BLOGAzureブログ

皆さまこんにちは、SB C&Sの八釼です。
突然ですが、「Microsoft Defender for Cloud（以下DfC）」知っていますか？

マイクロソフト社が提供する製品やサービスにはDefenderという単語が含まれている名称のものが数多くあるので何となくその一つかな？という仮説は立てられますね。その仮説は間違ってはいないのですが、厳密にはAzureのサービスの一つなのです。しかし名前を聞いても正直どんなサービスなのか想像がつきにくいですね、ですがAzureを活用していく上では大変重要なサービスなのでぜひ簡単にでも知っておいていただきたいです。

そこで今回は、こんなDfCについての概要をご紹介したいと思います。

• // 目次 //
• まずは簡単な歴史から
• それではDFCとは
• 利用を開始するには
• DFCの存在意義
• まとめ

まずは簡単な歴史から

Azure（マイクロソフト社）あるあるとして頻繁に製品が統合されたり名称が変更になったりということがしばしば起こります。このサービスについても然りで、2021年11月までは「Azure Security Center」と「Azure Defender」と呼ばれていた2つのサービスが統合されてできたものなのです。そのためもしかしたら、Azure Security Centerならば分かる、もしくはAzure Defenderならば分かるという方はいらっしゃるかもしれません。

サービス名から「Azure」の冠がなくなったのでAzureのサービスの一つと推測できなくなったのですが、これは後述する通りこのサービスがAzure以外の部分も対象にしているためです。

それではDfCとは

クラウド環境のセキュリティ一元化を可能にするソリューションであり、有効なスコープにおいてプロビジョニングされるすべてのリソースを監視します。そしてCSPM ( Cloud Security Posture Management ) とCWP ( Cloud Workload Protection ) という2つの柱で成り立っています。

CSPM（クラウドセキュリティ態勢管理）

クラウド環境における問題の評価、検出、ログの記録、レポートを自動的に行います。簡単に言うと、セキュリティ設定が正しくなされているかを診断することができるわけで、旧Azure Security Centerが担当する部分と考えていただいて差し支えありません。

CWP（クラウドワークロード保護）

クラウド環境のワークロードを構成するリソースを、その種類や場所を問わずに自動的に保護します。つまりはアンチウイルス、ふるまい検知、IDS、IPS、脆弱性チェックなどの機能の組み合わせであり、旧Azure Defenderが担当する部分と考えていただいて差し支えありません。

DEFENDERプラン

保護するリソースの種類ごとにさまざまなプランが用意されており、仮想マシン、SQLデータベース、コンテナー、Webアプリケーション、ネットワークなどの高度な脅威保護機能が提供されます。詳細については以下の公式ドキュメントをご確認ください。

• 公式ドキュメント | Defender プランと外部監視を使用して Defender for Cloud を拡張する

利用を開始するには

まずサブスクリプション単位でDfCを有効化します。するとセキュリティ向上のための推奨事項やそれぞれのリソースに対するセキュリティ状態と評価の一覧表（インベントリ）など無償で利用できる範囲の機能（基本セキュリティ機能）が有効になります。

しかし真価を発揮するためには「強化されたセキュリティ機能」を有効にする必要があります。これにより他のクラウド（AWS/GCP）やオンプレミス環境にも対象を広げることができ、また高度な機能を使用して統合セキュリティ管理と脅威保護を行うことができるようになります。つまり簡単にまとめると、無償の範囲では監視まで、有償になるとそれ以上のことが実行できるということです。

ちなみに、前述したDefenderプランについてはMicrosoft Defender for Security posture management のみFreeプランとしてオンになっていますが、当該機能を有効化するとfor Serversなどの本当の意味でのプランの機能が使えるようになります。プラン（リソースの種類）によって価格設定は異なっており、すべてのプランをオンにすることもできますし必要なプランだけを選択してオンにもできます。運用していく中で使用の必要性がなくなったプランが出てきた場合には、それに対してオフにすることで無効化もできます。

また、当該機能を有効化しても直ちに課金が発生するわけではないのでご安心ください。30日間の試用期間が設けられているので、まずは実際に使ってみて自組織として有用か否かを見極めその後もお金を払って使い続けるべきか判断することができます。

