリシーの一貫性のポイントを確保しましょう。 ルート管理グループの下に、各セグメントごとに単一の管理グループを作成します。 ルートの下に他の管理グループは作成しないでください。
管理グループの深さを制限し、運営とセキュリティの両方に支障をきたす混乱を避けましょう。 階層はルートを含めて3レベルに制限してください。
ルート管理グループで企業全体に適用する項目を慎重に選びましょう。 根管理グループの要素がすべてのリソースに適用される明確な必要性を持ち、かつ影響が少ないことを確認しましょう。
適切な候補は次のとおりです。
データ主権に関連する制限など、明確なビジネス影響を持つ規制要件。
監査効果のあるポリシーや、慎重にレビューされる Azure RBAC 権限割り当てのように、運用にほぼマイナス影響がほとんどない要件。
ルール、Azure RBACモデルなど、ルート管理グループで全社的な変更を慎重に計画・テストしてください。 ルート管理グループの変更はAzure上のすべてのリソースに影響を及ぼす可能性があります。 企業全体にわたる一貫性を確保する強力な方法が提供される一方で、エラーや不適切な使用によって実稼働運用にマイナスの影響が発生する可能性があります。 テスト ラボまたは運用パイロットで、ルート管理グループに対するすべての変更をテストします。
デプロイスタックとテンプレート仕様による環境作成の効率化
Azure Deployment Stacksを使って、繰り返し可能なAzureリソースのコレクションを一つのユニットとしてデプロイ・管理しましょう。 デプロイスタックはBicepおよびAzure Resource Managerのテンプレート、ライフサイクル管理、そして管理されたリソースを不要な変更から保護するための拒否設定をサポートします。 Azure Resource Managerのテンプレート仕様を使って、承認済みテンプレートを組織全体で保存、バージョン変更、共有しましょう。
Important
Azure Blueprints(プレビュー)は2026年7月31日に段階的廃止を開始し、2027年1月31日に廃止されます。 既存のブループリントを 廃止前にデプロイスタック や テンプレート 仕様に移行してください。
予期しない動作変化の記憶域サービスを監視します。
クラウド環境でホストされる分散アプリケーションの問題の診断やトラブルシューティングは、従来の環境よりも複雑になることがあります。 アプリケーションはPaaSやIaaSインフラ、オンプレミス、モバイルデバイス、またはこれらの環境の組み合わせに展開できます。 アプリケーションのネットワーク トラフィックがパブリックとプライベート ネットワークを走査可能性があり、アプリケーションが複数の記憶域テクノロジを使用して可能性があります。
アプリケーションが使用するストレージサービスに対して、応答時間の遅さなどの予期せぬ挙動変化がないか継続的に監視してください。 詳細なデータを収集して、問題を徹底的に分析するログを使用します。 モニタリングとログの両方から得られる診断情報は、アプリケーションが直面した問題の根本原因を特定するのに役立ちます。 その後、問題のトラブルシューティングを行い、適切な対策を決めることができます。
Azure Storage Analytics はログ記録を実行し、Azure ストレージ アカウントのメトリック データを提供します。 このデータを使ってリクエストの追跡、使用傾向の分析、ストレージアカウントの問題診断に活用しましょう。
脅威の防止、検出、および対応
Microsoft Defender for Cloudは、Azureリソースのセキュリティに対する可視性と管理を強化することで、脅威の予防、検出、対応を支援します。 Defender for Cloudは、Azureサブスクリプション全体で統合されたセキュリティ監視とポリシー管理を提供し、通常は見過ごされがちな脅威を検出し、さまざまなセキュリティソリューションと連携します。
Defender for Cloudには基礎的なクラウドセキュリティ・ポスチャー管理(CSPM)機能と、Microsoft Defender XDRへの無料アクセスが含まれています。 保護を拡張するには、保護したいワークロードに対して有料のDefender for Cloudプランを有効にしてください。例えば、Defender CSPM、Defender for Servers Plan 1またはPlan 2、Defender for Storage、Defender for Databases、Defender for Containersなどです。Defender for Key Vault、Defender for App Service、Defender for Resource Manager、Defender for API、そしてAIサービス。 これらのプランは、セキュリティの脆弱性を見つけて修正し、悪意のある活動をブロックするためのアクセスおよびアプリケーション制御を適用し、分析とインテリジェンスを用いて脅威を検出し、攻撃を受けた際に迅速に対応するのに役立ちます。
Defender for Cloudは最初の30日間、または特定のプランが使用制限に達するまでの間、どちらか早い方で無料で試すことができます。 試用期間や利用制限が終了すると、環境で有効にしたプランに基づいて料金が発生します。 詳細については、「Azureサブスクリプションの接続」および「Microsoft Defender for Cloudとは何か?」をご覧ください。
