マルウェアスキャンの概要

2025-05-25

Microsoft Defender for Storage のマルウェアスキャンは、マルウェアの脅威を検出して軽減し、Azure Storage アカウントのセキュリティを強化します。このツールでは、Microsoft Defender Antivirus を使用してストレージコンテンツをスキャンし、データのセキュリティとコンプライアンスを確保します。

Defender for Storage では、次の 2 種類のマルウェアスキャンが提供されます。

アップロード時のマルウェアスキャン: BLOB はアップロードまたは変更された時点で自動的にスキャンされ、準リアルタイムの検出が提供されます。この種類のスキャンは、Web アプリケーションやコラボレーションプラットフォームなど、ユーザーが頻繁にアップロードを行うアプリケーションに最適です。アップロード時にコンテンツをスキャンすると、悪意のあるファイルがストレージ環境に入ってダウンストリームに伝達されるのを防ぐことができます。
オンデマンドマルウェアスキャン: 必要なときにいつでも既存の BLOB をスキャンできるため、インシデント対応、コンプライアンス、プロアクティブセキュリティに最適です。このスキャンの種類は、既存のすべてのデータのスキャン、セキュリティアラートへの対応、監査の準備などを行って、セキュリティベースラインを確立するのに最適です。

これらのオプションは、ストレージアカウントを保護し、コンプライアンスのニーズを満たし、データの整合性を確保するために役立ちます。

マルウェアスキャンが重要な理由

クラウドストレージにアップロードされたコンテンツはマルウェアを持ち込み、組織にリスクを与える可能性があります。マルウェアのスキャンは、悪意のあるファイルが環境内に侵入または拡散するのを防ぐのに役立ちます。

Defender for Storage でのマルウェアスキャンには、次の利点があります。

悪意のあるコンテンツの検出: マルウェアを識別して軽減します。
セキュリティ体制の強化: マルウェアの拡散を防ぐためのレイヤーを追加します。
コンプライアンスのサポート: 規制要件を満たします。
セキュリティ管理の簡素化: 大規模に構成可能なクラウドネイティブの低メンテナンスソリューションを提供します。

主要な機能

組み込みの SaaS ソリューション: メンテナンス不要で大規模な有効化を簡単に行うことができます。
包括的なマルウェア対策機能: Microsoft Defender ウイルス対策 (MDAV) を使用してスキャンし、ポリモーフィックおよびメタモーフィックなマルウェアをキャッチします。
包括的な検出: ZIP や RAR ファイルなどのアーカイブを含むすべてのファイルの種類を、BLOB あたり最大 50 GB までスキャンします。
柔軟なスキャンオプション: ニーズに基づいて、アップロード時とオンデマンドのスキャンを提供します。
セキュリティアラートとの統合: Microsoft Defender for Cloud で詳細なアラートを生成します。
自動化のサポート: Logic Apps や Function Apps などの Azure サービスを使って自動的に応答できます。
コンプライアンスと監査: コンプライアンスと監査のためにスキャン結果をログします。
プライベートエンドポイントのサポート: プライベートエンドポイントをサポートし、パブリックインターネットの露出を排除することでデータのプライバシーを確保します。

ニーズに合ったマルウェアスキャンの種類

頻繁に行われるアップロードをすぐに保護したい場合は、アップロード時のマルウェアスキャンが適切な選択肢です。 Web アプリでユーザーがアップロードしたコンテンツのスキャン、共有マルチメディア資産の保護、規制対象セクターでのコンプライアンスの確保に最適です。また、パートナーデータの統合、コラボレーションプラットフォームの保護、データパイプラインと機械学習データセットのセキュリティ保護が必要な場合は、アップロード時のスキャンも有効です。詳しくは、「アップロード時のマルウェアスキャン」をご覧ください。

セキュリティベースラインを確立する場合は、オンデマンドマルウェアスキャンが最適な選択肢です。また、特定のニーズに基づいてスキャンを柔軟に実行することもできます。オンデマンドスキャンは、インシデント対応、コンプライアンス、予防的なセキュリティプラクティスに組み込むのに適しています。それを使って、セキュリティトリガーへの応答でのスキャンの自動化、スケジュールされたスキャンによる監査への準備、格納されているデータでのマルウェアの事前チェックなどを行うことができます。さらに、オンデマンドスキャンは、顧客に保証を提供し、アーカイブまたは交換の前にデータを検証するのにも役立ちます。詳細については、「オンデマンドマルウェアスキャン」を参照してください。

