クラウド セキュリティ体制管理 (CSPM) は、Microsoft Defender for Cloud のコア機能です。 CSPMはクラウド資産やワークロードのセキュリティ状態を継続的に把握し、Azure、AWS、GCPにおけるセキュリティ体制を改善するための実践的なガイダンスを提供します。
Defender for Cloudは、Azureサブスクリプション、Amazon Web Services(AWS)アカウント、Google Cloud Platform(GCP)プロジェクトで定義されたセキュリティ基準に照らし、クラウドインフラを継続的に評価します。 Defender for Cloud は、クラウドの構成ミスとセキュリティ リスクを特定して軽減するのに役立つセキュリティに関する推奨事項を発行します。
Azure Database for PostgreSQL フレキシブルサーバーの場合、Defender CSPMはサーバーレベルおよびデータベースレベルの構成をPostgreSQLのセキュリティベストプラクティスに照らして継続的に評価します。 これらの評価は、ネットワークセキュリティ、監査、運用のレジリエンスに関する課題を特定します。 Defender CSPMがすでに有効であれば、他の設定を必要とせずにリスク優先度の高い推奨を提供します。
Foundational CSPMを有効にすると、Microsoft Cloud Security Benchmark(MCSB)標準がマルチクラウド環境のセキュリティ強化に役立つ推奨事項を提供します。 MCSB の推奨事項の一部に基づく セキュリティ スコア は、クラウド コンプライアンスの監視に役立ちます。 スコアが高いほど、識別されたリスク レベルが低いことを示します。
CSPM プラン
Defender for Cloud には、次の 2 つの CSPM プランが用意されています。
- 基礎CSPM (無料):無料で利用可能です。
- Defender CSPM(有料):基礎CSPMプランを超えた追加機能を提供し、クラウドの可視化やコンプライアンス監視のための高度なCSPMツールが含まれます。 このプランは、AIセキュリティ体制、攻撃経路分析、リスク優先順位付けなどの高度なセキュリティ体制機能を提供します。
可用性を計画する
Defender CSPMは複数の展開モデルとクラウド環境をサポートしています:
- 商用クラウド:すべてのAzure商用リージョンで利用可能です。
- Government clouds: Azure Government および Azure Government Secret で利用可能です。
- マルチクラウド:Azure、AWS、GCP環境のサポート。
- ハイブリッド:Azure Arcを介して接続されたオンプレミスリソース。
- DevOps:GitHub、Azure DevOps、GitLabの統合。
- 外部レジストリ:Docker HubおよびJFrog Artifactoryコネクタは、選択されたFoundational CSPMおよびDefender CSPM機能をサポートしています。 Defender for Containersは、選択されたコンテナイメージ機能もサポートしています。 プラン固有の利用可能性については、外部レジストリ機能およびDefender for Containersの機能アクセスパターンをご覧ください。
特定のリージョンの可用性と政府機関向けクラウド サポートの詳細については、 クラウド環境のサポート マトリックスを参照してください。
プランの価格
Defender CSPMの請求は、サブスクリプションやコネクタで有効になっている特定のリソースに基づいています。
- Defender for Cloud の価格を参照し、コスト計算ツールを使用してコストを見積もります。
- 高度なDevOpsセキュリティ体制機能(プルリクエスト注釈、コードからクラウドへのマッピング、攻撃経路解析、セキュリティエクスプローラー)は、有料のDefender CSPMプランが必要です。 無料プランでは、基本的な Azure DevOps の推奨事項が提供されます。 詳細は DevOpsセキュリティ機能をご覧ください。
- この記事のAzureおよびAWS請求可能リソーステーブルは、サーバーレス保護およびサーバーレスコンテナのリソースタイプ、アクティベーション要件、請求有効日をカバーしています。
Azure クラウド セキュリティ態勢管理
Defender CSPMは、Azureインフラストラクチャ、コンピュート、データ、アプリケーションワークロードに対するクラウドセキュリティのポスチャー管理を提供します。 AzureサブスクリプションでDefender CSPMを有効にする方法を学びましょう。
Azure 課金対象リソース
Defender CSPMはすべてのAzureワークロードを保護しますが、請求は以下の表に記載されている特定のリソースにのみ適用されます。
| サービス | リソースの種類 | 除外 |
|---|---|---|
| Compute | 仮想マシン、仮想マシン スケール セット、クラシック VM | 割り当て解除された VM、Databricks VM |
| Storage | ストレージアカウント | BLOB コンテナーまたはファイル共有のないアカウント |
| Databases | SQL サーバー、Azure Database for PostgreSQL フレキシブル サーバー、Azure Database for MySQL フレキシブル サーバー、Synapse ワークスペース | - |
| サーバーレス保護 1 | Function Apps、Web Apps | - |
| サーバーレスコンテナ 2 | Azure Container Apps (ACA), Azure Container Instances (ACI) | - |
1 機能アプリやWeb Appsを保護し、この機能の請求を開始するために、Defender CSPMでサーバーレス保護を有効にしてください。 請求は2026年4月1日から有効となりました。