Defender for Cloud を使用して、独自のデータ センター、Azure、その他のクラウド内のすべてのリソースのセキュリティ状態を一元的に確認できます。 セキュリティの制御が適切かつ正しく構成されているかを一目で確認し、注意が必要なリソースを素早く特定できます。
Defender for CloudはMicrosoft Defender for Endpointとも連携しており、包括的なエンドポイント検出および応答(EDR)機能を提供します。 Microsoft Defender for Endpoint統合により、異常を検出し、脆弱性を検出できます。 また、Defender for Cloud によって監視されているサーバー エンドポイントに対する高度な攻撃を検出して対応することもできます。
ほぼすべてのエンタープライズ組織には、多様なシグナル収集デバイスからログ情報を統合することで新たな脅威を識別することに役立つ、セキュリティ情報およびイベント管理 (SIEM) システムがあります。 ログはデータ分析システムによって分析され、すべてのログ収集や分析ソリューションに避けられないノイズから「興味深い」ものを特定します。
Microsoft Sentinel は、スケーラブルなクラウドネイティブのセキュリティ情報およびイベント管理 (SIEM) およびセキュリティ オーケストレーション、自動化、応答 (SOAR) ソリューションです。 Microsoft Sentinelは、アラート検出、脅威可視化、積極的なハンティング、自動脅威対応を通じて、インテリジェントなセキュリティ分析と脅威インテリジェンスを提供します。
脅威に対する保護、検出、および対応に関するベスト プラクティスを次にいくつか示します。
クラウドベースのSIEMを活用することで、SIEMソリューションの速度とスケーラビリティを高めましょう。 Microsoft Sentinelの機能や能力を調べ、現在オンプレミスで使っているものの性能と比較してください。 組織の SIEM 要件を満たしている場合は、Microsoft Sentinelの採用を検討してください。
最も深刻なセキュリティ脆弱性を特定し、調査の優先順位をつけましょう。 Microsoft Defender for Cloudに組み込まれたAzureのポリシーやイニシアチブから得られる推奨事項を確認するために、Azureのセキュリティスコアを確認してください。 これらの推奨事項は、セキュリティ更新プログラム、エンドポイント保護、暗号化、セキュリティ構成、WAF の欠落、インターネットに接続された VM など、最大の危険への対応に役立ちます。
このセキュアスコアは、Center for Internet Security(CIS)の管理に基づいており、外部ソースに対して組織のAzureセキュリティをベンチマークするのに役立ちます。 外部検証は、チームのセキュリティ戦略を検証し強化することに役立ちます。
機械、ネットワーク、ストレージおよびデータサービス、アプリケーションのセキュリティ状況を監視し、潜在的なセキュリティ問題を発見し優先順位付けします。 Defender for Cloudのセキュリティ推奨に従い、優先度の高い項目から始めましょう。
Defender for Cloudのアラートをセキュリティ情報・イベント管理(SIEM)ソリューションに統合しましょう。 SIEMを持つほとんどの組織は、アナリストの対応が必要なセキュリティアラートの中央クリアリングハウスとしてSIEMを利用しています。 Defender for Cloud によって生成された処理されたイベントは、Azure アクティビティ ログ (Azure Monitorで使用可能なログの 1 つ) に発行されます。 Azure Monitorでは、監視データを SIEM ツールにルーティングするための統合パイプラインが提供されます。 手順については、 SIEM、SOAR、または IT サービス管理ソリューションへのアラートのストリーム配信 に関する記事を参照してください。 Microsoft Sentinelを使用している場合は、「Connect Microsoft Defender for Cloudを参照してください。
AzureログをSIEMと統合しましょう。 Azure Monitorを使ってデータを収集・エクスポートしてください。 この方法はセキュリティ インシデントの調査を可能にするために重要であり、オンライン ログのリテンションは制限されます。 Microsoft Sentinelを使用している場合は、「Connect データ ソースを参照してください。
エンドポイント検出・応答(EDR)機能を攻撃調査に統合することで、調査とハンティングのプロセスを迅速化し、誤検知を減らすことができます。Defender for Cloudのセキュリティポリシーを通じてMicrosoft Defender for Endpoint連携を有効にしてください。 脅威ハンティングとインシデント対応にMicrosoft Sentinelを使用することを検討してください。
エンド ツー エンドのシナリオ ベースのネットワーク監視
