Azure Government のセキュリティ

Azure Government には、規制対象または制御されたデータのニーズを満たすためにクラウドソリューションを構築するために使用できるさまざまな機能とサービスが用意されています。準拠している顧客ソリューションは、すぐに使用できる Azure Government 機能の効果的な実装と、堅牢なデータセキュリティプラクティスの組み合わせになります。

Azure Government でソリューションをホストする場合、Microsoft はこれらの要件の多くをクラウドインフラストラクチャレベルで処理します。

次の図は、Azure の多層防御モデルを示しています。たとえば、Microsoft は、基本的なクラウドインフラストラクチャの分散型サービス拒否 (DDoS) 保護と共に、顧客固有のアプリケーション DDoS ニーズに合わせて Azure DDoS Protection やセキュリティアプライアンスなどの顧客機能を提供します。

Azure 多層防御モデル

この記事では、サービスとアプリケーションをセキュリティで保護するための基本原則について説明します。これらの原則を適用する方法に関するガイダンスとベストプラクティスを提供します。例えば、国際武器取引規則(ITAR)に該当する情報を扱うソリューションの要件を満たすためにAzure Governmentを効果的に活用する方法を説明しています。 Azure リソースに関するセキュリティ体制の改善に役立つ追加のセキュリティに関する推奨事項と実装の詳細については、 Azure セキュリティベンチマークを参照してください。

顧客データをセキュリティで保護するための包括的な原則は次のとおりです。

暗号化を使ってデータを保護しましょう。
シークレットを管理します。
データアクセスを制限するために隔離を使いましょう。

これらの原則は、Azure と Azure Government の両方に適用されます。「分離について」で説明されているように、Azure Government は物理的なネットワークの分離を追加で提供し、米国政府の厳しいコンプライアンス要件を満たします。

データの暗号化

リスクを軽減し、規制上の義務を満たすことで、データ暗号化の焦点と重要性が高まっています。効果的な暗号化実装を使用して、現在のネットワークとアプリケーションのセキュリティ対策を強化し、クラウド環境の全体的なリスクを減らします。 Azure では、さまざまな暗号化モデルを含む、データ暗号化を使用して顧客データを保護するための広範なサポートがあります。

サービスマネージドキー、Azure のカスタマーマネージドキー (CMK)、または顧客が管理するハードウェアの CMK を使用するサーバー側暗号化。
オンプレミスまたは別のセキュリティで保護された場所にキーを管理および格納できるクライアント側の暗号化。クライアント側の暗号化は Java および .NET ストレージクライアントライブラリに組み込まれており、Azure Key Vault API を使用できるため、実装は簡単です。 Microsoft Entra ID を使用して、特定の個人に Azure Key Vault シークレットへのアクセスを提供できます。

データ暗号化は、暗号化キーアクセスに直接関連付けられている分離保証を提供します。 Azureはデータ暗号化に強力な暗号を使用しているため、暗号化鍵にアクセスできる組織だけがデータにアクセスできます。暗号化キーを削除または取り消す場合、対応するデータにアクセスできなくなります。

静止時の暗号化

Azure には、Microsoft が管理する暗号化キーとカスタマーマネージド暗号化キーの両方を使用して、データを保護し、コンプライアンスのニーズを満たすために役立つ保存データを暗号化するための広範なオプションが用意されています。このプロセスは、セキュリティで保護されたキーアクセスと一元化されたキー管理を確保するために、Azure Key Vault や Microsoft Entra ID などの複数の暗号化キーとサービスに依存します。 Azure Storage サービスの暗号化と Azure ディスク暗号化の詳細については、「保存データの暗号化」を参照してください。

転送中の暗号化

Azure には、転送中のデータを暗号化するためのオプションが多数用意されています。転送中のデータ暗号化は、ネットワークトラフィックを他のトラフィックから分離し、傍受からデータを保護するのに役立ちます。詳細については、「転送中のデータ暗号化」を参照してください。

