Defender for Cloud でのグループ化された推奨事項から個々の推奨事項への移行

Overview

Microsoft Defender for Cloudは、グループ化された推奨(サブアセスメントとも呼ばれる)から個別の推奨へと移行を完了しました。

個別の勧告は、セキュリティの調査結果をより細かく把握するのに役立ちます。 複数の発見をまとめて推奨するのではなく、それぞれの発見を個別に示し、個別に調査・優先順位付け・是正が可能となります。

グループ化された勧告は2026年7月31日に廃止されました。 顧客は個別の推奨を調査と是正の主要なモデルとして用いるべきです。

本記事では、移行の運用上への影響と、既存のワークフロー、クエリ、ガバナンスルール、例外、継続的エクスポート設定の更新方法について説明します。

既存の構成やクエリを更新する必要がある場合は、この記事の最後に示された 推奨遷移の参考 資料を使用してください。 各廃止されたグループ推奨事項を、その推奨IDおよび現在の推奨カテゴリまたは置き換え推奨にマッピングします。

グループ化された推奨事項と個々の推奨事項

次の表は、グループ化された推奨事項と個々の推奨事項の動作と運用上の違いをまとめたものです。

モデリングの変更例:

• VM の脆弱性→ソフトウェア更新プログラムごとの推奨事項です。
• シークレット→キー/シークレットの種類ごとの推奨事項。
• SQL VA 規則→各規則は独立した推奨事項になります。

個々の推奨事項の採用

ベストプラクティス: 個別の提案を調査と改善の主要なモデルとして活用しましょう。

個別の推奨事項は、Defender for Cloudの現在の姿勢モデルです。 明確な利点があります。

• きめ細かく正確な優先順位付け – 各結果は個別にスコア付けされ、リスクを最も速く軽減するものに集中するのに役立ちます。

• 明確性とガバナンスの向上 – 所有権、除外、ワークフローを適切なレベル (検出ごとに) 適用できます。

• Defender 全体の一貫性 – 今後の単一の統合モデル。

• 将来性 – これは進化し続け、完全にサポートされるモデルです。

変更点

• それぞれの発見は別々の勧告として記載されています。
• 推薦数は、発見が個別に反映されるため、より多く提出されることがあります。
• 優先順位付けは個人の発見レベルで適用されます。

開始する場所

• 日常のセキュリティ作業に関する 個々の推奨事項の 確認とトリアージを開始する
• 個々の推奨事項を活用して、調査、修正、担当の明確化、適用除外を進める
• グループ化された推奨事項と比較して、より詳細で実用的なキューが必要です

遷移の例: 脆弱性管理

脆弱性管理は、移行が運用に直接影響を与える最も一般的な領域の 1 つです。 多くのセキュリティおよびコンプライアンス チームにとって、コンピューターの脆弱性のクエリと追跡は、毎日の主要なワークフローです。 次の例は、どのような変更と適応方法を示しています。

Before (グループ化された推奨事項モデル):

推奨事項 マシンには、マシン全体のすべての脆弱性の結果 がマシンごとに 1 つのエントリにまとめられた、脆弱性の結果が解決されている必要があります。 Azure Resource Graph のサブ アセスメントを使用して、レコメンデーション ID とリソースの種類でフィルタリングし、このクエリを実行しました。

After (個々のレコメンデーション モデル):

個々の推奨事項には、脆弱性の結果の一覧があります。 マシンごとに1つの集約エントリではなく、SoftwareUpdateおよびServiceUpgrade推奨カテゴリー内で、Azure VM、AKSノード、EC2インスタンス、GCPインスタンス、コンテナにまたがる脆弱なソフトウェアパッケージごとの個別の発見が見られます。

