リソースを推奨事項から除外する

Microsoft Defender for Cloud でセキュリティに関する推奨事項を調査するときは、影響を受けるリソースの一覧を確認します。 一覧に含まれてはならないリソースが見つかる場合や、属していないスコープに表示される推奨事項が見つかる場合があります。 たとえば、Defender for Cloudが修復プロセスを追跡しない場合や、推奨事項が特定のサブスクリプションに適用されない場合があります。 組織は、特定のリソースまたは推奨事項に関連するリスクを受け入れることを決定する場合があります。

このような場合は、次の例外ルールを作成します。

• リソースを除外して、異常なリソースの一覧から削除し、セキュリティ スコアへの影響から削除します。 Defender for Cloud では、リソースが [適用なし ] として一覧表示され、理由が 除外として表示され 、選択した正当な理由が表示されます。

• 推奨事項がセキュリティ スコアに影響を与えたり、そのスコープに対して表示されたりしないように、サブスクリプションまたは管理グループを除外します。 除外は、既存のリソースと、後で作成するリソースに適用されます。 Defender for Cloud は、そのスコープに対して選択した理由を元に推奨事項をマークします。

スコープごとに、次の適用除外規則を作成します。

• 特定の推奨事項を、1 つ以上のサブスクリプションまたは管理グループに対して受け入れられる軽減またはリスクとしてマークします。

• 特定の推奨事項に対して 1 つ以上のリソース を 軽減 済みまたは リスク受け入れ 済みとしてマークします。

リソースの除外は、サブスクリプションあたり 5,000 リソースに制限されます。 サブスクリプションごとに 5,000 を超える除外を追加すると、除外ページで負荷の問題が発生する可能性があります。

前提条件

Defender for Cloud除外は、Microsoft Cloud セキュリティ ベンチマーク (MCSB) イニシアチブに依存します。 除外を作成する前に、サブスクリプションに MCSB を割り当てる必要があります。

既定の MCSB イニシアチブまたは他の組み込みの規制基準に属する推奨事項の除外を作成できます。 MCSB の一部の推奨事項では、除外がサポートされていません。 これらの推奨事項の一覧は、 除外に関する FAQ で確認できます。

アクセス許可:

除外を作成するためには、次のアクセス許可が必要です:

• 除外を作成するスコープの所有者またはセキュリティ管理者。
• 規則を作成するには、Azure Policy でポリシーを編集するためのアクセス許可が必要です。 詳細については、Azure Policy の Azure RBAC アクセス許可を参照してください。
• ターゲット スコープのすべてのイニシアティブ割り当てに対する免除権限が必要です。 複数のイニシアティブに推奨事項が含まれている場合は、すべてのイニシアチブに対するアクセス許可を持つ除外を作成する必要があります。 1 つのイニシアチブに対するアクセス許可が不足していると、除外が失敗する可能性があります。

次のロールベースのアクセス制御 (RBAC) アクションが必要です。

• サブスクリプション レベルのアクセス許可は、管理グループに対して上位に継承されません。 ポリシーの割り当てが管理グループ レベルにある場合は、そのレベルで割り当てられたロールが必要です。

• 特定のリソースの除外を管理するには、リソースまたはリソース グループ レベルで必要な RBAC アクションが必要です。 サブスクリプション スコープのロールの割り当てでは、個々のリソースに対する除外を作成または削除するための十分なアクセス権が提供されない場合があります。 ロールの割り当てが、除外するリソースのスコープをカバーしていることを確認します。

• 管理グループ レベルで除外を作成する場合は、Microsoft Azure セキュリティ リソース プロバイダーにその管理グループの Reader ロールを割り当てることで、必要なアクセス許可を持っていることを確認します。 ユーザーにアクセス許可を付与するのと同じ方法で、このロールを付与します。

制限事項:

