Microsoft Defender for Cloud のセキュリティ ポリシーでは、Azure、アマゾン ウェブ サービス (AWS)、Google Cloud Platform (GCP) 全体のセキュリティについてクラウド リソースを評価する方法を定義します。 ポリシーは、Defender for Cloud がリソース構成を評価し、潜在的なセキュリティ リスクを特定するために使用する標準、制御、および条件を指定します。
各ポリシーには、環境に適用される制御と評価ロジックを定義する セキュリティ標準が含まれています。 Defender for Cloud は、これらの標準に照らしてリソースを継続的に評価します。 リソースが定義されたコントロールを満たしていない場合、Defender for Cloud は、問題とその修復に必要なアクションを説明するセキュリティの推奨事項を生成します。
これにより、Defender for Cloud はリソースを継続的に評価し、組織のセキュリティ体制を向上させることができます。
セキュリティ標準
Defender for Cloud のセキュリティ ポリシーには、いくつかの種類の標準を含めることができます。
セキュリティ ベンチマーク – Microsoft クラウド セキュリティ ベンチマーク (MCSB) や、基本的なベスト プラクティスを定義するクラウド プロバイダー ベンチマークなどの組み込みのベースライン。
規制コンプライアンス標準 – Defender for Cloud プランを有効にするときに利用できる業界およびコンプライアンス プログラムのフレームワーク。
カスタム標準 – Defender for Cloud の評価を内部セキュリティ ポリシーに合わせて調整するための組み込みまたは カスタムの推奨事項 を含む組織が定義した標準。
Defender for Cloud のセキュリティ標準の詳細について説明します。
セキュリティに関する推奨事項
セキュリティに関する推奨事項は、セキュリティ標準に対する評価から生成される実用的な分析情報です。 各推奨事項には次のものが含まれます。
- 問題の簡単な説明
- 修復の手順
- 影響を受けるリソース
- 重大度とリスク要因
- 攻撃パス コンテキスト (使用可能な場合)
Defender for Cloud リスク モデルは、露出、データの機密性、横移動の可能性、悪用可能性に基づいて推奨事項に優先順位を付けます。
Important
リスクの優先順位付けは、セキュリティ スコアには影響しません。
カスタム推奨事項
Kusto クエリ言語 (KQL) を使用して、独自の評価ロジックを定義するカスタム推奨事項を作成できます。 この機能は、 Defender CSPM プラン が有効になっているすべてのクラウドで使用できます。
カスタム推奨事項はカスタム標準内に作成され、必要に応じて追加の標準にリンクすることもできます。 各推奨事項には、クエリ ロジック、修復手順、重大度、適用可能なリソースの種類が含まれます。 作成後、カスタム推奨事項は、規制コンプライアンス ダッシュボードに組み込みの推奨事項と共に表示され、全体的なセキュリティ体制評価に貢献します。
カスタムレコメンデーションの作成について詳しくは、こちらをご覧ください。
Example
MCSB には、想定されるセキュリティ構成を定義する複数のコントロールが含まれています。 これらの制御の 1 つは、"ストレージ アカウントは仮想ネットワーク 規則を使用してネットワーク アクセスを制限する必要があります" です。
Defender for Cloud は、リソースを継続的に評価します。 このコントロールを満たしていないものが見つかると、非準拠としてマークされ、推奨事項がトリガーされます。 この場合のガイダンスは、仮想ネットワーク規則で保護されていない Azure Storage アカウントを強化することです。
関連するコンテンツ
- セキュリティ標準と MCSB の詳細を確認します。
- セキュリティに関する推奨事項を確認する方法について説明します。
- クラウド環境の 標準を割り当てて管理する 方法について説明します。
- 規制コンプライアンス ダッシュボードでコンプライアンス体制を監視および改善します。
ポスチャーポリシーは、どのセキュリティポスチャー推奨事項が評価対象となるかと、それらが適用される範囲を定義します。 組織は異なる環境でポリシーを設定し、推奨評価を自社のビジネス、コンプライアンス、運用要件に合わせることができます。
なぜ姿勢ポリシーを使うのか?