Azure Government への接続に使用できる基本的な暗号化では、トランスポート層セキュリティ (TLS) 1.2 プロトコルと X.509 証明書がサポートされています。 Federal Information Processing Standard (FIPS) 140 検証済みの暗号アルゴリズムは、Azure Government データセンター間のインフラストラクチャネットワーク接続にも使用されます。 Windows、Windows Server、および Azure ファイル共有では、仮想マシン (VM) とファイル共有の間の暗号化に SMB 3.0 を使用できます。クライアント側の暗号化を用いて、クライアントアプリケーションでストレージに転送される前にデータを暗号化し、ストレージから転送された後に復号します。

暗号化のベストプラクティス

IaaS VM: Azure ディスク暗号化を使用します。ストレージサービスの暗号化を有効にして、Azure Storage でこれらのディスクをバックアップするために使用される VHD ファイルを暗号化します。この方法では、新しく書き込まれたデータのみが暗号化されます。 VM を作成し、VHD ファイルを保持するストレージアカウントでストレージサービスの暗号化を有効にした場合、変更のみが暗号化され、元の VHD ファイルは暗号化されません。
クライアント側暗号化: クライアント側暗号化は、データ転送前にデータを暗号化し、静止状態でデータを暗号化するため、最も安全なデータ暗号化方法です。ただし、ストレージを使うアプリケーションにコードを追加する必要があり、それは避けたくないかもしれません。その場合、トランジット中のデータにはHTTPSを使い、ストレージサービスの暗号化で静止データを暗号化することができます。クライアント側の暗号化はクライアント側の負荷も増え、特に多くのデータを暗号化・転送する場合、スケーラビリティ計画で考慮しなければなりません。

シークレットを管理する

データセキュリティには、暗号化キーの適切な保護と管理が不可欠です。キー管理を簡素化し、クラウドアプリケーションとサービスがデータを暗号化するために使用するキーの制御を維持するように努める必要があります。 Azure Key Vault は、シークレットを安全に格納および管理するためのクラウドサービスです。 Key Vault を使用すると、 FIPS 140 検証済みのハードウェアセキュリティモジュール (HSM) に暗号化キーを格納できます。詳細については、「データ暗号化キーの管理」を参照してください。

シークレットを管理するためのベストプラクティス

Key Vault を使用して、ハードコーディングされた構成ファイル、スクリプト、またはソースコードでシークレットが公開されるリスクを最小限に抑えます。追加の保証のために、Azure Key Vault HSM にキーをインポートまたは生成できます。
アプリケーションコードやテンプレートは、実際のシークレット、設定、ソースコードリポジトリに存在しないURI参照のみを含めるべきです。このアプローチにより、GitHub のハーベストボットなど、内部または外部のリポジトリに対する主要なフィッシング攻撃を防ぐことができます。
Key Vault内で強力なAzureロールベースアクセス制御(RBAC)を活用してください。信頼できるオペレーターが会社を離れたり、会社の新しいグループに異動した場合、秘密へのアクセスは禁止されるべきです。

隔離について

Azure Government での分離は、信頼の境界、セグメント化、コンテナーの実装を通じて実現され、承認されたユーザー、サービス、アプリケーションのみにデータアクセスを制限します。 Azure Government では、環境とテナントの分離の制御と機能がサポートされています。

環境の分離

Azure Governmentのマルチテナントクラウドプラットフォーム環境は、物理的に隔離され、Azureのパブリッククラウド全体から別々に管理されるインターネット標準ベースの自律システム(AS)です。 IETF RFC 4271 で定義されているように、AS は、内部ゲートウェイプロトコルと一般的なメトリックを使用して AS 内のパケットをルーティングする、単一の技術管理下のスイッチとルーターのセットで構成されます。外部ゲートウェイプロトコルは、明確に定義された単一のルーティングポリシーを介して他の AS にパケットをルーティングするために使用されます。

Azure Government 環境の分離は、次のような一連の物理的および論理的な制御によって実現されます。

物理的に隔離されたハードウェア。
生体認証デバイスやカメラを使ったハードウェアへの物理的な障壁。
条件付きアクセス (Azure RBAC, workflow)
特定の認証情報と論理アクセスのための多要素認証。
Azure Governmentのインフラストラクチャは米国内に位置しています。