• カスタムレコメンデーションの除外は作成しません。

• プレビューの推奨事項では、除外がサポートされない場合があります。 推奨事項に プレビュー タグが表示されているかどうかを確認します。

• 推奨事項を無効にした場合は、そのすべてのサブコミットも除外されます。

• Kusto クエリ言語 (KQL) ベースの推奨事項では、標準の割り当てを使用し、アクティビティ ログの Azure Policy の適用除外イベントは使用しません。 推奨事項が KQL ベースかポリシー ベースかを判断するには、ポータルで推奨事項を開き、[ 評価キー ] フィールドを確認します。 KQL ベースの推奨事項では、標準の評価キー形式が表示され、Azure Policy定義リンクは関連付けられません。 ポリシー ベースの推奨事項には、基になるポリシー定義への直接リンクが表示されます。

• Defender for Cloud ポータルから除外を作成すると、Defender for Cloudは推奨事項を含むすべてのイニシアチブを識別し、それらのすべてに対して自動的に除外を作成します。 代わりにAzure Policy API を使用して除外を作成する場合は、イニシアチブごとに個別の除外を手動で作成する必要があります。 詳細は免除FAQをご覧ください。

• 既存の除外を含む推奨事項を含む新しいイニシアチブを割り当てると、除外は新しいイニシアチブに引き継がれることはありません。 新しく割り当てられたイニシアチブの下に、推奨事項の新しい除外を作成します。

除外対象の定義

Defender for Cloud ポータルで除外を作成することをお勧めします。 Azure Policy API を使用して作成された除外は、Defender for Cloudと完全には統合されない場合があります。 関連するすべてのイニシアチブに反映されない除外など、予期しない結果が発生する可能性があります。 API を使用する必要がある場合は、Azure Policy 除外構造を参照してください。

除外規則を作成するには、次の手順を実行します。

1. Azure portal にサインインする

2. Defender for Cloud>Recommendations に移動します。

3. レコメンデーションを選択します。

4. [除外] を選択します。

   

5. 除外対象の範囲を選択します。

   • 管理グループを選択すると、「Defender for Cloud」はそのグループ内すべてのサブスクリプションから推奨事項を免除します。
   • このルールを作成して 1 つ以上のリソースを推奨事項から除外する場合は、[ 選択したリソース] を選択し、一覧から関連するリソースを選択します。

6. 名前を入力してください。

7. (省略可能)有効期限を設定します。

8. 除外対象のカテゴリを選択します。

   • サードパーティのサービスを利用した対策により解消 (軽減) - これにより、Defender for Cloud が追跡しない非Microsoft のサービスを使用した場合に対策が行われます。

   注

   軽減対象としてリソースを除外すると、正常としてカウントされます。 修復のポイントは得られませんが、Defender for Cloudは異常なままにすることでポイントを差し引くことはありません。そのため、除外されたリソースはスコアを下げません。

   • 受け入れられたリスク (放棄) – この推奨事項を軽減しないリスクを受け入れることにした場合。

9. 説明を入力します。

10. を選択してを作成します。

    

除外を作成した後

適用除外は、有効になるまでに最大 24 時間かかる場合があります。 Defender for Cloudは、12 ~ 24 時間ごとにリソースを評価します。 除外が有効にされた後:

• 推奨事項またはリソースは、セキュリティ スコアには影響しません。

• 特定のリソースを除外する場合、Defender for Cloud では、推奨事項の詳細ページの [ 該当なし ] タブに一覧表示されます。

• 推奨事項を除外すると、Defender for Cloud は既定で 推奨事項 ページで非表示にします。 これは、既定の 推奨事項の状態 フィルターで [ 適用されない ] 推奨事項が除外されるために発生します。 セキュリティ コントロール内のすべての推奨事項を除外すると、同じ動作が発生します。