ポスチャーポリシーは、組織がMicrosoftのデフォルトのセキュリティ推奨事項を自社のセキュリティ、コンプライアンス、運用要件に合わせて調整するのに役立ちます。 Microsoftのベースラインは強力な出発点を提供しますが、組織はしばしば、どのセキュリティルールを評価すべきかを定義したり、ルールパラメータをカスタマイズしたり、異なる環境に応じた推奨カバレッジを調整したりするために、追加の柔軟性を必要とします。
ポスチャー ポリシーを活用することで、セキュリティチームは機密性の高い環境により厳格な要件を適用し、組織固有のルールやコンプライアンス駆動のルールを追加し、リスクの低い環境での不要なノイズを削減できます。 これにより、推奨事項がビジネスの優先事項、規制義務、各環境に期待されるセキュリティ体制と整合し、より関連性が高く実行可能な結果が得られます。
始める前の準備
環境がDefenderで管理されているか確認してください
Defenderで作成されたポリシーは、Defenderで管理されている環境にのみ適用されます。 管理場所は以下のいずれかの方法で確認できます:
推奨事項エクスペリエンスから、Managed in プロパティを確認し、値が Defender であることを確認しましょう。
クラウド環境管理から、クラウド環境管理ページを開き、該当する環境がDefenderで管理されているか確認してください。
環境がAzureで管理されている場合、その環境をDefenderに接続し、Defenderを通じてポスチャーポリシーの管理を続けるか、該当する設定をAzureで管理し続けることができます。
Plans
ポスチャーポリシーは、適格なMicrosoft Defenderプランが有効になっている環境でのみ利用可能です。
- 有効な適格プランが存在する環境のみをポリシースコープとして選択できます。
- 有効な対象プランが 1 つもない環境はポリシー割り当てに利用できません。
- 組織全体でプランが有効になっていなければ、推奨ポリシー体験は利用できません。
Permissions
Microsoft Defender 統一ロールベースアクセス制御(RBAC)は、推奨ポリシーへのアクセスを制御します:
| ロールまたはアクセス許可 | アクセス |
|---|---|
| グローバル管理者またはセキュリティ管理者 | テナント全体のポリシーを含む、既存および将来のすべてのスコープでポリシーの閲覧、作成、編集、有効化、無効化、削除が可能です。 |
| コアセキュリティ設定(管理) | ユーザーに割り当てられたスコープのポリシーを作成、編集、有効化、無効化、削除が可能です。 管理権限はポリシーに含まれるすべてのスコープに必要です。 |
| コア セキュリティ設定 (読み取り) | 割り当てられたスコープのポリシーや設定は確認できますが、変更はできません。 |
ポリシー管理を委任するには、Microsoft DefenderポータルのSystem>Permissions>Microsoft Defender XDR>Rolesに移動し、必要な権限とスコープを持つロールを作成または更新してください。
ポリシーの種類を理解する
DefenderポータルにはMicrosoft管理のベースラインポリシーが含まれており、カスタム推奨ポリシーもサポートしています。
| ポリシーの種類 | Purpose | サポートされている管理操作 |
|---|---|---|
| MDCの基準方針 | 組織のセキュリティ体制向上に焦点を当てた、Microsoft推奨の標準セキュリティルールセットを提供します。 | ポリシーを有効化または無効化し、サポート範囲やパラメータを編集できます。 ポリシーは削除や名前の変更ができず、ルールやカテゴリも変更できません。 |
| カスタム ポリシー | 選択されたルール、カテゴリ、範囲、パラメータを組み合わせて組織固有のセキュリティ要件を定義します。 | 閲覧、編集、有効化、無効化、削除。 |
MDCの基準方針
MDCベースラインポリシーは、Microsoftが管理するポリシーで、Microsoftのセキュリティ調査、脅威インテリジェンス、ベストプラクティスに基づく推奨されるセキュリティ体制ルールのセットを提供します。 これは、組織が一般的な攻撃経路、設定ミス、悪用可能なリスクを特定し、削減することでセキュリティ体制を強化することを目的としています。