スキャンの結果を提供する

マルウェアスキャンの結果は、4 つの方法で入手できます。セットアップの後、スキャン結果は、ストレージアカウントでスキャンされたすべてのファイルについては BLOB インデックスタグとして、ファイルが有害として識別されたときは Microsoft Defender for Cloud セキュリティアラートとして示されます。 Azure Portal と REST API を使用して、BLOB インデックスタグの使用を無効にすることができます。 Event Grid や Log Analytics など、スキャン結果の使用方法を追加で構成することもできます。これらの方法のために、さらに構成が必要です。次のセクションでは、さまざまなスキャン結果方法について説明します。

スキャン結果

BLOB インデックスタグ

BLOB インデックスタグは、BLOB のメタデータフィールドです。それらによって、キーと値のタグ属性を使用して、ストレージアカウント内のデータが分類されます。これらのタグには自動的にインデックスが付けられ、検索可能な多次元インデックスとして公開されるため、データを簡単に見つけることができます。ユーザーは、インデックスタグを使用してマルウェアスキャンの結果を格納するかどうかを選択できます (既定の動作では、インデックスタグを使用します)。スキャン結果は簡潔で、マルウェアスキャンのスキャン結果 (脅威が見つからない、悪意のある、エラー、スキャンされていない) と、BLOB メタデータのマルウェアスキャンスキャン時間 UTC が 2 つの別個のインデックスタグとして表示されます。その他の結果の種類 (アラート、イベント、ログ) では、詳細情報が提供されます。

アプリケーションでは BLOB インデックスタグを使ってワークフローを自動化できますが、改ざん防止機能はありません。応答の設定に関する詳細を参照してください。

注

インデックスタグへのアクセスにはアクセス許可が必要です。詳しくは、「BLOB インデックスタグを取得、設定、および更新する」をご覧ください。

Defender for Cloud のセキュリティアラート

悪意のあるファイルが検出されると、Microsoft Defender for Cloud によって、Microsoft Defender for Cloud セキュリティアラートが生成されます。アラートを表示するには、Microsoft Defender for Cloud セキュリティアラートに移動します。セキュリティアラートには、ファイルの詳細とコンテキスト、マルウェアの種類、推奨される調査と修復の手順が含まれます。修復にこれらのアラートを使用するには、次のことができます。

Azure portal で [Microsoft Defender for Cloud]> と移動して、セキュリティアラートを表示します。
これらのアラートに基づいて、自動化を構成します。
セキュリティ情報およびイベント管理 (SIEM) にセキュリティアラートをエクスポートします。 Microsoft Sentinel コネクタを使用して Microsoft Sentinel (Microsoft の SIEM) に、または任意の他の SIEM にセキュリティアラートを継続的にエクスポートできます。

セキュリティアラートへの応答に関する詳細を確認してください。

Event Grid イベント

Event Grid は、イベントドリブンの自動化に役立ちます。これは、応答の自動化に使用できるイベントの形式で、最短の待ち時間で結果を取得する最速の方法です。

Event Grid カスタムトピックのイベントは、複数のエンドポイントタイプで使用できます。マルウェアスキャンシナリオに最も役立つエンドポイントは次のとおりです。

関数アプリ (以前の Azure 関数) - サーバーレス関数を使って、移動、削除、検疫などの自動応答用コードを実行します。
Webhook - アプリケーションを接続する場合。
Event Hubs と Service Bus キュー - ダウンストリームコンシューマーに通知する場合。自動化のためにすべてのスキャン結果が Event Grid トピックに自動的に送信されるようにマルウェアスキャンを構成する方法を確認してください。

ログ分析

コンプライアンスの証拠やスキャン結果の調査のために、スキャン結果をログに記録したい場合があります。 Log Analytics ワークスペースの宛先を設定することで、すべてのスキャン結果を、クエリを簡単に実行できる一元化されたログリポジトリに格納できます。結果を表示するには、Log Analytics の宛先ワークスペースに移動し、StorageMalwareScanningResults テーブルを検索します。