Azure Resource Graph クエリを更新する

古いクエリ (グループ化された推奨事項):

securityresources
| where type =~ "microsoft.security/assessments/subassessments"
| where id contains "1195afff-c881-495e-9bc5-1486211ae03f"
| where properties.resourceDetails.id contains "microsoft.compute/virtualmachines"
| extend DisplayName = tostring(properties.displayName)
| extend Severity = tostring(properties.status.severity)
| extend SoftwareVersion = tostring(properties.additionalData.softwareVersion)
| extend RecommendedVersion = tostring(properties.additionalData.recommendedVersion)
| mv-expand CVE = properties.additionalData.cve
| extend CVE_Title = tostring(CVE["title"])
| project DisplayName, Severity, SoftwareVersion, RecommendedVersion, CVE_Title

新しいクエリ (個々の推奨事項):

securityresources
| where type == "microsoft.security/assessments"
| where properties.resourceDetails.ResourceType =~ "microsoft.compute/virtualmachines"
| where properties.metadata.recommendationCategory == "SoftwareUpdate"
| extend DisplayName = tostring(properties.displayName)
| extend Severity = tostring(properties.metadata.severity)
| extend DetectedVersions = tostring(properties.additionalData.DetectedSoftwareVersions)
| extend FixedVersion = tostring(properties.additionalData.FixedVersion)
| extend CvesDetails = parse_json(tostring(properties.additionalData.CvesDetails))
| mv-expand CveDetail = CvesDetails
| extend CveId = tostring(CveDetail.CveId)
| project DisplayName, Severity, DetectedVersions, FixedVersion, CveId

securityresources
| where type =~ "microsoft.security/cvedetails"

2 つのスキーマ間のキー フィールドの変更:

大規模な調査と優先順位付け

個々の推奨事項では、細分性が向上します。 最も重要な問題に集中し、個々の推奨事項の細分性の向上に対処できるように、Defender for Cloud には、効果的な調査を支援するために設計されたいくつかのツールとビューが用意されています。

カテゴリ タブ

• チームの所有権またはリスク ドメインに最も関連するセキュリティ カテゴリ内で調査を開始する
• カテゴリを使用してノイズを減らし、作業に集中する

使用可能なカテゴリは次のとおりです。

• All – フル姿勢表示
• 構成の誤り – 構成ベースのリスク
• 脆弱性 – ソフトウェアとプラットフォームの脆弱性
• シークレット – 公開されたキーとシークレット

影響の大きい問題の優先順位付け

ベスト プラクティス:重大および高リスク レベルを既定の運用ビューにします。

• リスク レベルで推奨事項をフィルター処理する
• 影響の大きい問題に最初に対処して、リスクを迅速に軽減する

集計ビューを効果的に使用する

集計ビューは、修復をワークフローに合わせて調整するのに役立ちます。

• タイトル別に表示
  • 1 つの推奨事項のすべての資産を表示する
  • 複数のリソースにわたる一括修復に適しています
• リソース別に表示
  • 1 つの資産のすべての推奨事項を表示します
  • 資産レベルの調査やリスクの高いマシンの分離に適しています

Microsoft Defender for Cloud の推奨事項ページのスクリーンショット。フィルターオプションとフラットリスト、タイトル別、リソース別のビューを切り替えるボタンを含む。

タスクに一致する集計を選択します。

• 広範囲にわたる問題の修復: タイトル別に表示
• 資産の調査: リソース別に表示

新しい個々の推奨事項を管理する方法

個別推奨への移行が完了した今、Microsoft Defender for Cloudは引き続きガバナンスルール、継続的エクスポート、免除をサポートしています。 主な変更は、これらのアクションのスコープを設定する方法です。

個々の推奨事項は、ソフトウェア更新プログラム、シークレット、または問題の種類ごとに作成されます。 これらはリソースの現在の状態に従って生成されるため、アクションは単一の静的な推奨事項に適用されなくなります。 代わりに、管理アクションが 推奨事項カテゴリ レベルで適用されるようになりました。

ガバナンス ルール、継続的エクスポート、 および除外 は現在と同様に機能しますが、グループ化された推奨事項キーをターゲットにするのではなく、 推奨事項カテゴリを対象にするようになりました。 各カテゴリには、その種類のすべての現在および将来の個々の推奨事項が自動的に含まれます。