Azure Governmentネットワーク内では、内部ネットワークシステムコンポーネントは、管理インターフェース上の個別サブネットやアクセス制御ポリシーの実装により、他のシステムコンポーネントから隔離されています。 Azure Governmentは公共インターネットやMicrosoftの企業ネットワークと直接ピアリングしていません。 Azure Governmentは商用Microsoft Azureネットワークと直接ピアリングしており、このネットワークはインターネットやMicrosoft企業ネットワークへのルーティングおよび輸送機能を備えています。 Azure Government は、商用 Azure ネットワークの追加の保護機能と通信機能を適用することで、攻撃対象領域を限定しています。さらに、Azure Government ExpressRoute(ER)は、非インターネットのプライベート回線を介して顧客ネットワークとピアリングし、特定の境界ゲートウェイプロトコル(BGP)/ASピアリングを信頼境界としてアプリケーションルーティングおよび関連するポリシー強制を用い、ERの顧客「DMZ」ネットワークをルーティングします。

Azure Government では、次の承認が維持されます。

FedRAMP共同認可委員会（JAB）により付与されたFedRAMP Highの暫定運用認可（P-ATO）。
国防情報システム局(DISA)から発行されたDoD SRG IL4およびIL5暫定認可(PA)。

テナントの分離

顧客とテナントの分離は、AzureおよびAzure Governmentのマルチテナントクラウド環境の両方において不可欠なセキュリティメカニズムです。 Azure と Azure Government では、ハイパーバイザー、ルート OS、ゲスト VM の分離、ファブリックコントローラーの分離、パケットフィルタリング、VLAN の分離など、顧客またはテナントごとのベースライン分離制御が提供されます。詳細については、「コンピューティングの分離」をご覧ください。

仮想マシン、仮想ネットワーク、VLAN分離、ACL、ロードバランサー、IPフィルターを用いて、ネットワークアクセス制御や分離を通じて個別要件を満たすための隔離態勢を管理できます。さらに、サブスクリプション、リソースグループ、仮想ネットワーク、サブネット全体のリソースの分離レベルをさらに管理できます。顧客とテナントの論理隔離制御は、一方のテナントが他の顧客やテナントの業務に干渉するのを防ぐのに役立ちます。

Screening

米国内のすべての Azure および Azure Government の従業員は、Microsoft のバックグラウンドチェックの対象となります。 Azure Government のトラブルシューティング目的で顧客データにアクセスできる担当者は、必要に応じて、米国市民権の検証と追加のスクリーニング要件の対象となります。

Microsoftは、DoD Cloud Computing SRGのセクション5.6.2.2(77ページ)に定義されているTier 3調査(旧国家機関法信用チェック、NACLC)ですべてのオペレーターをスクリーニングしています。

注

"重大ではない機密性" (たとえば DoD の ADP-2) に基づく Level 4 および 5 の情報にアクセスできる CSP 担当者に必要な最小限のバックグラウンド調査は、Tier 3 調査 ("重大ではない機密性" の契約者向け)、または Moderate Risk Background Investigation (MBI) ("中程度のリスク" の指定職位向け) です。

該当するスクリーニングとバックグラウンドチェック	環境	頻度	説明
新規採用チェック	Azure Azure Gov	雇用時	- 教育歴(最高学位) - 雇用履歴(7年の歴史) - 社会保障番号検索 - 犯罪歴調査(7年前の履歴) - 外国資産管理局(OFAC)リスト - 産業保安局(BIS)リスト - 防衛貿易統制局(DDTC)禁止リスト
クラウド画面	Azure Azure Gov	2 年ごと	- 社会保障番号検索 - 犯罪歴調査(7年前の履歴) - 外国資産管理局(OFAC)リスト - 産業保安局(BIS)リスト - 防衛貿易統制局(DDTC)禁止リスト
米国市民権	Azure Gov	雇用時	- 米国市民権の検証
刑事司法情報サービス(CJIS)	Azure Gov	州とのCJIS協定の締結後に	- FBIデータベースに対する指紋身元調査の追加 - 犯罪記録調査および信用調査
階層 3 の調査	Azure Gov	スポンサー機関との契約締結時	- 詳細な背景と犯罪歴の調査 (SF 86)