スキャン結果に基づいてアクションを自動化するには、インデックスタグまたは Event Grid 通知を使用することをお勧めします。スキャン結果の監査証跡を作成する目的で、Log Analytics が推奨されるソリューションです。

詳細については、「マルウェアスキャンのログ記録を設定する」を参照してください。

ヒント

Defender for Storage のマルウェアスキャン機能については、ハンズオンラボを参照してください。 Ninja のトレーニング手順に従って、マルウェアスキャンをエンドツーエンドでセットアップし、テストする方法に関する詳細なステップバイステップガイドに従ってください。スキャン結果への応答を構成します。これは 'ラボ' プロジェクトの一環で、お客様が Microsoft Defender for Cloud を活用し、その機能に関するハンズオンの実践的なエクスペリエンスを提供するのに役立ちます。

応答の自動化

マルウェアスキャンは、疑わしいファイルの削除や検疫などの自動応答に対応しています。 BLOB のインデックスタグを使用してこれを管理するか、自動化のために Event Grid イベントを設定します。次の方法で応答を自動化します。

ABAC (属性ベースのアクセス制御) を使って、未スキャンのファイルや有害なファイルへのアクセスをブロックします。
Logic Apps (セキュリティアラートに基づく) または Event Grid と Function Apps (スキャン結果に基づく) を使って、悪意のあるファイルを自動的に削除したり検疫に移動したりします。
Event Grid と Function Apps を使って、別の場所にクリーンなファイルを転送します。

マルウェアスキャンの結果に対する応答の設定についての詳細を確認してください。

マルウェアスキャンのセットアップ

マルウェアスキャンが有効になっている場合、環境内で以下のアクションが自動的に行われます。

マルウェアスキャンを有効にしたストレージアカウントごとに、そのストレージアカウントの同じリソースグループ内に Event Grid システムトピックリソースが作成されます。これは、BLOB アップロードトリガーをリッスンするためにマルウェアスキャンサービスによって使用されます。このリソースを削除すると、マルウェアスキャン機能が動作しなくなります。
データをスキャンするには、マルウェアスキャンサービスがデータにアクセスする必要があります。サービスの有効化時に、StorageDataScanner という新しいデータスキャナーリソースが Azure サブスクリプション内に作成され、システム割り当てマネージド ID が割り当てられます。このリソースには、マルウェアスキャンと機密データ検出の目的でデータへのアクセスが許可される、ストレージ BLOB データ所有者ロールの割り当てが行われています。

StorageDataScanner リソースは、ストレージアカウントのネットワーク ACL リソースアクセス規則にも追加されます。これにより、Defender は、ストレージアカウントへのパブリックネットワークアクセスが制限されているときでもデータをスキャンできます。
サブスクリプションレベルでマルウェアスキャンを有効にする場合は、StorageAccounts/securityOperators/DefenderForStorageSecurityOperator という新しいリソースが Azure サブスクリプション内に作成されます。このリソースには、システムマネージド ID が割り当てられます。これは、既存のストレージアカウントで Defender for Storage とマルウェアスキャンの構成を有効にして修復するために使われます。さらに、それによってサブスクリプションに作成された新しいストレージアカウントがチェックされて、マルウェアスキャンが有効にされます。このリソースには、マルウェアスキャンを有効にするために必要なアクセス許可を持つ特定のロールが割り当てられています。

注

マルウェアスキャンは、適切に機能するための特定のリソース、ID、ネットワーク設定に依存します。これらのいずれかを変更または削除すると、マルウェアスキャンは動作を停止します。通常の操作を元に戻すには、オンとオフを切り替えます。

