Microsoft Defender for Cloud

Microsoft Defender for Cloud は、統合されたクラウド セキュリティ態勢管理 (CSPM) およびワークロード保護プラットフォームです。Azure リソース、ハイブリッド サーバー、マルチクラウド環境（AWS、GCP）を継続的に監視し、セキュリティの設定ミス、脅威、脆弱性を検出します。環境のセキュリティを強化するための優先順位付きの推奨事項を提供し、進行中の攻撃も能動的に検出します。

Defender for Cloud は、2 つの主要な柱を中心に動作します。Cloud Security Posture Management (CSPM) は、リソース構成をセキュリティのベスト プラクティスやコンプライアンス フレームワークと照合して評価し、サブスクリプションに Secure Score を割り当てます。Cloud Workload Protection (CWP) は Defender プランで有効になり、アクティブな脅威検出、脆弱性スキャン、Just-In-Time VM アクセスを追加して、実行中のワークロードを保護します。

Secure Score は、サブスクリプションのセキュリティ態勢を示す数値指標（0～100）です。各セキュリティ推奨事項にはスコアへの影響度があり、影響度の高い推奨事項を修正するとスコアがより大きく向上します。Microsoft のベンチマークでは、Secure Score が高い顧客ほどセキュリティ インシデントが少ないことが示されています。スコア ダッシュボードでは、セキュリティ制御領域（ID、ネットワーク、データなど）ごとに内訳を確認でき、修復作業の優先順位付けに役立ちます。

Defender for Cloud には、無料の基礎 CSPM ティア（常時有効）と、特定のリソースの種類に対応した有料のDefender プランがあります。プランには、Defender for Servers（VM のエンドポイント脅威検出）、Defender for Containers（Kubernetes の脅威検出とイメージ スキャン）、Defender for Databases（SQL インジェクションと異常なアクセスの検出）、Defender for Key Vault などがあります。各プランはリソース単位で課金されます。

Defender for Cloud が構成ミスを検出すると、セキュリティに関する推奨事項を作成します。各推奨事項には、問題の説明、影響を受けるリソースの一覧、重大度（High/Medium/Low）、修正した場合に上昇する可能性のある Secure Score、修正手順が含まれます。また、単純な修正をワンクリックで実行できる Quick Fix ボタンも用意されています。推奨事項は Microsoft Cloud Security Benchmark（MCSB）に対応付けられています。

Defender for Cloud が進行中の脅威を検出すると、攻撃の内容、影響を受けるリソース、推奨される対応手順を説明するセキュリティ アラートを生成します。同じ攻撃キャンペーンに関連するアラートは自動的に関連付けられ、セキュリティ インシデントにまとめられます。これにより、個別のアラートを数十件確認するのではなく、攻撃の進行（キル チェーン）を統合されたビューで確認できます。アラートは Microsoft Sentinel、Logic Apps、またはメールに転送できます。

Just-In-Time (JIT) VM アクセス（Defender for Servers で利用可能）は、RDP（3389）や SSH（22）などの管理ポートが使用されていないとき、NSG レベルで閉鎖します。管理者がアクセスする必要がある場合は、Defender for Cloud を介して、特定の送信元 IP から特定の時間枠（例：3 時間）でアクセスを要求します。その時間枠に限って NSG ルールが作成され、終了後に自動的に削除されます。これにより、管理ポートを常時開放することによる攻撃対象領域をなくせます。

適応型アプリケーション制御では、機械学習を使用して VM 上で実行されているアプリケーションを分析し、推奨される許可リストを生成します。リストを確認して承認すると、Defender for Cloud は Windows の AppLocker ルールまたは Linux の監査ルールを作成し、承認されたセットに含まれないアプリケーションを検出またはブロックします。これは、承認されていないソフトウェアを悪用するマルウェアやランサムウェアに対する強力な対策です。

Defender for Cloud には、セキュリティ態勢を ISO 27001、SOC 2、PCI DSS、NIST SP 800-53、CIS Benchmarks などの特定のフレームワークに対応付ける規制コンプライアンス ダッシュボードがあります。フレームワーク内の各コントロールは、1 つ以上の Defender for Cloud の推奨事項に対応付けられています。監査担当者はダッシュボードで、合格しているコントロールの数や修正が必要なコントロールを確認できます。これにより、コンプライアンスの証拠収集を大幅に迅速化できます。

Defender for Cloud は Azure にとどまらず、クラウド コネクタを通じてAWS と GCP のリソースにも、Azure Arc エージェントを通じてオンプレミス サーバーにもセキュリティ カバレッジを提供します。これにより、ハイブリッド環境とマルチクラウド環境全体を一元的に確認できるセキュリティ ビューが実現します。推奨事項と Secure Score には Azure 以外のリソースも含まれるため、真に統合されたセキュリティ管理プラットフォームとして利用できます。

Defender for Cloud の一般的なワークフローは次のとおりです。評価 — Secure Score を確認し、推奨事項を開きます。セキュリティ保護 — 影響の大きい推奨事項から順に修正します。防御 — Defender プランを有効にして、脅威をリアルタイムで検出し、対応します。この反復的なサイクルにより、セキュリティ態勢が継続的に改善され、時間の経過とともにセキュリティ インシデントの発生可能性と影響を低減できます。

このレッスンで扱った Microsoft Azure Fundamentals（AZ-900）の概念について、理解度を確認します。

このレッスンでは、Defender for Cloud が Secure Score による CSPM のセキュリティ態勢管理と、Defender プランによるアクティブな脅威保護を提供すること、Just-In-Time VM アクセスによって管理ポートを閉じ、要求があった場合にのみ開放できること、そして規制コンプライアンス ダッシュボードによって、セキュリティ態勢を ISO 27001 や PCI DSS などのフレームワークに対応付けられることを学びました。次は、シークレットと証明書を管理する Azure Key Vault について説明します。