Azure 運用担当者には、次のアクセス原則が適用されます。

職務は明確に定義され、変更の要求、承認、展開に関する個別の責任があります。
アクセスは、特定の機能を持つ定義済みのインターフェイスを介して行われます。
アクセスはジャストインタイム(JIT)で、インシデントごとまたは特定のメンテナンスイベントに対して、かつ一定期間に付与されます。
アクセスはルールベースで、トラブルシューティングに必要な権限のみが割り当てられる定義された役割があります。

スクリーニング基準には、Azure Government がホストするシステムへのアクセスが許可される前に、すべての Microsoft サポートおよび運用スタッフの米国市民権の検証が含まれます。データを転送する必要があるサポート担当者は、Azure Government 内のセキュリティで保護された機能を使用します。セキュリティで保護されたデータ転送には、アクセスを取得するために別の認証資格情報のセットが必要です。

インサイダーアクセスの制限

顧客データへのインサイダーアクセスを制限するための制御は、Azure と Azure Government の両方で同じです。前のセクションで説明したように、Azure Government では、米国市民権の検証を含む、追加の人事バックグラウンドスクリーニング要件が課せられます。

注

インサイダー脅威とは、バックドア接続やクラウドサービスプロバイダー(CSP)による顧客システムやデータへの特権管理者アクセスの提供の可能性を指します。 Microsoft は、 顧客データに アクセスできるユーザーと、どのような条件に関する強力な顧客コミットメントを提供します。 Microsoft の運用およびサポート担当者による顧客データへのアクセスは、 既定では拒否されます。 Azureの運用に顧客データへのアクセスは必須ではありません。さらに、顧客のトラブルシューティングチケットに関わるほとんどのサポートシナリオでは、顧客データへのアクセスは必要ありません。

ノーデフォルトアクセス権およびジャストインタイムアクセス(JIT)規定は、雇用期間中通常持続する従来のオンプレミス管理者による昇格アクセス権に伴うリスクを大幅に軽減します。 Microsoft では、悪意のある内部関係者がアプリケーションやデータを改ざんすることがかなり困難になります。常勤従業員とサブプロセッサー/ベンダーの両方を含め、すべての Microsoft エンジニアに対して同じアクセス制御の制限とプロセスが適用されます。データへのインサイダーアクセスを制限するために、次のコントロールが用意されています。

本節で説明されているジャストインタイム (JIT)特権アクセス管理システムを通じて承認されている場合を除き、本番システムへのアクセスを防止する Microsoft の内部統制。
カスタマー ロックボックスの執行は、サポートやトラブルシューティングのシナリオで内部アクセスの承認をあなたが担当するものです。このセクションで説明しています。ほとんどのサポートシナリオでは、データへのアクセスは必須ではありません。
顧客管理の暗号鍵オプション付きデータ暗号化 - 暗号化されたデータは、前述の通り、鍵を所有するエンティティのみがアクセス可能です。
プロビジョニングされた Azure リソースへの外部アクセスの顧客監視。これには、次のセクションで説明するセキュリティアラートが含まれます。

アクセス制御の要件

マイクロソフトは、許可されていない人物による不適切なアクセスや使用からデータを保護するために強硬な手段を取ります。 Microsoftのエンジニア(フルタイム従業員やサブプロセッサー/ベンダーを含む)は、クラウド上のあなたのデータにデフォルトでアクセス権を持っていません。代わりに、管理側は必要な場合にのみアクセスを許可しています。制限付きアクセスワークフローは、データが不要になった際に慎重に管理、ログ記録、そしてアクセスを取り消します。たとえば、開始したトラブルシューティング要求を解決するには、データへのアクセスが必要な場合があります。アクセス制御の要件は以下のポリシーで定められています:

既定では、顧客データへのアクセス権はない。
お客様の仮想マシン (VM) に関するユーザーアカウントまたは管理者アカウントはない。
タスク完了やアクセスリクエストの監査・ログに必要な最小限の権限を付与します。