サポートされているコンテンツと制限事項

サポートされているコンテンツ

ファイルの種類: ZIP ファイルなどのアーカイブを含むすべてのファイルの種類。
ファイルのサイズ: 最大 50 GB までのサイズの BLOB。

制限事項

サポートされていないストレージアカウント: レガシの v1 ストレージアカウントはサポートされていません。
サポートされていないサービス: マルウェアスキャンでは、Azure Files はサポートされていません。
サポートされていない BLOB の種類:追加 BLOB とページ BLOB はサポートされていません。
サポートされていない暗号化: クライアント側で暗号化された BLOB は、サービスで解読できないため、スキャンできません。カスタマーマネージドキー (CMK) を使って保存時に暗号化された BLOB はサポートされます。
サポートされていないプロトコル: ネットワークファイルシステム (NFS) 3.0 プロトコルを使ってアップロードされた BLOB はスキャンされません。
BLOB インデックスタグ: 階層型名前空間が有効になっているストレージアカウントでは、インデックスタグはサポートされません (Azure Data Lake Storage Gen2)。
サポートされていないリージョン: 一部のリージョンでは、マルウェアスキャンはまだサポートされていません。このサービスは、新しいリージョンに継続的に拡大されています。サポートされているリージョンの最新の一覧については、Defender for Cloud の提供状況に関するページをご覧ください。
Event Grid: パブリックネットワークアクセスが有効になっていない Event Grid トピック (プライベートエンドポイント接続など) は、Defender for Storage でのマルウェアスキャンではサポートされていません。
メタデータの更新後に BLOB がスキャンされない可能性があります**:** アップロード後すぐに BLOB のメタデータが更新された場合、アップロード時のスキャンが BLOB のスキャンに失敗する可能性があります。この問題を回避するには、 BlobOpenWriteOptions で BLOB メタデータを指定するか、BLOB がスキャンされるまで BLOB メタデータの更新を延期することをお勧めします。
スキャン時間の制限: サイズと複雑さによっては、一部の BLOB のスキャンに時間がかかる場合があります。たとえば、多くのエントリを含む zip ファイルは、通常、スキャンに長い時間がかかります。 Defender では、1 つの BLOB のスキャンに割り当てられる時間の上限が適用されます。この時間の範囲は、BLOB のサイズに応じて 30 分から 3 時間です。 BLOB のスキャンに割り当てられた時間よりも長い時間がかかる場合、スキャン結果は "スキャンタイムアウト" とマークされます。

その他のコスト

Azure サービス: マルウェアスキャンでは他の Azure サービスが使われ、それによってさらにコストが発生する可能性があります。

Azure Storage の読み取り操作
Azure Storage BLOB インデックス作成 (BLOB インデックスタグを使用して発生するコストを削減するために、Azure Portal または REST API からマルウェアスキャン結果を格納するためのインデックスタグの使用を無効にすることができます)
Azure Event Grid のイベント

Microsoft Defender for Storage の価格見積もりダッシュボードは、Defender for Storage の予想コストの合計を見積もるのに役立ちます。

BLOB のスキャンと IOPS への影響

マルウェアスキャンサービスは、ファイルをスキャンするたびに、別の読み取り操作をトリガーして、インデックスタグを更新します。これは、BLOB がアップロードまたは変更された後で行われるアップロード時スキャンと、オンデマンドスキャンの両方に適用されます。このような操作は行われますが、スキャン対象のデータへのアクセスは影響を受けません。ストレージの 1 秒あたりの入出力操作 (IOPS) への影響は最小限であり、通常、これらの操作で大きな負荷が発生しないことが保証されます。 IOPS への影響を軽減するために、マルウェアスキャンの結果を格納するためのインデックスタグの使用を無効にすることができます。

マルウェアスキャンの効果が得られないシナリオ

マルウェアスキャンは包括的な検出機能を提供しますが、特定のシナリオでは固有の制限により効果が得られません。ストレージアカウントでマルウェアスキャンを有効にすることを決定する前に、これらのシナリオを慎重に評価してください。

チャンクされたデータ: マルウェアスキャンは、小さな部分に分割された BLOB の脅威を検出する際に効果的ではありません。ファイルヘッダーが含まれているが、ファイルの残りの部分が見つからない BLOB は破損しているとマークされます。元のファイルの末尾を含むが、ファイルヘッダーがない BLOB の場合、マルウェア対策エンジンは存在するマルウェアを検出できません。このリスクを軽減するには、チャンクの前や完全に再構築された後のデータのスキャンなど、追加のセキュリティ対策を検討してください。
暗号化されたデータ: マルウェアスキャンでは、クライアント側で暗号化されたデータはサポートされません。サービスはこのデータを復号化できないため、これらの暗号化された BLOB 内のマルウェアは検出されません。暗号化が必要な場合は、暗号化プロセスの前にデータをスキャンするか、カスタマーマネージドキー (CMK) などのサポートされている暗号化方法を使用して保存時の暗号化を行います。
バックアップデータ: バックアップは、さまざまなファイルのフラグメントで構成されます。悪意のあるファイルがバックアップされると、バックアップファイルに対する誤検知の検出がトリガーされる可能性があり、それ自体は悪意のあるものではありません。