更新された管理エクスペリエンスは、ガバナンス ルールと除外ルールの下の環境設定で使用できます。このルールでは、個々の推奨事項のカテゴリ全体に所有権、自動化、または除外を一貫して適用できます。

移行後の典型的なセキュアスコアの挙動

グループ化された推奨から個別の推奨への移行後、Azureポータルの一部の古典的な安全なスコアコントロールは、個別推奨モデルで表現される結果の影響を受けることがあります。

場合によっては、以前のグループ化された推奨がそのコントロール下で見えなくなったにもかかわらず、安全なスコアコントロールでは資源が不健康に見えることがあります。

この場合、該当するリソースはその地域の姿勢信号に寄与するセキュリティ調査結果を持っています。 基礎となる発見を調べるには、リスク ビューに切り替えてください。これは調査結果のレビューと優先順位付けに推奨されるビューです。

リスクビューは、最新の詳細な推奨体験を提供し、見直しや改善すべき具体的な発見を特定するのに役立ちます。

この行動は個別推薦への移行の一環として期待されます。 Azure ポータルの従来のセキュア スコアは、顧客が調査と修復のための個別の推奨事項モデルに移行する間も、この移行期間を通じて機能的な安定性を維持できるよう設計されています。

脆弱性の修復

アクセス管理を有効にする

以下の勧告は単一の新しい勧告に置き換えられました。 今後のガバナンス、免除、エクスポート構成には新しい評価キーを活用してください。

セキュリティ設定のベストプラクティスを実装する

システムアップデートの適用

これらの安全なスコアコントロールのいずれかで不健康なリソースが示唆されているが、基盤となるグループ化された推奨事項が見えない場合は、 リスクビューで該当する結果を確認してください。 調査結果は、廃止されたグループ推奨体験ではなく、現在の個別勧告モデルを通じて表現されています。

今行うべきこと

• 個別の勧告を調査と修復の主要なモデルとして用いましょう。
• リスクビューを使って、不健康な資源に関連する発見を特定し優先順位付けしましょう。
• グループ化された推奨やサブアセスメントに依存していたAzure Resource Graphクエリ、ガバナンスルール、継続的エクスポート設定、免除ワークフローを更新してください。
• SoftwareUpdate、SystemUpdate、HostMisconfigurations、ExposedSecretsなどの推奨カテゴリを適用してください。
• 個別の発見がより実践的な詳細を提供するため、推奨件数が一部で増加すると予想されます。 この増加は必ずしもリスクが増加したことを示すものではありません。
• 推奨移行参照を使って、現在の推奨カテゴリや代替推奨を特定してください。
• 無効ルールから免除への移行を完了してください。

推奨移行リファレンス

この参照を使って、廃止された各グループ推奨をその推奨IDおよび現在の推奨カテゴリまたは置き換え推奨にマッピングします。 推奨事項は製品別に整理されます。 以下の参照先はこちらです。

• ガバナンス ルール、除外規則、および継続的エクスポートの更新 - これらは、特定の推奨事項キーではなく、推奨事項カテゴリを対象とするようになりました。 現在管理している各推奨事項のカテゴリを見つけて、そのカテゴリを使用するように構成を更新します。
• クエリの移行 — グループ化された推奨事項 ID を microsoft.security/assessments リソースの種類に置き換え、 properties.metadata.recommendationCategoryでフィルター処理します。 推奨事項 ID 列は、適切な推奨事項をターゲットにしていることを確認するのに役立ちます。

各グループ化された勧告は、2つの最終状態のいずれかに移行しました。

• 個々の推奨事項に置き換えられる — グループ化された推奨事項は、検索ごとに動的に生成される個々の推奨事項に置き換えられます。 推奨事項 ID ではなく 推奨事項カテゴリ を対象とするように、ガバナンス ルール、除外、および継続的エクスポートを更新します。
• 単一の新しい推奨事項に置き換えられました 。 グループ化された推奨事項は、特定の新しい個々の推奨事項に置き換えられ、推奨事項 ID が固定されます。 推奨事項カテゴリは [不明] と表示されます。 新しい推奨事項 ID を直接使用するように構成を更新します。これらの推奨事項にはカテゴリ フィルターを使用しないでください。

