本書はガバメントクラウド(Azure)における発見的統制の実装方式および活用方法を理解するための文書である。 ## 発見的統制の全体像発見的統制とはリソースが不正な状況になっていないかを継続的に監視し修正する機能である。ガバメントクラウド(Azure)では、Microsoft Defender for Cloudを使用し、発見的統制を実現している。また、Microsoft Defender for Cloudにより検出された通知の必要があるアラート、イベント、文字列を発見した場合は、メール、通知システムなどによって利用システム管理者に通知が行われる。 ![図01:発見的統制の全体像](/images/azure_description-of-detective-controls-01-001.png) **図01:発見的統制の全体像** ## 統制内容発見的統制に抵触する操作、設定が行われた場合、発見的統制を構成するサービスはそれを検知し、ダッシュボードへの表示と利用システム管理者への通知を行う。本項ではサービスごとの統制内容を記述する。 ### Microsoft Defender for Cloud - クラウドセキュリティ態勢管理ガバメントクラウド(Azure)では、無償で利用できるMicrosoft Defender for Cloudの**基本的なCSPM機能**を利用し、継続的なセキュリティ態勢モニタリングを行う。有償プランのDefenderクラウドセキュリティ態勢管理 (CSPM)を利用すると、業界標準の規制コンプライアンス、ガバナンス、攻撃パス分析、マシンのエージェントレススキャンによる脆弱性評価、機密データ検出などの機能が提供されるため、有償プランのDefenderクラウドセキュリティ態勢管理 (CSPM)の利用を推奨する。 - [クラウドセキュリティ態勢管理(CSPM)] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/concept-cloud-security-posture-management 以下のセキュリティ基準が有効化されており、セキュリティ基準内のコントロールは全て有効化されている。 1. Microsoftクラウドセキュリティベンチマーク v1 2. CIS Micrsoft Azure Foundations Benchmark 1.4.0 | No | 発見的統制の設定内容 | 実装方法 | 名前 |説明|効果|パラメータ|割り当てスコープ|備考| | --- | --- | --- | --- | --- | --- | --- | --- | --- | | 1 | Microsoftクラウドセキュリティベンチマーク
の発見的統制のデフォルト設定 | Azure Policy | ASC Default |Microsoft Defender for Cloudが監視するポリシーのデフォルトセットです。
Microsoft Defender for Cloud へのオンボーディングの一部として自動的に割り当てられます。
デフォルトの割り当てには、監査ポリシーのみが含まれています。
詳細については、https://aka.ms/ascpolicies を参照してください。|Audit
AuditIfNotExists|---|サブスクリプション|Microsoft Defender for Cloudを有効化した際に
自動で割り当てられます。|Microsoft Defender for Cloudを有効化した際に自動で割り当てられます。
利用者側で適用除外が可能です。| | 2 | CIS Microsoft Azure Foundations Benchmark
v1.4.0の発見的統制のデフォルト設定 | Azure Policy | CIS Microsoft Azure Foundations Benchmark
v1.4.0(発見的統制)|CIS ベンチマークは、システムを安全に構成するための構成基準およびベストプラクティスです。
これらのポリシーは、CIS Microsoft Azure Foundations Benchmark v1.4.0 コントロールのサブセットに対応しています。
詳細については、https://aka.ms/cisazure140-initiative を参照してください。|Audit
AuditIfNotExists
Manual|---|サブスクリプション|利用者側で適用除外が可能です。| ※管理組織側の判断でセキュリティ基準の最新化、一部ルールの無効化が行われる可能性がある。
　上記2つのAzure Policyについて、コンプライアンスの状態が「準拠していない」と表示されているポリシーで、利用組織側が対応不要と判断する場合、任意で適用除外を作成可能である。 - [Azureドキュメント：Microsoft クラウドセキュリティベンチマーク (v1) の概要] https://learn.microsoft.com/ja-jp/security/benchmark/azure/overview - [Azureドキュメント：CIS Microsoft Azure Foundations Benchmark 1.4.0 規制コンプライアンスの組み込みイニシアチブの詳細] https://learn.microsoft.com/ja-jp/azure/governance/policy/samples/cis-azure-1-4-0 なお、有償プランのDefenderクラウドセキュリティ態勢管理 (CSPM) の機能や価格は以下を参照。 - [Microsoft Defender for Cloud の価格] https://azure.microsoft.com/ja-jp/pricing/details/defender-for-cloud/ - [クラウドセキュリティ態勢管理 (CSPM)] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/concept-cloud-security-posture-management ### Microsoft Defender for Cloud - クラウドワークロードの脅威検知 Microsoft Defender for Cloudのクラウドワークロードの脅威検知機能は有償プランのため、ガバメントクラウド(Azure)の既定値としては無効状態とする。Azure上のワークロードをセキュリティ脅威から保護するため、有効化することを推奨する。Microsoft Defender for Cloudクラウドワークロードの脅威検知機能の料金および機能の詳細は以下を参照。なお、最初の30日間はすべての機能を無料で利用可能。 - [Microsoft Defender for Cloud の価格] https://azure.microsoft.com/ja-jp/pricing/details/defender-for-cloud/ - [Microsoft Defender for Cloud とは] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-cloud-introduction 有償プランは、基本的にサブスクリプションレべルで有効化する。Defender for StorageやDefender for SQLはリソースレベルおよびサブスクリプションレベルで有効化できるサービスになっている。有償プランである**強化されたセキュリティ機能**に関する詳細内容は以下を参照。 - [クイックスタート: 強化されたセキュリティ機能を有効にする] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/enable-enhanced-security ![図02:有償プランの有効化例](/images/azure_description-of-detective-controls-02.png) **図02:有償プランの有効化例** Microsoft Defende for Cloudで有効化可能なクラウドワークロードの脅威検知機能は以下の通り。 - [Microsoft Defender for Servers] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-servers-introduction - [Microsoft Defender for Storage] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-storage-introduction - [Microsoft Defender for SQL] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-sql-introduction - [Microsoft Defender for Containers] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-containers-introduction - [Microsoft Defender for App Service] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-app-service-introduction - [Microsoft Defender for Key Vault] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-key-vault-introduction - [Microsoft Defender for Resource Manager] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-resource-manager-introduction - [Microsoft Defender for DNS] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-dns-introduction - [Microsoft Defender for open-source relational databases] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-databases-introduction - [Microsoft Defender for Azure Cosmos DB] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/concept-defender-for-cosmos ## 発見時のアクション発見的統制によって検出された結果に対し、利用システム管理者は適切な対処を行う。本項では通知の受信、または日次/週次チェックによる事象の発見の際のワークフロー及びサービスごとの検出結果に対する対応について記述する。 - メールまたは通知システムからの通知を受信した場合、通知アラートに記載の関連エンティティや各サービスの状態を確認する。また、Microsoft Defender for Cloudの推奨事項から、推奨事項の重要度や異常なリソースを把握する。 - 緊急性が低い事象の場合、通知は行われない。そのため、日次/週次でMicrosoft Defender for Cloudの推奨事項の確認を行い、新規発生したリソースの異常を発見した場合は対応の要否、検出結果の抑止などの対応を行う。対応が必要な場合は、通知による発見時と同様、詳細を確認して対応を行う。 - 各省庁ごとのワークフローを策定する際の参考として、以下に事象発生時からクローズまでのワークフロー例を示す。 ![図03:事象発生時のワークフロー例](/images/azure_description-of-detective-controls-03.png) **図03:事象発生時のワークフロー例** - Microsoft Defender for Cloud推奨事項の確認時、検出結果の重要度によって対応を変える必要がある。以下に、ワークフロー例から重要度による変化がある部分を抜粋した対応パターンを示す。尚、パターン中の対応優先度[高][中][低]の詳細は後述の**事象発見時の重要度別対応詳細** を参照。 ![図04:重要度別対応パターン](/images/azure_description-of-detective-controls-04.png) **図04:重要度別対応パターン** ### 事象発見時の重要度別対応詳細 | No | 対応優先度 | Microsoft Defender for Cloudの重要度 | 対応方針 | | --- | --- | --- | --- | | 1 | 低 | LOW | LOWはフォレンジック情報の収集に失敗した場合などが該当。侵害に直接つながらないため、対応の必要があるかどうか判断する。
対応の必要があると判断された場合は、対応優先度[中]と同様の対応を行う。対処不要であれば検出結果の抑止設定を行い、以後通知されないようにする。 | | 2 | 中 | MEDIUM | 転送中のデータの暗号化が欠如している場合などが該当。高度な中間者攻撃など、やや難しい攻撃手法となるが、脅威シナリオが成功すると、一部のデータが侵害される可能性がある。
チケットなどで管理し、週次定例などで定期的に対応を検討する。