DfCの存在意義

クラウド環境でもオンプレミス環境でもはたまたハイブリッドやマルチな環境であればなおさら、セキュリティ管理をしていく上で以下に示す三つのことがとても重要です。一般的にセキュリティを考える上でどうしても脅威からの保護の部分に目を向けがちになるのですが、並行してコンプライアンスの対策などもしっかりと実施する必要があります。

1. 継続的な評価

セキュリティ態勢を把握することはもちろん、継続的に評価し脆弱性を追跡や特定することは重要です。ここで関係してくるのがDfCの中心となる機能である「セキュアスコア」です。

• 現在のセキュリティ状況を把握すること
• セキュリティを効率的かつ効果的に向上させること

という目標を達成すべく、現在のセキュリティ状況を一目で確認できるスコアを表示します。なお、このスコアはパーセンテージ値として表示されるのですが、この値が高いほどセキュリティ体制が良好である一つの評価軸として活用できます。

つまりセキュアスコアによって、セキュリティの問題についてリソースやサブスクリプションなどを継続的に評価しセキュリティ態勢を可視化できるのです。

2. セキュリティの強化

セキュリティの状況や態勢を可視化した後に行うべきことは何でしょうか？そう、足りていないと判断される部分については改善しセキュリティレベルを向上させることが大切です。ここで重要になるのがセキュリティポリシーの設定です。この実態はAzure Policyで作成する定義であり、制御する特定のセキュリティ条件に関するルールのことです。ちなみに、このポリシーをグループ化したものを（セキュリティ）イニシアチブと言います。

なお、DfCの使用を開始すると自動的に割り当てられる規定のニシアチブが存在し、これはAzureセキュリティベンチマーク (ASB)と呼ばれます。ASBは、マイクロソフト社が作成したものでAzureプラットフォームに固有のセキュリティの「推奨事項」で構成されます。Azureのベストプラクティスを取り込んだガイドラインと考えていただいて差し支えなく、こういった項目を正しく設定していますか？という判例のリストのようなものなので、「何が出来ていないと危険なのか」という設定を知る意味でも、とても有用なものです。詳細については以下の公式ドキュメントをご確認ください。

• 公式ドキュメント | Azure セキュリティ ベンチマークの概要

推奨事項

リソースをセキュリティで保護および強化するために実行すべき操作です。セキュリティのベストプラクティスに従って構成されているかどうかを評価し、これにより各リソースへの攻撃対象領域を減らすことができます。
なお、各推奨事項には、

• 問題の簡単な説明
• 推奨事項を実装するために実行する修復手順
• 影響を受けるリソース

の情報が記載されています。

3. 脅威からの防御

攻撃の手法は日々最新化され巧妙化されていくため、セキュリティ対策の状況を可視化したり推奨事項に従って強化を行ったとしても攻撃を完全に防げるわけではありません。それを検出して対処（解決）することが必ず必要です。

そこで重要となるのが、セキュリティアラートです。脅威を検出すると生成されます。DfCにて生成された各アラートには、影響を受けるリソースや推奨される修復手順の詳細などが示されます。

ちなみにこのアラートは、AIを活用した組織全体の統合セキュリティ分析サービス(SIEM+ SOAR+UEBA)であるMicrosoft Sentinel、サードパーティのSIEM、またはその他の外部ツールにエクスポートすることもできます。

４．まとめ

Azureを含めてクラウドサービスは便利な反面、その利便性ゆえに統制がとりにくくセキュリティ上の脅威も生まれやすいという特性があります。いくら有用なサービスが開発できても安全性に問題があれば価値はずいぶんと低いものとなってしまいます。

以前に掲載したこちらの記事で少しだけ触れたWell-Architected Frameworkにおいてもセキュリティは5本の柱の一つですし、DfCはセキュリティ監視において体制の向上、脅威検出、侵害防止に非常に役立つ活用すべきサービスです。

弊社では、こういったセキュリティも考慮してAzure導入のご支援を提供しております。このようなベストプラクティスに沿ったAzureひいてはハイブリッド/マルチクラウド運用を目指し導入をご検討されたい場合には、法人でのAzure 導入前の相談窓口であるAzure相談センターまでぜひお気軽にお問い合わせください。Azure に精通したスタッフが丁寧にご回答いたします。