主に規制要件を満たすために設計されたコンプライアンス重視のフレームワークとは異なり、MDCベースラインポリシーはセキュリティ成果の向上とリスクの低減に焦点を当てています。 最小限の設定で即座にセキュリティ態勢の価値を提供し、ほとんどの組織にとって推奨される出発点となります。
MDCベースラインポリシーの主な特徴:
- Microsoftは、進化する脅威、セキュリティ調査、ベスト プラクティスを反映するよう、ポリシーの内容を管理し、継続的に更新しています。
- このポリシーはMicrosoftが管理しており、カスタマイズは意図的に制限されています。 組織はルールパラメータの変更、割り当て範囲の変更、ルールのパラメータの編集、ポリシーの有効化または無効化が可能ですが、基盤となるMicrosoft推奨のセキュリティ制御セットはMicrosoftによって管理されます。
- ポリシーは削除できず、必要でない場合のみ無効化可能です。 ポリシーを利用可能にしておくことで、組織はMicrosoft推奨のセキュリティベースラインを再作成や再構成を行う必要なく簡単に再有効化できます。
デフォルトの割り当て
組織がセキュリティ価値を即座に実現できるよう、MDCベースラインポリシーはデフォルトで すべての接続環境 に割り当てられています。
- 既存の接続環境は自動的にポリシーの範囲に含まれます。
- 新たに接続された環境は自動的にポリシーに割り当てられます。
- 組織は必要に応じて割り当てを修正し、ポリシーを選択した環境に限定することができます。
カスタム ポリシーの作成
露出管理>ポリシーに移動し、ポリシーの作成を選択してください。
作成プロセスには主に3つの選択が含まれます。
| 作成セクション | 定義する内容 | 重要なガイダンス |
|---|---|---|
| 詳細と範囲 | ポリシー名、記述、そしてポリシーが適用されるDefender管理環境。 | 同じセキュリティ要件に従う環境のみを選択してください。 すべての接続環境に適用されるポリシーを作成できるのはグローバル管理者とセキュリティ管理者のみです。 |
| あらかじめ定められたルールとカテゴリー | ルールは推奨事項を生成する個別のセキュリティチェックです。 サポートするルールパラメータを直接設定したり、個々のルールを有効化・無効化したり、組織の要件に合わせてポリシーをカスタマイズしたりできます。 | あらかじめ定められたルールを使って、組織のビジネス、セキュリティ、コンプライアンス要件に関連するセキュリティチェックを選択します。 サポートされているルール パラメーターを設定し、推奨事項を内部方針、運用ニーズ、リスク許容レベルに整合させつつ、不要なノイズを減らし、環境にとって最も重要な検出結果に焦点を当てます。 |
| 追加カテゴリ | カテゴリーは共通のセキュリティ成果を中心にまとめたMicrosoft定義の推奨事項の追加セットを提供します。 あらかじめ定義されたルールとは異なり、カテゴリはカスタマイズや設定ができません。 組織は、ポリシーにカテゴリーを含めるか除外するかを選べるだけです。 カテゴリ選択は加算的であり、あらかじめ定義されたルールの選択には影響しません。 | Microsoftは、あらかじめ定義されたルールとカテゴリの両方を使うことを推奨しています。 事前定義されたルールは細かな管理とカスタマイズを提供し、カテゴリはより広範なカバーを提供します。 カテゴリーはあらかじめ定められたルールを補完するものであり、置き換えるものではありません。 |
ポリシー作成後、Microsoft Defenderは該当するセキュリティ評価を実行します。 選択した範囲内の資産がポリシー要件を満たしていない場合、新規または更新された推奨事項が作成されます。 ポリシーの処理や推奨事項の更新は即時ではありません。
コンプライアンス ポリシー
Microsoftはコンプライアンス関連の推奨事項を提供し、HIPAA、PCI DSS、ISO 27001、NISTなどの一般的な規制フレームワークに推奨事項をマッピングしています。 しかし、推奨ポリシーには特定のコンプライアンスフレームワークのための既製品ポリシーは含まれていません。