組織は仮想ネットワーク、ExpressRoute、Application Gateway、ロードバランサーなどのネットワークリソースを組み合わせて、Azureでエンドツーエンドネットワークを構築します。 これらのネットワークリソースをそれぞれ監視できます。
Azure Network Watcher はリージョン サービスです。 診断ツールと視覚化ツールを使用して、ネットワーク シナリオ レベルで、Azure内、Azureとの間で条件を監視および診断します。
ネットワークの監視と使用可能なツールのベスト プラクティスを次に示します。
パケットキャプチャによるリモートネットワーク監視の自動化。 Network Watcherを使って、VMにサインインせずにネットワーク問題を監視・診断できます。 アラートを設定して パケット キャプチャ をトリガーし、パケット レベルでリアルタイムのパフォーマンス情報にアクセスできます。 問題が見つかったら、より正確な診断のために詳細に調査することができます。
フローログを使ってネットワークトラフィックの洞察を得ることができます。 ネットワークセキュリティグループのフローログを使って、ネットワークトラフィックパターンをより深く理解しましょう。 フロー ログの情報をもとに、コンプライアンスに関するデータを収集し、ネットワークのセキュリティ プロファイルを監査、監視できます。
VPN接続の問題を診断しましょう。 Network Watcherを使って、よくあるVPN Gatewayや接続の問題を診断してください。 問題を特定し、詳細なログを使ってさらに調査することができます。
実証済みの DevOps ツールによるセキュリティ保護されたデプロイ
次の DevOps のベスト プラクティスを使用して、エンタープライズとチームが、生産性と効率性があることを確認します。
- サービスの構築と展開を自動化しましょう。インフラストラクチャ・アズ・コード とは、IT専門家が日々のモジュール式インフラの構築と管理の負担を軽減するための一連の技術と実践です。 インフラストラクチャ・アズ・コードは、ITプロがソフトウェア開発者がアプリケーションコードを構築・保守するのと同じように、現代のサーバー環境を構築し維持できるようにします。
Azure Resource Manager を使用して、宣言型テンプレートを使用してアプリケーションをプロビジョニングできます。 1 つのテンプレートで、複数のサービスをその依存関係と共にデプロイできます。 アプリケーション ライフサイクルの各ステージで、同じテンプレートを使用してアプリケーションを繰り返しデプロイします。
Azureのウェブアプリやクラウドサービスに自動的にビルド・デプロイできます。 Azure DevOps ProjectsをAzureのウェブアプリやクラウドサービスに自動的にビルド・デプロイするように設定できます。 Azure DevOpsは毎回コードチェックイン後に自動的にバイナリをAzureにデプロイします。 パッケージのビルド プロセスは、Visual Studioの Package コマンドに相当し、発行手順は Visual Studio の [発行] コマンドと同じです。
リリース管理の自動化。Azure Pipelinesは、多段階展開の自動化とリリースプロセスの管理を行うソリューションです。 迅速かつ頻繁にリリースできる管理型継続的デプロイパイプラインを作成しましょう。 Azure Pipelinesを使えば、あらかじめ定義された承認ワークフローでリリースプロセスを自動化できます。 オンプレミスまたはクラウドに展開し、必要に応じて拡張、カスタマイズできます。
アプリの起動や本番環境へのアップデート展開前に、必ずパフォーマンスを確認してください。 クラウドベースの 負荷テスト を実行し、以下のことを行います:
- アプリのパフォーマンスの問題を見つけます。
- デプロイの品質を向上します。
- アプリが常に利用可能であることを確認しましょう。
- 次回のローンチやマーケティングキャンペーンのトラフィックをうまく処理できるアプリを確保しましょう。
Apache JMeterは、強力なコミュニティ支援を備えた無料の人気オープンソースツールです。
- アプリケーションのパフォーマンスを監視しましょう。Azure アプリケーション Insightsは、複数のプラットフォームでウェブ開発者向けの拡張可能なアプリケーションパフォーマンス管理(APM)サービスです。 Application Insights を使用して、実行中の Web アプリケーションを監視します。 パフォーマンスに異常があると、自動的に検出されます。 問題の診断やユーザーが実際にアプリで何をしているのかを理解するための分析ツールも含まれています。 Application Insights は、パフォーマンスやユーザビリティを継続的に向上させるうえで役立つように設計されています。
DDoS に対する被害軽減と保護
分散型サービス拒否 (DDoS) は、アプリケーションのリソースを枯渇させようとする攻撃の種類です。 目的は、正当な要求を処理するアプリケーションの可用性と能力に影響を与えることです。 これらの攻撃は、いっそう高度なものになり、規模と影響も大きくなっています。 攻撃者はインターネットを通じて公開可能なあらゆるエンドポイントを標的にする可能性があります。
