Azure でのゼロ トラスト セキュリティ

ゼロ トラストは、侵害を想定し、制御されていないネットワークから送信されたかのように各要求を検証するセキュリティ戦略です。 この記事では、ゼロ トラストの原則とそれがAzureにどのように適用されるかを紹介します。

ヒント

包括的なゼロ トラスト ガイダンスについては、次を含む ゼロ トラストドキュメント を参照してください。

この記事では、Azure に重点を置いたゼロ トラストの概念の概要について説明します。

Azure のゼロ トラスト原則

現在、組織には、現代の環境の複雑さに効果的に適応し、モバイル従業員を受け入れ、場所を問わず人、デバイス、アプリケーション、データを保護するセキュリティ モデルが必要です。

ゼロ トラスト セキュリティ モデルは、次の 3 つの基本原則に基づいています。

  • 明示的に確認 する - ユーザー ID、場所、デバイスの正常性、サービスまたはワークロードなど、使用可能なすべてのデータ ポイントに基づいて常に認証と承認を行います。
  • 最小限の特権アクセスを使用 する - Just-In-Time と Just-Enough-Access (JIT/JEA)、リスクベースのアダプティブ ポリシー、およびデータ保護を使用してユーザー アクセスを制限します。
  • 侵害を想定 する - 影響とセグメントアクセスを最小限に抑える。 エンドツーエンドの暗号化を検証し、分析を使用して可視性を取得し、脅威検出を推進し、防御を強化します。

Azure ワークロードへの原則の適用

Azure でゼロ トラストを実装する場合、これらの原則は特定のアーキテクチャ パターンに変換されます。

Verifyとは、AzureリソースへのすべてのアクセスリクエストがMicrosoft Entra IDを使用して認証・承認されなければならず、条件付きアクセスポリシーはユーザー、デバイス、位置情報、ワークロードのコンテキストなど複数のシグナルに基づいてリスクを評価することを意味します。

最小権限アクセス は、最小限の権限を持つロールベースアクセス制御(RBAC)、管理操作のためのジャストIn-Time(JIT)アクセス、認証情報の保存の代わりに管理されたアイデンティティが必要です。

侵害を想定することにより、ネットワークをセグメント化して横方向の移動を制限し、保存中および転送中のデータを暗号化し、継続的な監視と脅威検出を行い、破壊的な攻撃から保護するために不変のバックアップを実装します。

Azure でのゼロ トラスト アーキテクチャ

ゼロ トラスト アプローチは、デジタル資産全体にわたって広がり、統合されたセキュリティ哲学とエンドツーエンドの戦略として機能します。 Azureに適用する場合、インフラ、ネットワーク、アイデンティティ、データ保護を体系的に扱う学際的なアプローチが必要です。

この図は、ゼロ トラストに貢献する主要な要素の表現を示しています。

ポリシーで検証されたアイデンティティ、デバイス、データ、アプリ、インフラ、ネットワークを示すゼロ トラストアーキテクチャの図。

この図は次のことを示しています。

  • セキュリティ ポリシーの適用は、ゼロ トラスト アーキテクチャの中心にあります。 この強制には、ユーザーアカウントリスク、デバイスの状態、設定したその他の条件やポリシーを考慮した条件付きアクセスによる多要素認証が含まれます。
  • ID、 デバイス (エンドポイントとも呼ばれます)、 データ、 アプリケーション、 ネットワーク、その他の インフラストラクチャ コンポーネントはすべて、適切なセキュリティで構成されます。 これらのコンポーネントごとに構成されたポリシーは、ゼロ トラスト戦略全体と調整されます。
  • 脅威の保護とインテリジェンスは、環境を監視し、現在のリスクを表面化し、攻撃を修復するための自動アクションを実行します。

境界型セキュリティからゼロトラストへ

ITの従来のアクセス制御のアプローチは、企業ネットワークの境界へのアクセスを制限します。 このモデルはすべてのリソースを企業所有のネットワーク接続に制限し、動的な企業のニーズを満たすには制限が多すぎます。

従来のネットワークペリメーターセキュリティモデルからゼロ トラストのアイデンティティ中心アプローチへの移行を示す図。

Azure 環境では、クラウド リソースが従来のネットワーク境界の外部に存在するため、ゼロ トラストへの移行が特に重要です。 組織は、リモート作業を受け入れ、クラウド テクノロジを使用してビジネス モデルを変革するため、アクセス制御にゼロ トラスト アプローチを採用する必要があります。

ゼロ トラストの原則は、最新のクラウド環境で必要な柔軟性を維持しながら、セキュリティ保証を確立し、継続的に改善するのに役立ちます。 ほとんどのゼロ トラスト体験は、アクセス制御から始まり、優先および主要な制御としての ID に重点を置きます。 ネットワーク セキュリティ テクノロジは依然として重要な要素ですが、完全なアクセス制御戦略では主要なアプローチではありません。