2 Azure Container AppsとAzure Container Instancesを保護し、この機能の請求を開始するために、Defender CSPMでサーバーレスコンテナコンポーネントを有効にしてください。 サーバーレスコンテナの完全なカバレッジのために レジストリアクセス を有効にしてください。 課金は2026年7月1日より開始されました。
Azure の機能と機能性
以下の表は、Foundational CSPM および Defender CSPM で利用可能な Azure 機能をまとめたものです。
| 特徴 | 基本的な CSPM | ディフェンダー CSPM |
|---|---|---|
| 資産インベントリ | 
|
|
| データのエクスポート |
|
|
| Azure Workbooks を使用したデータの視覚化とレポート |
|
|
| Microsoft クラウド セキュリティ ベンチマーク |
|
|
| セキュリティ スコア |
|
|
| セキュリティに関する推奨事項 |
|
|
| 修復のためのツール |
|
|
| ワークフローの自動化 |
|
|
| エージェントレス コードからクラウドまでのコンテナの脆弱性評価 | - |
|
| Kubernetes のエージェントレス検出 | - |
|
| VM シークレットのエージェントレス スキャン | - |
|
| エージェントレス VM の脆弱性スキャン | - |
|
| AI セキュリティ体制管理 | - |
|
| API セキュリティ態勢管理 | - |
|
| 攻撃パス分析 | - |
|
| Azure Kubernetes Service セキュリティ ダッシュボード (プレビュー) | - |
|
| 重要な資産保護 | - |
|
| カスタム推奨事項 | - |
|
| データ セキュリティ体制管理 (DSPM)、機密データ スキャン | - |
|
| サーバーレスコンテナワークロードの検出と態勢管理 | - |
|
| 大規模な修復を推進するためのガバナンス | - |
|
| インターネット露出分析 | - |
|
| 外部攻撃面の管理 | - |
|
| 規制コンプライアンス評価 | - |
|
| セキュリティ エクスプローラーを使用したリスクハンティング | - |
|
| リスクの優先順位付け | - |
|
| サーバーレス保護 | - |
|
AWS クラウドセキュリティ・パスチャー管理
Defender CSPMはAmazon Web Services(AWS)アカウントに接続し、AWSリソースに対してクラウドセキュリティの状況管理、セキュリティ評価、脆弱性スキャン、リスクコンテキストを提供します。 AWSアカウントをDefender for Cloudに接続する方法を学び、AWSの前提条件を確認してください。
AWSの請求可能なリソース
以下の表は、AWSコネクターでDefender CSPMを有効にする際の請求可能なリソースと除外事項を示しています。
| サービス | リソースの種類 | 除外 |
|---|---|---|
| Compute | EC2 インスタンス | 割り当て解除済み VM |
| Storage | S3 バケット | – |
| Databases | RDS インスタンス | – |
| サーバーレス保護 3 | AWS Lambda 関数 | – |
| サーバーレスコンテナ 4 | AWS Fargate上のAmazon ECS | – |
3 AWS Lambdaの機能を保護し、この機能の請求を開始するために、Defender CSPMでサーバーレス保護を有効にしてください。 請求は2026年4月1日から有効となりました。 請求可能なリソースは8つのAWS Lambda関数を表します。
4 AWS Fargateワークロード上のAmazon ECSを保護し、この機能の請求を開始するために、Defender CSPMでServerless Containersコンポーネントを有効にしてください。 サーバーレスコンテナの完全なカバレッジのために レジストリアクセス を有効にしてください。 課金は2026年7月1日より開始されました。 1 つの課金対象リソースは、AWS Fargate 上で実行される 2 つの Amazon ECS ワークロードに相当します。
AWSの機能と能力
以下の表は、Foundational CSPMおよびDefender CSPMで利用可能なAWSの機能をまとめたものです。
| 特徴 | 基本的な CSPM | ディフェンダー CSPM |
|---|---|---|
| 資産インベントリ |
|
|
| データのエクスポート |
|
|
| Azure Workbooks を使用したデータの視覚化とレポート |
|
|
| Microsoft クラウド セキュリティ ベンチマーク |
|
|
| セキュリティ スコア |
|
|
| セキュリティに関する推奨事項 |
|
|
| 修復のためのツール |
|
|
| ワークフローの自動化 |
|
|
| エージェントレス コードからクラウドまでのコンテナの脆弱性評価 | - |
|
| Kubernetes のエージェントレス検出 | - |
|
| VM シークレットのエージェントレス スキャン | - |
|
| エージェントレス VM の脆弱性スキャン | - |
|
| AI セキュリティ体制管理 | - |
|
| 攻撃パス分析 | - |
|
| AWS CloudTrail インジェスト (プレビュー) | - |
|
| 重要な資産保護 | - |
|
| カスタム推奨事項 | - |
|
| データ セキュリティ体制管理 (DSPM)、機密データ スキャン | - |
|
| サーバーレスコンテナワークロードの検出と態勢管理 | - |
|
| 大規模な修復を推進するためのガバナンス | - |
|
| インターネット露出分析 | - |