除外の種類が推奨事項の状態にどのように影響するかを理解する

選択した除外の種類によって、除外が推奨事項とセキュリティ スコアに与える影響が決まります。

• 軽減された免除: 免除されたリソースは正常と見なされます。 セキュリティ スコアが増加します。
• 免除 の除外: 除外リソースは、セキュリティ スコアの計算から除外されます。 リソースはセキュリティ スコアにはカウントされませんが、推奨事項に表示される可能性があります。

除外が機能していることを確認する

推奨事項に 24 時間後にリソースが異常と表示される場合は、「推奨事項の状態を 更新しない除外を解決 する」を参照して詳細な手順を確認してください。

次のステップ

関連するコンテンツ

• Defender for Storage の誤検知されたセキュリティ推奨事項を管理する

例外は、セキュリティチームが対応が必要なリスクに集中しつつ、修正を必要としない検出結果の管理された記録を維持するのに役立ちます。 所見がレビューされ、偽陽性と判断された場合、他の統制でカバーされている場合、一時的に保留された場合、またはリスクとして受け入れられた場合に例外を適用してください。 各免除はその範囲、対応条件、正当化、審査期間を記録し、組織が可視性や責任を失うことなく業務上のノイズを減らすのに役立ちます。

除外を使用する理由

適用除外は、セキュリティに関する検出結果を非公式に抑制する代わりに、構造化された代替手段を提供します。 組織が次を行うことを支援します。

• 対策が必要なセキュリティ検出結果にリソースを集中させましょう。
• 関連する範囲にわたり、一貫して文書化されたリスク判断を適用してください。
• 例外を中央集権的なルールで管理することで、繰り返し作業を減らしましょう。
• ガバナンス、監査、コンプライアンスに必要な正当な理由と裏付けとなるコンテキストを記録します。
• 有効期限やライフサイクルレビューを通じて、受け入れられたリスクを再評価します。
• 調査および攻撃パスのエクスペリエンスにおける適用除外された検出結果のセキュリティ コンテキストを保持します。

ユースケース例

検出結果が生成および確認され、組織が現在は修復を必要としないと判断した場合は、適用除外を作成します。 一般的なシナリオは次のとおりです。

• この結果は偽陽性です。
• 組織はリスクを検討し、受け入れました。
• サード パーティのコントロールでリスクに対処します。
• 代替の緩和策はすでに用意されています。
• 修復は、文書化された業務上の理由や技術的な理由で延期されます。

ルールを削除するか、例外を作成しますか?

推奨ポリシーと免除の両方で推奨の動作を制御できますが、それぞれ異なるガバナンスの目的に寄与しています。 推奨事項が特定の範囲で評価されるべきでない場合は、ポリシー変更を使用してください。 推奨が有効であるが、一時的に是正措置が不要であり、ガバナンス、監査、コンプライアンスの目的で追跡されるべき場合に免除を適用してください。

始める前の準備

環境がDefenderで管理されているか確認してください

Defenderで作成された免除は、Defenderで管理される環境に属する資産にのみ適用されます。 管理場所は以下のいずれかの方法で確認できます:

• Recommendations エクスペリエンスから、Managed in プロパティを確認し、値が Defender であることを確認しましょう。

• クラウド環境管理から、クラウド環境管理ページを開き、該当する環境がDefenderで管理されているか確認してください。

もし検出結果がAzureで管理されている資産に影響を与える場合、選択肢は2 つあります：

• 環境をDefenderに接続し、免除管理をDefenderを通じて継続してください。
• Azure で除外を作成します。

Permissions

Microsoft Defender 統一ロールベースアクセス制御(RBAC)は、免除へのアクセスを制御します:

適用除外管理を委任するには、Microsoft Defender ポータルで [システム]>[アクセス許可]>[Microsoft Defender XDR]>[ロール] に移動し、必要なアクセス許可と範囲を持つロールを作成または更新します。

除外を作成する

[露出管理]>[ポリシー]>[適用除外] に移動し、[適用除外の作成] を選択します。 作成プロセスには4つの判断が含まれます：

除外の送信後、Microsoft Defenderは除外を処理し、一致する検出結果を更新します。 検出結果のステータス、曝露計算、関連するポスチャ指標の変更は、すぐに反映されない場合があります。

推奨事項から適用除外を作成する

推奨事項から直接例外を作成することもできます。 推奨事項から起動すると、Defenderは選択した推奨事項に基づいて自動的に例外条件を事前入力し、設定作業を減らし、例外が意図した検出結果を対象としていることを保証します。

事前入力されているものは何ですか?