Microsoftはジャストインタイム(JIT)アクセスを利用して、エンジニアに一時認証情報を通じて顧客データへのアクセスを許可できます。インシデントはアクセス理由、承認記録、アクセスされたデータを説明するためにAzureインシデント管理システムに記録されなければなりません。このアプローチにより、顧客データへのアクセスに適切な監督が行われ、すべてのJITアクション(同意およびアクセス)が監査のために記録されることが保証されます。独立した第三者監査会社によって作成されたAzure SOC 2 タイプ2認証レポートは、適切な承認を得てAzure職員が顧客データやアプリケーションに一時的アクセスを許可するための手続きが確立されていることを示しています。これはカスタマーサポートやインシデント処理の目的で行われます。

JITアクセスは多要素認証で動作し、Microsoftのエンジニアはスマートカードを使って身元確認を行う必要があります。特権アクセスの確保に関する公開されたガイダンスに準拠したセキュア管理ワークステーション(SAW)が、すべての本番システムへのアクセスに使用されます。 Microsoftのポリシーでは、本番システムへのアクセスにはSAWの使用が義務付けられており、このポリシーの遵守状況は厳重に監視されています。これらのワークステーションは固定イメージを使用し、すべてのソフトウェアが完全に管理されています。特定のアクティビティのみが許可されており、管理者権限がないためユーザーがSAW設計を誤って回避することはありません。アクセスはスマートカードのみが許可されており、各SAWへのアクセスは特定のユーザーグループに限定されています。

カスタマーロックボックス

Customer Lockbox for Azureは、Microsoftエンジニアがあなたのデータにアクセスする方法をコントロールするサービスです。サポートワークフローの一環として、Microsoft のエンジニアがデータへの昇格されたアクセス権を必要とする場合があります。 Customer Lockboxは、そのような上乗せされたリクエストを承認または拒否できるよう、あなたにその決定権を与えます。カスタマーロックボックスは JIT ワークフローの拡張機能であり、完全な監査ログが有効になっています。顧客ロックボックス機能は、顧客データへのアクセスを伴わないサポートケースには必須ではありません。ほとんどのサポートシナリオでは、顧客データへのアクセスは不要であり、ワークフローにCustomer Lockboxは必要ありません。 Microsoft のエンジニアは、Azure サービスを管理し、カスタマーサポートを提供するために、ログに大きく依存しています。

カスタマーロックボックスは、Azure サポートプランの「Developer」レベル以上を契約しているすべてのお客様が利用できます。カスタマーロックボックスは、[カスタマーロックボックス] ブレードの [管理] モジュールから有効にすることができます。 Microsoftエンジニアは、顧客が作成したサポートチケットを進めるためにこのアクションが必要な場合、カスタマーロックボックスリクエストを開始します。 Customer Lockboxは、すべてのAzure公開リージョンで顧客が利用可能です。

ゲスト VM のメモリクラッシュダンプ

各Azureノードには、ハードウェア上で直接動作するハイパーバイザーがあり、ノードを可変数のゲスト仮想マシン(VM)に分割します(これはCompute isolationで説明されています)。各ノードにはホストOSを実行する特別なルートVMも1つあります。

ゲストVM(顧客VMとも呼ばれる)がクラッシュすると、顧客データはゲストVMのメモリダンプファイル内に格納されることがあります。 デフォルトでは、MicrosoftエンジニアはゲストVMにアクセスできず、顧客の承認なしにゲストVMのクラッシュダンプをレビューできません。 明示的な顧客承認を伴うプロセスは、VMクラッシュの調査を依頼した場合のゲストVMクラッシュダンプへのアクセス管理にも使われています。前述のように、アクセスは JIT 特権アクセス管理システムとカスタマーロックボックスによって制御されるため、すべてのアクションがログに記録され、監査されます。ゲストVMからメモリダンプを削除する主な強制機能は、通常少なくとも2か月ごとに行われるVM再イメージングのルーチンプロセスです。

データの削除、保有、および破棄

顧客として、Azureでは常に顧客データを管理できます。 Azure に保存されている顧客データには、必要に応じてアクセス、抽出、削除できます。 Azure サブスクリプションを終了すると、Microsoft は顧客データを引き続き所有するために必要な手順を実行します。データの削除またはサブスクリプションの終了に関してよく寄せられるお客様の懸念事項は、お客様の削除されたデータに別のお客様や Azure 管理者がアクセスできるかどうかです。 Azureにおけるデータの削除、保持、破棄の実装方法については、以下のドキュメントをご覧ください。