DDoS に対する回復性を設計しビルドするときは、さまざまな障害モードに対応した計画と設計が必要です。 Azureで DDoS 回復性のあるサービスを構築するためのベスト プラクティスを次に示します。
- 設計と実装から、デプロイと運用まで、アプリケーションのライフ サイクル全体を通して、セキュリティを優先する必要があります。 アプリケーションにはバグがあり、比較的少ないリクエスト量でも多くのリソースを消費し、サービス障害を引き起こすことがあります。 Azure上で動作するサービスを保護するためには、アプリケーションアーキテクチャをよく理解し、ソフトウェア品質の5つの柱に注目する必要があります。 お客様は、標準的なトラフィックの量、アプリケーションと他のアプリケーションの間の接続モデル、パブリック インターネットに公開されるサービス エンドポイントについて知っておく必要があります。
アプリケーション自体を対象とするサービス拒否攻撃に対処するのに十分な回復力をアプリケーションに持たせることが、最も重要です。 セキュリティとプライバシーは、Security Development Lifecycle (SDL) 以降、Azure プラットフォームに組み込まれています。 SDL は、すべての開発フェーズでセキュリティに対処し、Azureを継続的に更新してセキュリティをさらに強化します。
- 水平方向にスケーリングするようにアプリケーションを設計し、増加した負荷の需要を満たす (特に、DDoS 攻撃の場合)。 アプリケーションがサービスの 1 つのインスタンスに依存する場合は、単一障害点が発生します。 複数のインスタンスをプロビジョニングすると、システムの回復力と拡張性が高まります。 Azure App Service の場合は、複数のインスタンスを提供する App Service プランを選択してください。
Azure Cloud Servicesの場合は、複数のインスタンスを使用するように各ロールを構成します。
Azure 仮想マシン の場合は、VM アーキテクチャに複数の VM が含まれていること、および各 VM が availability set に含まれていることを確認します。 自動スケーリング機能にはvirtual machine Scale Setsを使いましょう。
- アプリケーションのセキュリティ防御を多層化すると、攻撃が成功する可能性が減少します。 Azure プラットフォームの組み込み機能を使用して、アプリケーションのセキュリティで保護された設計を実装します。 攻撃のリスクは、応用物の面積(表面積)が大きくなるほど高まります。 ロードバランサー(Azure Load BalancerやAzure Application Gateway)で不要な露出したIPアドレス空間やリスニングポートを許可リストで閉じることで、表面積を減らせます。
ネットワーク セキュリティ グループ は、攻撃対象領域を減らすもう 1 つの方法です。 サービス タグとアプリケーション セキュリティ グループを使用すると、アプリケーションの構造の自然な拡張機能として、セキュリティ規則の作成とネットワーク セキュリティの構成の複雑さを最小限に抑えることができます。
可能な限り、Azure サービスを 仮想ネットワークにデプロイする必要があります。 このプラクティスを使用すると、サービス リソースはプライベート IP アドレスを通して通信できます。 仮想ネットワークからのサービス トラフィックAzureは、既定でパブリック IP アドレスをソース IP アドレスとして使用します。
サービス エンドポイントを使用すると、仮想ネットワークから Azure サービスにアクセスするときに、サービス トラフィックがソース IP アドレスとして仮想ネットワーク プライベート アドレスを使用するように切り替えられます。
攻撃者はオンプレミスのリソースだけでなく、Azureのリソースも標的にすることができます。 オンプレミス環境をAzureに接続する場合は、オンプレミスのリソースがパブリック インターネットに公開されるのを最小限に抑えます。
Azureには、ネットワーク攻撃からの保護を提供する 2 つの DDoS サービス オファリングがあります。
- DDoSインフラストラクチャ保護は追加料金なしでAzureにデフォルトで統合されています。 グローバルに展開されたAzureネットワークの規模と容量は、常時接続のトラフィック監視とリアルタイムの緩和を通じて、一般的なネットワーク層攻撃から防御します。 インフラストラクチャ保護はユーザー設定やアプリケーションの変更を必要としず、Azure DNSのようなPaaSサービスを含むすべてのAzureサービスを保護するのに役立ちます。
- DDoSネットワーク保護は、ネットワーク攻撃に対する高度なDDoS緩和機能を提供します。 特定のAzure リソースを保護するように自動的に調整されます。 仮想ネットワーク作成時や作成後も保護を有効にすることができ、アプリケーションやリソースの変更は不要です。
Azure Policyを有効にする
Azure Policy は、ポリシーの作成、割り当て、管理に使用するAzureのサービスです。 これらのポリシーにより、リソースにルールと効果が適用されて、それらのリソースが会社の標準とサービス レベル アグリーメントに準拠した状態に保たれます。 Azure Policyは、割り当てられたポリシーに準拠していないリソースを評価することで、このニーズを満たします。
