マシン上の SQL サーバーのアラートをシミュレートする

Microsoft Defender for Cloudには、組織とセキュリティチームがデプロイを検証し、実際のセキュリティリスクを作成することなく、検出、対応、自動化のワークフローをテストするのに役立つ SQL アラートシミュレーション機能が用意されています。

シミュレーションは Sql-SimulateAlert というカスタムスクリプト拡張を使ってターゲットマシンにテレメトリレコードを注入します。ターゲットマシンにはAzure 仮想マシン(VM)やArc接続型マシンが含まれます。各シミュレートされたアラートには、ホスト、SQLインスタンス、データベース、プロセス情報などのランタイムコンテキストが含まれます。これらのアラートを使ってエンドツーエンドのセキュリティ対応フローを検証できます。このプロセスは安全で、あなたのリソースには影響しません。

次のセキュリティシナリオをシミュレートできます。

ブルートフォース認証
疑わしいアプリケーションからの認証
SQL インジェクション
主成分の異常
シェル外部ソースの異常
シェルの難読化

このシミュレーションは、外部の悪意のあるペイロードを実行することなく、カスタムスクリプト拡張機能を使用してコンピューター上でローカルに実行されます。生成されたすべてのアラートには、完全なマシンとリソースの識別子、SQL インスタンス名、データベース情報、プロセスの詳細、プレイブックとセキュリティ自動化ワークフローに必要なテレメトリデータが含まれます。

前提条件

Defender for Databases のマシン上の SQL Server プランを有効にします。
ターゲットマシン (SQL VM または Arc 接続マシン) が正常に保護されていることを確認します。
次のロールとアクセス許可が必要です。
- ARM デプロイを作成し、VM 拡張機能を書き込む: ターゲットサブスクリプションのセキュリティ管理者または共同作成者。
- リソース Microsoft.Compute/virtualMachines/write および Microsoft.Resources/deployments/* に対する共同作成者アクセス許可とリソースポリシーの共同作成者アクセス許可。
ユーザー名とパスワードを必要とするシミュレーションシナリオで SQL 認証を許可するように SQL Server インスタンスを構成する必要があります (一部のシミュレーションの種類では、ユーザー資格情報を受け入れます)。

注

運用アカウントではなく、適切なテスト SQL ユーザー名とパスワードを使用します。

アラートのシミュレーション

SqlAlertSimulationClientは、サブスクリプション、リソースグループ、マシン名、場所などのターゲットリソースから詳細を読み込みます。

その後、マシン上でカスタムスクリプト拡張をデプロイするAzure Resource Manager(ARM)テンプレートを構築します。この拡張機能はPowerShellコマンドを実行し、選択した攻撃設定でDefender for SQLシミュレーションヘルパーを起動させます。ヘルパーはアラートデータを作成し、それをDefender for Cloudに送信します。これらのアラートは自動化および応答コネクタをトリガーします。