Azure リソースの顧客監視

このセクションでは、プロビジョニングされた Azure リソースに関する詳細な分析情報を取得し、アプリケーションやデータを対象とした外部攻撃を含む疑わしいアクティビティに関するアラートを受け取るために使用できる重要な Azure サービスについて説明します。完全な一覧については、管理とガバナンス、ネットワーク、セキュリティに関する Azure サービスディレクトリのセクションを参照してください。さらに、 Azure セキュリティベンチマークには、Azure リソースに関するセキュリティ体制の向上に役立つセキュリティに関する推奨事項と実装の詳細が用意されています。

Microsoft Defender for Cloud (旧称 Azure Security Center) は、ハイブリッドクラウドワークロード全体で統合されたセキュリティ管理と高度な脅威保護を提供します。これは、脅威への曝露を制限し、クラウドリソースを保護し、インシデントに対応し、規制遵守体制を向上させるための不可欠なサービスです。

Microsoft Defender for Cloud では、次のことができます。

オンプレミスおよびクラウドのワークロード全体のセキュリティを監視する。
高度な分析と脅威インテリジェンスを適用して攻撃を検出します。
アクセスとアプリケーションの制御を使用して、悪意のあるアクティビティをブロックする。
悪用される前に脆弱性を発見して、修正する。
脅威に対応する際の調査を簡略化する。
ポリシーを適用して、セキュリティ標準に準拠していることを確認します。

Microsoft Defender for Cloudの利用を支援するために、MicrosoftはMicrosoft Defender for Cloud Tech Communityブログで特定のセキュリティトピックを扱った詳細なオンラインドキュメントとブログ投稿を提供しています。

Azure Monitor は、クラウド環境とオンプレミス環境の両方からテレメトリを収集、分析、および操作するための包括的なソリューションを提供することで、アプリケーションの可用性とパフォーマンスを最大化するのに役立ちます。アプリケーションのパフォーマンスを理解し、デプロイされたアプリケーションとそれらが依存するリソースに影響を与える問題を事前に特定するのに役立ちます。 Azure Monitor には、以前はスタンドアロンサービスとしてブランド化されていた Log Analytics と Application Insights の機能が統合されています。

Azure Monitor は、以下のそれぞれの層からデータを収集します。

アプリケーション監視データ: プラットフォームに関係なく、あなたが書いたコードのパフォーマンスや機能に関するデータです。
ゲスト OS 監視データ: アプリケーションが実行されているオペレーティングシステムに関するデータ。アプリケーションは Azure、別のクラウド、またはオンプレミスで実行できます。
Azure リソース監視データ: Azure リソースの操作に関するデータ。
Azure サブスクリプション監視データ: Azure サブスクリプションの操作と管理に関するデータと、Azure 自体の正常性と運用に関するデータ。
Azure テナントの監視データ: Microsoft Entra ID など、テナントレベルの Azure サービスの操作に関するデータ。

Azure Monitor を使用すると、高度な分析、ダッシュボード、視覚化マップを使用して、アプリケーション、インフラストラクチャ、ネットワークを 360 度表示できます。 Azure Monitor はインテリジェントな分析情報を提供し、AI によるより優れた意思決定を可能にします。強力なクエリ言語と組み込みの機械学習コンストラクトを使用して、さまざまなソースのデータを分析、関連付け、監視できます。さらに、Azure Monitor は、一般的な DevOps、IT Service Management (ITSM)、およびセキュリティ情報イベント管理 (SIEM) ツールとのすぐに使える統合を提供します。