マルウェアスキャンの有効化を決定するときは、他のサポートされているファイルがストレージアカウントにアップロードされているかどうかを検討します。また、攻撃者がこのアップロードストリームを悪用してマルウェアを持ち込む可能性があるかどうかを評価します。

Azure Storage とエンドポイント環境でのマルウェア検出の違い

Defender for Storage では、Defender for Endpoint と同じマルウェア対策エンジンと up-to-date 署名を使用してマルウェアをスキャンします。ただし、ファイルが Azure Storage にアップロードされると、マルウェア対策エンジンが依存する特定のメタデータがありません。メタデータが不足すると、Defender for Endpoint によって識別される検出と比較して、Azure Storage での検出ミスの割合が高くなる可能性があります ("false negatives" と呼ばれます)。

以下に示すのは、いくつかの不足しているメタデータの例です。

Web のマーク (MOTW): MOTW は、インターネットからダウンロードされたファイルを追跡する Windows のセキュリティ機能です。ただし、ファイルが Azure Storage にアップロードされるとき、このメタデータは保持されません。
ファイルパスコンテキスト: 標準的なオペレーティングシステムでは、ファイルパスによって脅威検出のためのコンテキストをさらに提供できます。たとえば、システムの場所 (C:\Windows\System32 など) を変更しようとするファイルは、疑わしいというフラグが立てられ、さらなる分析の対象になります。 Azure Storage では、BLOB 内の特定のファイルパスのコンテキストを、同じ方法で利用することはできません。
ビヘイビアーデータ: Defender for Storage は、ファイルを実行せずに、その内容を分析します。ファイルを検査し、実行をエミュレートしてマルウェアをチェックする場合があります。ただし、このアプローチでは、実行中にのみ有害性が判明する、特定の種類のマルウェアが検出されない可能性があります。

アクセスとデータのプライバシー

データアクセスの要件

マルウェアスキャンサービスは、マルウェアをスキャンするためにデータにアクセスする必要があります。サービスの有効化の間に、StorageDataScanner という名前の新しいデータスキャナーリソースが Azure サブスクリプションに作成されます。このリソースには、システム割り当てマネージド ID が割り当てられ、データにアクセスしてスキャンするためのストレージ BLOB データ所有者ロールの割り当てが付与されます。

ストレージアカウントのネットワーク構成が、選択した仮想ネットワークと IP アドレスからのパブリックネットワークアクセスを有効にするように設定されている場合は、ストレージアカウントのネットワーク構成の [リソースインスタンス] セクションに StorageDataScanner リソースが追加されて、スキャンのアクセスが許可されます。

データのプライバシーとリージョンの処理

リージョンの処理: データ所在地の要件に準拠するため、スキャンはストレージアカウントと同じ Azure リージョン内で実行されます。
データの処理: スキャンされたファイルは格納されません。場合によっては、ファイルのメタデータ (SHA-256 ハッシュなど) が、詳細な分析のために Microsoft Defender for Endpoint と共有されることがあります。

可能性のある誤検知と検知漏れを処理する

誤検知

誤検知は、システムが無害なファイルを誤って有害と識別した場合に発生します。これらの問題に対処するには、次のようにします。

分析のために送信する
- サンプル提出ポータルを使って、誤検知を報告します。
- 提出するときは、ソースとして "Microsoft Defender for Storage" を選びます。
Suppress alerts (アラートの抑制)
- Defender for Cloud で抑制ルールを作成して、繰り返し発生する特定の誤検知アラートを防ぎます。

検出されないマルウェアに対処する (検知漏れ)

システムが悪意のあるファイルの検出に失敗すると、検知漏れが発生します。これが発生したと思われる場合は、サンプル提出ポータルを使って分析のためにファイルを送信して、検出されなかったマルウェアを報告できます。ファイルが有害であると信じる理由を説明するため、できる限り多くのコンテキストを含めるようにしてください。

注

誤検知と検知漏れが定期的に報告されると、時間と共にマルウェア検出システムの正確性が向上します。

次の方法で共有

マルウェア スキャンの概要

マルウェア スキャンが重要な理由