|
| 外部攻撃面の管理 | - |
|
| 規制コンプライアンス評価 | - |
|
| セキュリティ エクスプローラーを使用したリスクハンティング | - |
|
| リスクの優先順位付け | - |
|
| サーバーレス保護 | - |
|
GCPクラウドセキュリティ態勢管理
Defender CSPMはGoogle Cloud Platform(GCP)プロジェクトと連携し、GCP環境向けのクラウドセキュリティ状況管理と脆弱性評価を提供します。 GCPプロジェクトをDefender for Cloudに接続する方法を学び、GCPの前提条件を確認しましょう。
GCP請求可能なリソース
以下の表は、GCPプロジェクトでDefender CSPMを有効にした場合の請求可能なリソースと除外事項を示しています:
| サービス | リソースの種類 | 除外 |
|---|---|---|
| Compute | コンピューティング インスタンス、インスタンス グループ | 非実行インスタンス |
| Storage | ストレージ バケット | Nearline/coldline/archive クラス、サポート対象外のリージョン |
| Databases | クラウド SQL インスタンス | – |
GCPの特徴と機能
以下の表は、Foundational CSPM および Defender CSPM で利用可能な GCP 機能をまとめたものです。
| 特徴 | 基本的な CSPM | ディフェンダー CSPM |
|---|---|---|
| 資産インベントリ |
|
|
| データのエクスポート |
|
|
| Azure Workbooks を使用したデータの視覚化とレポート |
|
|
| Microsoft クラウド セキュリティ ベンチマーク |
|
|
| セキュリティ スコア |
|
|
| セキュリティに関する推奨事項 |
|
|
| 修復のためのツール |
|
|
| ワークフローの自動化 |
|
|
| エージェントレス コードからクラウドまでのコンテナの脆弱性評価 | - |
|
| Kubernetes のエージェントレス検出 | - |
|
| VM シークレットのエージェントレス スキャン | - |
|
| エージェントレス VM の脆弱性スキャン | - |
|
| AI セキュリティ体制管理 | - |
|
| 攻撃パス分析 | - |
|
| 重要な資産保護 | - |
|
| カスタム推奨事項 | - |
|
| データ セキュリティ体制管理 (DSPM)、機密データ スキャン | - |
5 |
| 外部攻撃面の管理 | - |
|
| 大規模な修復を推進するためのガバナンス | - |
|
| インターネット露出分析 | - |
|
| 規制コンプライアンス評価 | - |
|
| セキュリティ エクスプローラーを使用したリスクハンティング | - |
|
| リスクの優先順位付け | - |
|
5 GCPの機密データ検出は クラウドストレージのみをサポートしています。
Azure Arc クラウド セキュリティ体制管理
Defender for Cloudは、Azure Arcを介して接続されたオンプレミスおよびハイブリッドリソースにクラウドセキュリティのポスチャー管理を拡張します。オンプレミスのマシンをAzure Arcに接続する方法を学び、ハイブリッドオンボーディングの前提条件を確認しましょう。 Foundational CSPMを使って 、資産インベントリ内のArc対応リソースを閲覧し、そのセキュリティ構成を評価し、 セキュリティ推奨 事項や セキュアスコアをレビューできます。
以下の基礎CSPM機能はArc対応リソースをサポートしています:
| 特徴 | 基本的な CSPM | ディフェンダー CSPM |
|---|---|---|
| 資産インベントリ |
|
|
| データのエクスポート |
|
|
| Azure Workbooks を使用したデータの視覚化とレポート |
|
|
| セキュリティ スコア |
|
|
| セキュリティに関する推奨事項 |
|
|
| 修復のためのツール |
|
|
| ワークフローの自動化 |
|
|
| Arc接続クラスタのコンテナレジストリ脆弱性評価 | - |
|
コンテナレジストリ脆弱性評価はレジストリアクセスが必要で、Defender for Containersを通じても利用可能です。
Defender CSPMは、サポートされるArc対応リソースに対して高度なポスチャー管理機能を追加します。 可用性はリソースの種類や接続環境によって異なります。 サポートされているArcシナリオやクラウドの可用性については、 クラウド環境のサポートマトリックスを参照してください。
DevOpsクラウドセキュリティの状況管理
DevOpsクラウドセキュリティポスチャー管理機能は、DevOps環境向けにコードからクラウドへのコンテキスト化、プルリクエスト注釈、セキュリティエクスプローラーのリスクハンティング、攻撃経路解析を提供します。
機能の利用可能性、前提条件、完全な機能マトリックス、権限要件については、 DevOpsセキュリティのサポートおよび前提条件を参照してください。 また、Azure DevOpsや外部レジストリの要件に直接アクセスすることもできます。
連携と外部態勢
Defender for Cloudは、パートナーシステムや外部セキュリティプラットフォームと統合され、統一されたセキュリティ体制とインシデント対応を実現します。
- 外部攻撃面管理(EASM):クラウドおよびオンプレミス環境におけるインターネット関連資産やセキュリティリスクを発見します。
- ServiceNow統合:Defender for Cloudの推奨事項をServiceNowと統合し、自動チケット作成およびインシデント管理(プレビュー)を実現します。
Azure クラウド サポート
商用および国内のクラウド カバレッジについては、 Azure クラウド環境のサポート マトリックスを参照してください。