• 免除条件は自動的に「推奨による」に設定され、免除が作成された推奨に基づいています。 この条件は作成フロー中に変更できません。
• 免除作成時に選択した資産が自動的にスコープに入力されます。 必要に応じて、免除を申請する前に範囲をさらに絞り込む、狭めたり、拡大したりできます。

選択にDefender管理資産とAzure管理資産の両方が含まれている場合、Defenderの免除はサポートされるDefender管理資産にのみ適用されます。 残りの資産を Azure で管理するか、関連する環境を Defender 管理に移動します。

免除ライフサイクルの管理

[適用除外ルール] ページを使用して、組織の適用除外に関する意思決定を確認し、そのライフサイクルを管理します。

• ルールの範囲、条件一致、正当化、所有者、またはレビュー期間が変更された際には、ルールを編集してください。
• 例外が無効となり、一致する検出結果がアクティブな修復管理に戻る場合はルールを削除してください。
• 承認されたリスク期間が終了する前に期限切れのルールを確認してください。
• 期限切れの規則を過去の決定の履歴的な証拠として確認し、新たな評価が必要かどうかを判断してください。

適用除外が削除されたり有効期限に達したりすると、Microsoft Defender は自動的に影響を受けた検出結果を再評価します。 依然として修復が必要な検出結果は [アクティブ] 状態に戻り、ポスチャとリスクの計算に再度反映されます。 適用できなくなった検出結果は影響を受けません。

免除の効果を理解する

免除が有効な場合、一致する検出結果は免除としてマークされます。 この免除は検出結果の扱い方を変えますが、検出結果自体やその裏付け証拠、他のセキュリティシグナルとの関係を取り除くものではありません。

適用除外された検出結果は、Microsoft Defender の調査およびドリルダウン エクスペリエンス全体で引き続き利用できます。 現在のフィルターによっては、免除された検出結果がデフォルトで非表示になる場合があります。 それらを確認するには、ステータスフィルターに 免除 の検出結果を含めるように更新してください。

スコアへの影響

免除された検出結果は、免除が有効な間は適用されるセキュリティスコアの計算から除外されます。 スコアへの影響は、免除の範囲や製品体験によって異なります。

攻撃経路

推奨事項の適用を除外しても、関連する攻撃パスから削除されるわけではありません。 Microsoft Defenderは引き続きこの推奨を攻撃経路分析に含めており、明確に免除対象として示しています。 これにより、セキュリティチームは受け入れられたリスクの潜在的な影響を理解し、推奨が全体的なリスク露出にどのように寄与するかを可視化し、セキュリティ体制やビジネス要件が変わった場合に例外を再評価できます。

既存のAzure免除とDefenderへの移行

このセクションは主に、これまで Azure で推奨事項や免除を管理してきた組織が、現在、その環境をDefender で管理するよう移行している場合に関連しています。 この移行期間中、Microsoftは既存のAzure免除構成を維持しつつ、新たな免除決定を管理するための中央拠点としてDefenderを確立しています。

適用除外の所有者の仕組み

移行期間中、Microsoft DefenderとAzureは共存可能です。 免除ルールは作成元のポータルが所有していますが、推奨ステータスは各エクスペリエンス間で一貫しています。

