Microsoft Defender for Cloud は、組織のセキュリティ態勢を改善し、リスクを軽減するための、セキュリティに関する推奨事項を提供します。 リスク削減の重要な要素は、ビジネス環境に適した機械を硬化させることです。 Azure Machine Configuration extensionとDefender 脆弱性の管理を使えば、オペレーティングシステム(OS)のベースラインミス設定を評価・修正できます。
評価 (Azure マシンの構成拡張機能)
Defender for Cloudは、組み込みのAzureポリシーイニシアチブを使ってセキュリティ設定を評価・適用します。 デフォルトの取り組みはMicrosoft Cloudセキュリティベンチマーク(MCSB)です。
MCSB には、Windows および Linux オペレーティング システムのコンピューティング セキュリティ ベースラインが含まれています。
これらのOSの基準推奨は、Defender for Cloudの無料セキュリティ体制機能には含まれていません。
この推奨事項は、Defender for Servers プラン 2 が有効な場合に使用できます。
Defender for Servers Plan 2を有効にすると、サブスクリプションに関して関連するAzureポリシーも有効にします。
- Windows マシンは Azure のコンピューティング セキュリティ ベースラインの要件を満たしている必要がある
- Linux マシンは Azure のコンピューティング セキュリティ ベースラインの要件を満たしている必要がある
これらのポリシーを解除しないでください。 マシンデータを収集するマシン設定拡張機能は使えません。
データ収集
Azureマシン構成拡張(旧称Azure Policyゲスト構成)はマシン上で動作し、マシン情報を収集して評価を行います。
マシンの構成拡張機能のインストール
マシン設定拡張機能のインストール方法は以下の通りです:
- Azure:Azureマシンでは、推奨の「ゲスト設定拡張機能をマシンにインストールすべき」をリメディダリングして拡張機能をインストールします。
- AWS/GCP:AWSやGCPマシンでは、 AWS または GCP コネクターでArcプロビジョニングを選択すると、マシンの設定がデフォルトでインストールされます。
- オンプレミス:オンプレミスマシンの場合、オンプレミスのVMをAzure Arc対応VMとしてオンボードすると、マシンの設定がデフォルトで有効になります。
- Azure VM:Azure 仮想マシン(VM)のみで、Arc対応のVMではない場合、仮想マシンのゲスト構成拡張機能をシステム割り当て管理型IDでデプロイすべきだという推奨をリメディして、マシンに管理IDを割り当てます。
含まれていないもの
この価格には、Defender for Cloud以外のマシン設定拡張機能が提供する他の機能は含まれていません。 これらの機能はAzure Policyのマシン構成料金の対象となります。 たとえば、修復やカスタム ポリシーなどです。 詳細については、Azure Policyのマシン構成料金の詳細をご覧ください。
評価 (Microsoft Defender 脆弱性管理)
Defender for CloudはMicrosoft Defender for EndpointおよびMicrosoft Defender 脆弱性の管理と統合されています。 この統合により、マシンは脆弱性保護およびエンドポイント検知・応答(EDR)機能を提供します。
Defender 脆弱性の管理との統合の一環として、セキュリティベースライン評価を提供します。
セキュリティベースライン評価はカスタムベースラインプロファイルを使用します。 各プロファイルはデバイス設定のテンプレートであり、比較のためのベンチマークです。
サポートシステムと要件
セキュリティベースライン評価には以下の要件および制限が適用されます。
Defender 脆弱性の管理のセキュリティ ベースライン評価プロファイルに対するデバイスの評価は、現在パブリック プレビューで利用できます。
Defender for Servers Plan 2を有効にし、評価したいマシンでDefender for Endpointエージェントを実行してください。
Assessmentはセキュリティベースラインプロファイルを実行するマシンをサポートしています:
- windows_server_2008_r2
- windows_server_2016
- windows_server_2019
- windows_server_2022
推奨事項の確認
セキュリティベースライン評価による推奨事項を確認するには、「 機械が安全に設定されるべき(MDVM駆動)」と検索し、すべてのリソースの推奨事項を確認してください。