Azure でのアクセス制御のゼロ トラスト変換の詳細については、クラウド導入フレームワークの アクセス制御に関するページを参照してください。

Azure インフラストラクチャのゼロ トラストの実装

ゼロ トラストを Azure に適用するには、基本要素から完全なワークロードまで、インフラストラクチャのさまざまな層に対応する方法が必要です。

Azure IaaS とインフラストラクチャ コンポーネント

Azure IaaS のゼロ トラストは、暗号化とアクセス制御を備えたストレージ サービス、信頼された起動とディスク暗号化を備えた仮想マシン、マイクロセグメント化を備えたスポーク ネットワーク、一元化されたセキュリティ サービスを備えたハブ ネットワーク、プライベート エンドポイントを介した PaaS 統合など、完全なインフラストラクチャ スタックに対応します。 詳細なガイダンスについては、「 Azure IaaS にゼロ トラスト原則を適用する」の概要を参照してください。

Azure のネットワーク

ネットワーク セキュリティでは、すべてのネットワーク トラフィックの暗号化、ネットワーク セキュリティ グループと Azure Firewall を使用したセグメント化、トラフィックの監視による可視性、ID 中心のアプローチを優先する従来の VPN ベースの制御の廃止という 4 つの重要な領域に重点を置いています。 詳細なガイダンスについては、「 ゼロ トラスト原則を Azure ネットワークに適用する」を参照してください。

コントロール プレーンとしてのID

ID は、Azure でのゼロ トラストの主要なコントロール プレーンです。 条件付きアクセスは、アクセスを許可、制限、またはブロックするための複数のシグナルに基づいてアクセス要求を評価する、メイン ポリシー エンジンとして機能します。 詳細については、「 ゼロ トラストの条件付きアクセス と Azure ID 管理のセキュリティの概要」を参照してください。

データの保護と可用性の確保

Azure でのデータ保護には、保存時と転送中の暗号化、マネージド ID と RBAC を使用した ID ベースのアクセス制御、および機密性の高いワークロードの場合は、処理中にデータを保護するためのコンフィデンシャル コンピューティングという複数のレイヤーが必要です。 破壊的な攻撃に対する回復性には、リソース ロック、不変バックアップ、geo レプリケーション、復旧インフラストラクチャ自体の保護が必要です。 詳細なガイダンスについては、「 破壊的なサイバー攻撃から Azure リソースを保護する」を参照してください。

脅威の検出と対応

ゼロ トラストは、脅威がすでに存在している可能性があるという前提で継続的な監視を必要とします。 Microsoft Defender for Cloud は、Azure リソースの統合されたセキュリティ管理と脅威保護を提供しますが、Microsoft Defender XDR との統合により、環境全体で相互に関連付けられた検出が可能になります。 詳細については、 Azure 脅威検出の概要 と Microsoft Sentinel と Microsoft Defender XDR に関するページを参照してください。

共有責任と Azure セキュリティ

AzureのセキュリティはMicrosoftとあなたの間で共有される責任です。 Microsoftは物理的なインフラとAzureプラットフォームを保護し、あなたはアイデンティティ、データ、アプリケーションのセキュリティを担当します。 責任の分担はサービスモデル(IaaS、PaaS、SaaS)によって異なります。 ゼロ トラストを実装するには、プラットフォーム レベルの制御を顧客の構成の選択と調整する必要があります。 詳細については、「クラウドにおける共同責任」を参照してください。

Azure のセキュリティ機能

この記事では、Azure へのゼロ トラストの概念的な適用に焦点を当てていますが、使用可能なセキュリティ機能の広さを理解することが重要です。 Azure では、インフラストラクチャのすべてのレイヤーにわたって包括的なセキュリティ サービスが提供されます。

機能領域別に整理された Azure のセキュリティ機能の概要については、「 Azure セキュリティの概要」を参照してください。 保護、検出、応答の機能別に整理された Azure セキュリティのビューについては、 Azure のエンド ツー エンドのセキュリティに関するページを参照してください。

特定のドメイン向けにはより詳細なガイダンスがあります:

アプリケーション開発とゼロ トラスト

Azure にデプロイされたアプリケーションは、ネットワークの場所からの暗黙的な信頼に依存するのではなく、すべての要求を認証して承認する必要があります。 主な原則には、Microsoft Entra IDを使った本人確認、最小限の権限要求、機密データの保護、保存された認証情報の代わりに管理されたIDを使用することが含まれます。 包括的なガイダンスについては、「 ゼロ トラスト原則を使用した開発 」および 「Microsoft ID プラットフォームを使用したゼロ トラスト対応アプリの構築」を参照してください。

次のステップ

Azure 環境にゼロ トラストを実装するには、次のリソースから始めます。

より広範な Microsoft ゼロ トラスト リソースの場合:

  • Last updated on