• Azureで作成された免除ルールは引き続きAzureで管理されます。
• Defenderで作成された除外ルールは、Defenderの除外ルールページから管理されます。
• 免除ルールの定義はAzureとDefender間で同期やコピーは行われません。
• AzureおよびDefenderの免除は対応する推奨事項に影響を与えます。
• 推奨ステータスと免除状態は、どのポータルが免除ルールを所有しているかに関わらず一貫しています。

既存の Azure の適用除外

環境がDefenderで管理される場合、Microsoftは以前Azureで作成された免除ルールを引き続き尊重します。

• 既存のAzureの免除は、推奨ステータスやセキュリティ体制の計算に引き続き影響を与えています。
• セキュリティ チームはこれらの例外を Azure で引き続き編集または削除できます。
• これらの Azure で作成された免除は、Defender では管理可能な免除ルールとしては表示されません。

このアプローチにより、組織は既存のリスク受容の意思決定を中断することなく、あるいはこれまでの適用除外ルールを直ちに移行する必要なく、Defender に移行できます。

新しい適用除外の作成

環境がDefenderで管理された後は、その範囲の新たな除外をDefenderで作成しなければなりません。 サポートされているポータル エクスペリエンスを通じて、これらのスコープに対して新しい Azure の免除は作成できません。

この所有モデルにより、セキュリティチームは新たな免除決定を集中管理しつつ、既存のAzure構成を維持しながら運用できます。 また、同じDefender管理範囲に対して異なるポータルで競合する新規ルールを作成することも防いでいます。

制限事項

Microsoft Defenderポータルにおける免除管理には以下の制限が適用されます:

• 既存のAzureの免除は、環境がDefenderで管理された後も引き続き維持されますが、自動的にDefenderポータルに移行されるわけではありません。
• 処理、ステータス更新、スコア再計算、ポータル間ステータス伝播は即時ではなく、追加の処理時間が必要です。

なぜMicrosoft Defenderで免除管理を使うのか?

Microsoft Defender でクラウド ポスチャを管理することを選択した組織は、露出管理ワークフロー全体に直接統合された一元的な適用除外管理エクスペリエンスからメリットを得ることができます。 Azure は引き続き適用除外管理をサポートし、Defender は単一の場所からすべてのワークロードや関連する意思決定事項も含めてセキュリティ ポスチャの管理を求める組織向けに、統合エクスペリエンスを提供します。

• 柔軟な範囲: Defender により、組織はサポートされている環境と資産全体にわたって適用除外を作成できるため、従来の Azure の階層に基づく範囲設定よりも柔軟に範囲を選択できます。
• 管理上の負担削減:集中管理され再利用可能な免除ルールは、複数のAzureサブスクリプション、管理グループ、スコープ間で作成・維持すべき免除の数を減らすのに役立ちます。
• 細かなセキュリティ権限: Microsoft Defender XDR unified RBACは、組織が読み取り権限と管理権限を分離し、Azure の管理ロールだけに頼ることなく、免除管理を特定のセキュリティ チームに委任できるようにします。
• ライフサイクルガバナンス設計:Azureは免除管理もサポートしますが、Defenderはよりセキュリティ重視のガバナンス体験を提供します。 免除には審査期間や義務的な有効期限が含まれ、監査やコンプライアンス評価時に一時的なリスク受容決定の追跡、レビュー、検証が容易になります。 セキュリティチームは、期限切れが近づいている免除を簡単に特定し、期限切れの免除をレビューし、定期的に受け入れられたリスクを再評価することができます。
• 免除処理の迅速化: Defenderで作成された免除は通常、Azureでの同等の免除よりも速く、推奨事項の状態、スコア計算、関連エクスペリエンスに反映されます。 Microsoftは、免除の変更が発効するまでの時間をさらに短縮するため、処理効率の向上を続けています。

関連するコンテンツ

• Microsoft Defender統合ロールベースのアクセス制御 (RBAC)
• ポスチャ ポリシーを管理する