このアプローチにより、組織に関係のない多数の事前定義されたコンプライアンスポリシーを避けることで、ポリシー管理を効率化できます。 代わりに、組織は従う規制枠組みにマッピングされた推奨事項を選択することで、コンプライアンス重視のターゲットを絞ったポリシーを作成できます。 これにより、特定の要件に合わせたコンプライアンスポリシーを柔軟に構築しつつ、不要な複雑さや管理上の負担を軽減できます。
コンプライアンス重視の方針を作成するために:
- 新しいポリシーを作成します。
- 選択したコンプライアンスフレームワークおよび規制要件を満たすために必要な環境にポリシーを割り当てます。
- ルールを目的の規制フレームワークでフィルターしてください。
- すべてのルールを選択してください。
詳細については、「 規制遵守基準の割り当て」をご覧ください。
ルール管理
特定の推奨事項がどのように構成され、組織全体で適用されているかを理解する必要がある場合は、ルール管理を活用してください。 このビューは、複数のポリシー間を移動せずに、ルール割り当ての追跡、ポリシー関係の理解、ルール設定の管理を一つの場所で提供することで管理を簡素化します。
ポリシーの効果を理解する
ポスチャポリシーは、選択された資産に対してどのセキュリティチェックが評価されるかを決定します。 有効化されたポリシーで定義された要件を満たさない資産の場合、Microsoft Defenderはそのセキュリティギャップを埋めるための推奨を生成します。
同じ資産に複数のポリシーが適用される場合、その資産が少なくとも1つの適用されるポリシーの要件を満たしていないと、推奨が生成されます。 政策評価が異なる場合、最も厳しい結果が優先されます。
Defenderへの移行
組織は Azure ポータルと Microsoft Defender ポータルの両方で、Managed in Defender への移行期間中、ポスチャー ポリシーやセキュリティ標準の管理を継続できます。
推奨事項はすべての適用されるポリシー ソースで評価され、両ポータルで一貫して表示されます。 これにより単一の推奨キューが提供され、同じセキュリティ要件が複数箇所で設定されている場合に重複する推奨が生成されるのを防ぎます。
ポリシーの所有権
ポリシーの所有権は、ポリシーまたは標準が作成されたポータルに残ります:
- Azureで作成されたセキュリティ標準やポリシーは引き続きAzureで管理されます。
- Defenderで作成されたポリシーは、Microsoft DefenderのPostureポリシーページから管理されます。
- ポリシーの定義はAzureとDefender間で同期やコピーはされません。
- AzureおよびDefenderの設定で生成された推奨事項は、サポートされている両方のエクスペリエンスで表示されます。
推奨事項の管理
推奨事項に関する ポリシー ソース の情報を利用して以下を行います:
- 推薦がAzure、Defender、あるいは両方によるものかを理解してください。
- 適切なポリシー管理エクスペリエンスに移動します。
- 推奨を担当するポリシー構成を更新、無効化、または削除してください。
既存環境におけるベストプラクティス
Microsoftは可能な限りDefenderでポスチャーポリシーを管理し、現在Defenderでサポートされていないシナリオ（Deny 効果やカスタム推奨事項が必要なポリシーなど）にのみAzureセキュリティポリシーを使用することを推奨しています。
運用上のオーバーヘッドを減らし、ポリシー管理の重複を避けるために、Defenderで管理される環境で不要となったAzureのセキュリティ標準を無効にしてください。
Azureのみの機能が必要なシナリオでは、それらのコントロールのみを含む専用のAzureセキュリティ標準を作成しましょう。 このアプローチにより、組織はDefenderで推奨事項の管理を集中管理しつつ、同等のDefender体験を持たない機能に対してはAzureポリシーを引き続き使用できます。
新規サブスクリプションのベストプラクティス
新しいAzureサブスクリプションはデフォルトでAzureのセキュリティ標準を継承します。 Microsoft Defenderを主要なポスチャー管理体験として採用する際は、新たに作成されたサブスクリプションに割り当てられたAzure標準を確認し、Azureで管理するつもりのない標準は無効にしてください。