Azure Policy を使用すると、ポリシーの作成、割り当て、管理を行うことで、Azure リソースを効果的に管理できます。これらのポリシーでは、プロビジョニングされた Azure リソースに対してさまざまな規則が適用され、特定の企業のセキュリティとプライバシーの標準に準拠し続けます。たとえば、許可される場所の組み込みポリシーの 1 つを使用して、geo コンプライアンス要件を適用するために新しいリソースで使用可能な場所を制限できます。 Microsoft は、追加の顧客支援のために、 Azure Policy 規制コンプライアンスの組み込みイニシアチブを提供しています。これは、多くの米国政府、グローバル、地域、業界標準の コンプライアンスドメイン と コントロール にマップされます。詳細については、 Azure Policy のサンプルを参照してください。 Azure Policyの規制コンプライアンスは、責任(顧客、Microsoft、共有)に基づくコントロールおよびコンプライアンスドメインのリストを表示するための組み込みイニシアチブ定義を提供します。 Microsoft責任管理については、Microsoftが第三者の証明や管理実装の詳細に基づく追加の監査結果詳細を提供し、そのコンプライアンスを実現します。各コントロールは、1 つ以上の Azure Policy 定義に関連付けられます。これらのポリシーはコントロールでコンプライアンスを評価するのに役立ちます。ただし、Azure Policy のコンプライアンスは、全体的なコンプライアンスステータスの部分的なビューにすぎません。 Azure Policyは、組織の標準を適用し、大規模なコンプライアンスを評価するのに役立ちます。コンプライアンスダッシュボードを通じて、環境の全体的な状態を評価するための集計ビューを提供します。これには、よりきめ細かいステータスまでドリルダウンできる機能が備わっています。

Azure Firewall には、Azure Virtual Network リソースを保護するクラウドベースのマネージドネットワークセキュリティサービスが用意されています。これは、Azure Monitorと連携してログや分析を行う、完全なステートフルファイアウォール・アズ・ア・サービスであり、高可用性を備えています。

Network Watcher を使用すると、Azure Virtual Network のパフォーマンスと正常性を監視、診断、分析情報を得ることができます。ネットワークセキュリティグループのフローログを使えば、ネットワークトラフィックパターンをより深く理解し、コンプライアンス、監査、監視のためのデータを収集できます。パケットキャプチャを使用すると、仮想マシンとの間のトラフィックをキャプチャして、ネットワークの異常を診断し、ネットワーク侵入に関する情報を含むネットワーク統計情報を収集できます。

Azure DDoS Protection は、Azure リソースを攻撃から保護するのに役立つ広範な分散型サービス拒否 (DDoS) 軽減機能を提供します。常時接続のトラフィックモニタリングは、DDoS攻撃をほぼリアルタイムで検知し、発見次第自動的に攻撃を軽減します。ウェブアプリケーションファイアウォールと組み合わせることで、DDoS防御はSQLインジェクション、クロスサイトスクリプト攻撃、セッションハイジャックなど、包括的なネットワーク層攻撃から防御します。 Azure DDoS Protection は、分析と分析情報のために Azure Monitor と統合されます。

Microsoft Sentinel (旧称 Azure Sentinel) は、組み込みの AI を使用して企業全体の大量のデータをすばやく分析するのに役立つクラウドネイティブ SIEM プラットフォームです。 Microsoft Sentinel は、オンプレミスまたは任意のクラウドで実行されているユーザー、アプリケーション、サーバー、デバイスなど、さまざまなソースからのデータを集計し、数秒で数百万を超えるレコードを推論できるようにします。 Microsoft Sentinel を使用すると、次のことが可能になります。

オンプレミスと複数のクラウド内の両方で、すべてのユーザー、デバイス、アプリケーション、インフラストラクチャにわたってクラウド規模でデータを収集します。
Microsoft の分析と比類のない脅威インテリジェンスを使用して、以前は検出されなかった脅威を検出し、擬陽性を最小限に抑えます。
Microsoft の長年にわたるサイバーセキュリティ業務を活用して AI で脅威を調査し、規模に応じて、疑わしいアクティビティを捜索します。
インシデントに迅速に対応するため、一般的なタスクに対する組み込みのオーケストレーションとオートメーションを活用します。

Azure Advisor は 、ベストプラクティスに従って Azure デプロイを最適化するのに役立ちます。リソース構成と使用状況テレメトリを分析し、Azure リソースのコスト効率、パフォーマンス、高可用性、セキュリティの向上に役立つソリューションを推奨します。

次のステップ

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-09