Microsoft Defender for Servers

以下のグループ化された推奨事項は、Microsoft Defender for Serversの下で移行されました。

結果を確認する方法: コンピューターの脆弱性を修復する

個々の推奨事項に置き換えられました 。推奨事項カテゴリを使用するように、ガバナンス ルール、除外、継続的エクスポートを更新します。

個々の推奨事項に置き換えられました 。次のグループ化された推奨事項は非推奨となり、1 つの直接置換はありません。 これらは、Defender for Cloudで利用可能になった新しい個々の推奨事項に置き換えられます。

新しい個々の推奨事項

データベースのMicrosoft Defender

以下のグループ化されたSQL推奨事項は、Microsoft Defender for Databasesに移行されました。 移行後、各 SQL 脆弱性評価ルールは、サーバー リソースではなくデータベース リソースに対して報告された個々の推奨事項として表示されます。 Azure SQL データベースの結果を分析するには、Azure ポータルでリソースを開き、Microsoft Defender for Cloudに移動し、特定の結果を選択して、ルールの説明、重大度、修復のガイダンスを表示します。 マシン上の SQL サーバーの場合は、Defender for Cloudで [推奨事項] ページを開き、関連する個々の推奨事項を見つけて、同じ修復手順に従います。

修復方法と結果を確認する方法について説明します。

非推奨の推奨事項 — 次のグループ化された推奨事項は非推奨となり、直接置き換えることはありません。 これらは、Defender for Cloudで利用可能になった新しい個々の SQL 脆弱性評価の推奨事項に置き換えられます。 完全な一覧については、 SQL 脆弱性評価の規則と推奨事項のマッピングに関するセクションを参照してください。

Microsoft Defender for Containers

以下のグループ化された推奨事項は、Microsoft Defender for Containersの下で移行されました。 移行後、コンテナーの脆弱性の結果は個々の推奨事項として表示され、各脆弱なイメージ レイヤーまたはパッケージは個別の結果として表示されます。

結果を確認する方法: Kubernetes クラスターで実行されているコンテナーの脆弱性を表示および修復する | レジストリ イメージの脆弱性評価結果の表示と修復

個々の推奨事項に置き換えられました 。推奨事項カテゴリを使用するように、ガバナンス ルール、除外、継続的エクスポートを更新します。

Microsoft Defender for DevOps

以下のグループ化された推奨事項は、Microsoft Defender for DevOpsの下で移行されました。 移行後、コード スキャン、依存関係の脆弱性、シークレット、コードとしてのインフラストラクチャの問題、および API セキュリティに関する個々の結果が、関連する推奨事項カテゴリに表示されます。

結果を確認する方法: Defender for Cloudで、[推奨事項] に移動し、関連するカテゴリ (ApiVulnerabilities、SoftwareUpdate、CodeVulnerabilities、IacVulnerabilities、または ExposedSecrets) でフィルター処理します。 個々の推奨事項を選択して、影響を受けるリポジトリ、詳細の検索、修復手順を表示します。

個々の推奨事項に置き換えられました 。推奨事項カテゴリを使用するように、ガバナンス ルール、除外、継続的エクスポートを更新します。

Microsoft Defender for Identity

1 つの新しい推奨事項に置き換えられました 。次のグループ化された推奨事項はそれぞれ、特定の新しい個々の推奨事項に固定評価キーで置き換えられます。 新しい評価キーを直接使用するように、ガバナンス ルール、除外、継続的エクスポートを更新します。

重要: これらの置換の推奨事項の除外規則は、有料のお客様のみが使用できます。 未払いのお客様は、元の評価が廃止されると、これらの推奨事項の除外機能が失われます。

次のステップ

• セキュリティに関する推奨事項を確認する
• セキュリティに関する推奨事項を修復する
• セキュリティに関する推奨事項の概要
• 無効化ルールから除外への移行