Azure標準が有効である限り、Defender管理のポリシーと並行して推奨を生成し続けることができます。 推奨事項は単一の推奨体験として表示され、ポリシーソースフィールドを使って推奨がAzureセキュリティ標準から来ているのか、Defenderの姿勢ポリシーから来ているのか、あるいはその両方から来ているのかを識別できます。
基本的な CSPM
Microsoft Defenderには無料の基礎CSPMプランは含まれていません。 代わりに、単一のDefender CSPMプランを提供しており、これは有料のサービスであり、ポスチャ管理向けに Microsoft が推奨するエクスペリエンスです。
Defenderが管理する環境でポスチャー推奨を継続したい組織は、Azureポータルからポリシーやセキュリティ標準を管理し続けても、Defender CSPMを有効にしなければなりません。
以前は Azure Foundational CSPM に依存していた組織は、ポリシーやセキュリティ標準の管理が Azure ポータル内に残っている場合でも、ポスチャーに関する推奨事項を引き続き受け取るには、Defender CSPM を有効にする必要があります。 Defender CSPMがなければ、Defenderで管理される環境に対してポスチュール推奨は生成されません。
制限事項
Microsoft Defenderポータルにおけるポスチャーポリシー管理には以下の制限があります。
- サポートされているのはAzure環境のみです。
- 既存のAzureポリシーは引き続き尊重されますが、自動的にDefenderポータルに移行されるわけではありません。
- カスタム推薦の作成は現在Defenderではサポートされていません。 カスタム推奨はAzureでも引き続き管理でき、その結果得られた推奨はAzureとDefenderの両方で確認できます。
- Defender のポスチャ ポリシーは現在、監査ベースの推奨事項評価のみをサポートしています。 否認のようなポリシー効果はDefenderではサポートされておらず、引き続きAzure Policyで管理しなければなりません。
- 推薦の更新は即時ではなく、追加の処理時間が必要です。 Microsoftは、セキュリティ体制管理エクスペリエンス全体で処理時間の改善を続けています。
なぜMicrosoft Defenderでポリシー管理を使うのか?
Azureは既存のポリシー設定機能を引き続きサポートし、Microsoft Defenderはクラウド、エンドポイント、アイデンティティ、その他のDefender管理ワークロード全体で統一されたポスチャー管理体験を提供します。 これにより、セキュリティチームは単一の場所からセキュリティ体制要件、推奨事項、エクスポージャーに関する分析情報、関連するガバナンス決定を管理できます。
組織はポスチャーポリシー管理をMicrosoft Defenderに移行し、以下の恩恵を受けることができます:
- トップダウン型ポリシー管理:セキュリティ要件を中央集権で定義し、必要な環境全体で一貫して適用します。
- 管理上の負担削減:再利用可能なポリシーは繰り返しの設定を減らし、環境全体でのポスチャー管理を簡素化します。
- 柔軟なセキュリティ範囲:Azureリソース階層の境界に縛られずに、Defender管理環境間でポリシーを適用できます。
- Microsoft管理ベースライン: まずMDCベースラインポリシーから始め、セキュリティ態勢の改善と露出の軽減に焦点を当て、ビジネス、セキュリティ、またはコンプライアンス要件が異なる場合にのみカスタムポリシーを追加します。
- 細かなセキュリティ権限:Microsoft Defender Unified RBACを使用して読み取り権限と管理権限を分離し、ポリシー管理を特定のセキュリティチームに委任します。
- クロスワークロード ガバナンス: クラウド、エンドポイント、ID、その他のサポートされている Defender ワークロード全体にわたって、共通のエクスペリエンスを通じてセキュリティ体制の要件を管理します。
- 推薦処理の改善:ポリシーおよび推薦処理時間はDefenderの体験に合わせて最適化され、今後も改善され続けています。