Azure Policyを有効にして、組織の書面によるポリシーを監視および適用します。 このアプローチは、ハイブリッドクラウドワークロード全体でセキュリティポリシーを中央管理することで、企業や規制当局のセキュリティ要件への準拠を保証します。 ポリシーを作成および管理してコンプライアンスを適用する方法について説明します。 ポリシーの要素の概要についてはAzure Policy定義構造を参照してください。
- Azure Policyを使って、環境全体でMicrosoft Cloud Security Benchmark v2(プレビュー)推奨を強制しましょう。 Microsoft Cloud Security Benchmark v2(プレビュー版)は、拡張されたAzure Policyカバレッジ(420+ポリシーベースの測定)を含む包括的なセキュリティベストプラクティスを提供します。 Microsoft Cloud Security Benchmark v2 (プレビュー) ポリシーをサブスクリプションと管理グループに割り当てて、セキュリティで保護された構成を継続的に監査および適用します。 このベンチマークには、AI セキュリティ、コンフィデンシャル コンピューティング、および強化された脅威検出のための新しい制御が含まれています。 Defender for Cloud 規制コンプライアンス ダッシュボードを使用して、コンプライアンスを追跡し、修復が必要なセキュリティギャップを特定します。
Azure Policyを採用した後に従うセキュリティのベスト プラクティスを次に示します。
監査モードでポリシー展開を開始します。 ポリシーでは、いくつかの種類の効果がサポートされています。 これらの詳細については、Azure Policy定義構造で確認できます。 ビジネス操作は 拒否 効果と 修復 効果によって悪影響を受ける可能性があるため、 まず監査 効果から始めて、ポリシーからの悪影響のリスクを制限します。 後で、拒否 または 修復 に進みます。 拒否または修復に移行する前に、監査効果の結果をテストして確認します。
詳細については、「コンプライアンスを 適用するためのポリシーの作成と管理」を参照してください。
ポリシー違反の監視と迅速な是正を担当する役割を特定しましょう。 割り当てられた役割にAzureポータルやコマンドラインを通じてコンプライアンスを監視してもらいます。
Azure Policyは、組織の書面によるポリシーの技術的表現です。 すべてのAzure Policy定義を組織のポリシーにマップして、混乱を減らし、一貫性を高めます。 組織のドキュメント内、または Azure Policy 定義自体で、policy definition または initiative definition の説明に組織のポリシーへの参照を追加して、ドキュメント マッピングを記載します。
Microsoft Entraリスク レポートを監視する
セキュリティ侵害の大部分は、攻撃者がユーザーの ID を盗んで環境にアクセスしたときに発生します。 侵害された ID を検出するのは簡単な作業ではありません。 Microsoft Entra IDでは、アダプティブ 機械学習アルゴリズムとヒューリスティックを使用して、ユーザー アカウントに関連する疑わしいアクションを検出します。 検出された各疑わしいアクションは、 リスク検出と呼ばれるレコードに格納されます。 リスク検出は、Microsoft Entraセキュリティ レポートに記録されます。 詳細については、 危険なユーザーセキュリティレポート と 危険なサインインセキュリティレポートを参照してください。
次のステップ
Azure環境でのセキュリティ インシデントへの対応に関するガイダンスについては、Incident 応答の概要 を参照してください。 Azureを使用してクラウド ソリューションを設計、デプロイ、管理する際に使用するセキュリティのベスト プラクティスについてはAzureセキュリティのベスト プラクティスとパターンを参照してください。
次のリソースを使用して、Azureセキュリティおよび関連する Microsoft サービスに関する一般的な情報を提供できます。
- Azure セキュリティ チーム ブログ - Azure セキュリティの最新情報については。
- Microsoft Security Response Center - Microsoftのセキュリティ脆弱性、Azureの問題などを報告します。 また、 secure@microsoft.comにメールで脆弱性を報告することもできます。
- Azure Policy マッピングを使用した包括的な運用セキュリティ ガイダンスについては、Microsoft クラウド セキュリティ ベンチマーク v2 - インシデント対応および MCSB v2 - Posture and Vulnerability Management コントロールを確認します。
- Microsoftの社内セキュリティベストプラクティスであるMicrosoft Secure Future Initiative(SFI)について学びましょう。
- ゼロ トラスト セキュリティ アーキテクチャの実装に関するガイダンスについては、ゼロ トラスト の原則を参照してください。