緊急性が高いと判断されたものは臨時メンテナンスで対応し、それ以外は定期メンテナンス、新バージョンのリリース時などのタイミングで対応する。 | | 3 | 高 | HIGH | HIGHは仮想ネットワークやパブリックIPアドレスに接続するネットワークセキュリティグループがインバウンドおよびアウトバウンドトラフィックに対して開かれている場合などが該当。
MIDIUMに比べ、簡単な攻撃手法で侵害が可能なため、重要度が高くなる。
HIGHの結果への対応は、**緊急性が高く、脆弱性や攻撃の痕跡の発見、設定の不備などの種類にかかわらず、可及的速やかに対処する必要がある。**
臨時メンテナンスを実施し、CDKやプログラムのコード修正及びリリースなどの対処を行う。**
対処が遅れた場合、対処範囲の拡大、より上位層へのエスカレーションの発生など、発見時よりさらに深刻な事態に進行する恐れがある。** | **表001 事象発見時の重要度別対応詳細** ### Microsoft Defender for Cloud - クラウドセキュリティ態勢管理発見時のアクション Microsoft Defender for Cloudのクラウドセキュリティ態勢管理は、**推奨事項** にスキャン結果が表示され、各リソースに推奨されるセキュリティ設定の準拠状態の把握に役立つ。推奨事項の確認方法は以下を参照。 - [セキュリティ態勢を改善できる推奨事項を見つける] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/review-security-recommendations 推奨事項に準拠していないリソースは異常なリソースとして表示されるため、各推奨事項のRemediation stepsを参照してリソースの設定変更を実施する。対処が不要なリソースの場合は、以後の通知を抑止するため、リソースに対する適用除外の設定を実施する。適用除外設定は以下を参照。 - [セキュリティスコアからのリソースと推奨事項の除外] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/exempt-resource ### Microsoft Defender for Cloud - クラウドワークロード脅威検知発見時のアクション Microsoft Defender for Cloudの有償プランであるクラウドワークロード脅威検知は、**セキュリティ警告**に検出した脅威をアラートやインシデントとして表示する。有償プラン利用時に各リソースで検出するアラートは以下を参照。 - [セキュリティアラート - リファレンスガイド] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/alerts-reference Microsoft Defender for Cloudのセキュリティ警告より、検出したアラートやインシデントの詳細を確認する。 - 確認後の第一段階として、まず対処が必要な事象かどうかを判断する。対処が不要な場合、その理由を明記した管理簿などを作成し、以後対応しないよう管理する。 - 対応が必要である場合、または調査を行わなければ対応の要否が不明の場合は、事象の発生しているリソースの確認や、セキュリティアラートの**アクションの実行**からログの調査や脅威の軽減を参照し、原因と対応方法を特定する。 ## 通知発見的統制に抵触するアクション、設定が検出された場合、あるいは通知が必要なイベントや文字列が検出された場合、利用システム管理者に通知が行われる。本項では通知に関する方式や設定について記述する。 ### 通知受け取り方式例通知はメール、通知システムで行われる。 - 通知は以下の条件に該当する事象が発生した場合に行われる。 | No | サービス名 | 通知対象 | | --- | --- | --- | | 1 | Microsoft Defender for Cloud | 重要度が高の推奨事項 | **表002 通知受け取り方式例** ### 通知先設定(Azure Logic Apps) Microsoft Defender for Cloud推奨事項の異常リソース検知のリアルタイム通知を実現するため、Azure Logic Appsを利用する。Microsoft Defender for Cloudで重要度が高の推奨事項の異常リソース検出をトリガーに、メールや通知システムへ通知するワークフローを作成する。セキュリティアラート通知のワークフロー作成方法は以下を参照。 - [クラウドトリガーに対する Microsoft Defender への応答を自動化する] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/workflow-automation ![図05:アラート通知概要](/images/azure_description-of-detective-controls-05-001.png) **図05:アラート通知概要** ### Microsoft Defender for Cloud の電子メール通知先設定 Microsoft Defender for Cloudは、クラウドワークロード脅威検知機能により検出したセキュリティ警告を電子メール通知する機能がある。 - [クイックスタート: セキュリティアラートの電子メール通知を構成する] https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/configure-email-notifications Microsoft Defender for Cloudの電子メール通知機能は、アラート疲れを防ぐために送信メールの量を制限する仕様となっている。そのため、Defender for Cloudの電子メール通知機能は利用しない。 - 重要度が高のアラートは、1 日あたり約 4 通のメール - 重要度が中のアラートは、1 日あたり約 2 通のメール - 重要度が低のアラートは、1 日あたり約 1 通のメール ## 改訂履歴 | 改訂年月日 | 改訂理由 | | ---------- | -------- | | 2023年06月30日 | 新規作成 | | 2024年02月02日 | サービスの名称変更通知の削除
Azure Firewallの追加(発見的統制の全体像) | | 2024年07月19日 |図01:発見的統制の全体像の記載内容を拡充| | 2024年09月02日 |図05:アラート通知概要の図を修正| |2024年10月24日 |表記揺れの修正
Microsoft Defender for Cloud - クラウドセキュリティ態勢管理にセキュリティ基準の記載内容を拡充|

発見的統制内容説明(Azure編)