セキュリティに関する推奨事項

[アーティクル]
04/01/2024

この記事では、Microsoft Defender for Cloud に表示されるすべてのセキュリティに関する推奨事項を示します。環境に表示される推奨事項は、保護するリソースとカスタマイズした構成に基づいています。

Defender for Cloud の推奨事項は、Microsoft クラウドセキュリティベンチマークに基づいています。 Microsoft クラウドセキュリティベンチマークは、セキュリティとコンプライアンスのベストプラクティスに関する Microsoft が作成した一連のガイドラインです。この広く評価されているベンチマークは、クラウド中心のセキュリティに重点を置いて、インターネットセキュリティセンター (CIS) と国立標準技術研究所 (NIST) のコントロールに基づいています。

これらの推奨事項に応じて実行できるアクションについては、「Defender for Cloud での推奨事項の修復」を参照してください。

セキュリティスコアは、完了したセキュリティに関する推奨事項の数に基づいています。最初に解決する推奨事項を決定するには、各推奨事項の重大度と、セキュリティスコアに対する潜在的な影響を確認します。

ヒント

推奨事項の説明に [関連ポリシーなし] と表示されている場合、通常は、その推奨事項が別の推奨事項とそのポリシーに依存しているためです。

Web アプリケーションには HTTPS を介してのみアクセスできるようにする

説明: HTTPS を使用すると、サーバー/サービス認証が保証され、転送中のデータがネットワーク層の傍受攻撃から保護されます。 (関連ポリシー: Web アプリケーションには HTTPS 経由でのみアクセスできます)。

重大度: 中

Web アプリではすべての受信要求に対して SSL 証明書を要求する必要がある

説明: クライアント証明書を使用すると、アプリが受信要求の証明書を要求できます。有効な証明書を持つクライアントのみがアプリにアクセスできます。 (関連ポリシー: WEB アプリの [クライアント証明書 (受信クライアント証明書)]が [オン] に設定されていることを確認します。

説明: Defender for Cloud では、ファイル整合性監視ソリューションがないマシンが特定されました。サーバー上の重要なファイルやレジストリキーなどの変更を監視するには、ファイルの整合性の監視を有効にします。ファイル整合性監視ソリューションが有効になっている場合は、監視するファイルを定義するデータ収集ルールを作成します。ルールを定義したり、既存のルールを持つマシンで変更されたファイルを確認したりするには、ファイルの整合性の監視管理ページに移動します。 (関連ポリシーはありません)

重大度: 高

サポートされている Linux 仮想マシンのスケールセットに Guest Attestation 拡張機能をインストールする必要がある

説明: サポートされている Linux 仮想マシンスケールセットにゲスト構成証明拡張機能をインストールして、Microsoft Defender for Cloud が起動の整合性を事前に証明して監視できるようにします。インストール後は、リモート構成証明を通じて、ブート整合性の構成証明が行われるようになります。この評価が適用されるのは、トラステッド起動が有効な Linux 仮想マシンスケールセットのみです。

説明: Microsoft Defender for servers は、サーバーワークロードに対してリアルタイムの脅威保護を提供し、セキュリティ強化に関する推奨事項と、疑わしいアクティビティに関するアラートを生成します。この情報を使用して、セキュリティの問題を迅速に修復し、サーバーのセキュリティを強化できます。

重大度: 高

コンピューティングとストレージのリソース間で一時ディスク、キャッシュ、データフローを仮想マシンによって暗号化する必要がある

説明: 既定では、仮想マシンの OS ディスクとデータディスクは、プラットフォームマネージドキーを使用して保存時に暗号化されます。一時ディスクとデータキャッシュは暗号化されず、コンピューティングリソースとストレージリソースの間を流れるときはデータは暗号化されません。 Azure でのさまざまなディスク暗号化テクノロジの比較については、 https://aka.ms/diskencryptioncomparison を参照してください。 Azure Disk Encryption を使用してこのデータをすべて暗号化します。次のような場合は、この推奨事項を無視してください。

ホストでの暗号化機能を使用している場合、または 2. マネージドディスクでのサーバー側暗号化がセキュリティ要件を満たしている。詳細については、「Azure Disk Storage のサーバー側暗号化」を参照してください。 (関連ポリシー:仮想マシンにディスク暗号化を適用する必要がある)

重要:この推奨事項の修復によって、Kubernetes クラスターを保護するための料金が発生します。このサブスクリプションに Kubernetes クラスターがない場合、料金は発生しません。今後、このサブスクリプションに Kubernetes クラスターを作成すると、それらは自動的に保護され、その時点で料金が発生します。詳細については、「Microsoft Defender for Containers の概要」を参照してください。 (関連ポリシーはありません)

重大度: 高

型: コントロールプレーン

コンテナーの CPU とメモリの制限を強制する必要がある

説明: CPU とメモリの制限を適用すると、リソース枯渇攻撃 (サービス拒否攻撃の一種) を防ぐことができます。

コンテナーに制限を設定し、設定された制限を超えてリソースがコンテナーで使用されないように、ランタイムによって防ぐことをお勧めします。

重大度: 中

型: Kubernetes データプレーン

コンテナーイメージは信頼されたレジストリからのみデプロイする必要がある

説明: Kubernetes クラスターで実行されているイメージは、既知の監視対象のコンテナーイメージレジストリから取得する必要があります。信頼されたレジストリは、不明な脆弱性、セキュリティの問題、および悪意のあるイメージの導入の可能性を制限することで、クラスターの露出リスクを軽減します。

重大度: 高

型: Kubernetes データプレーン

特権エスカレーションを含むコンテナーは避ける必要がある

説明: Kubernetes クラスター内の root への特権エスカレーションを使用してコンテナーを実行しないでください。プロセスが親プロセスよりも多くの特権を取得できるかどうかは、AllowPrivilegeEscalation 属性によって制御されます。 (関連ポリシー: Kubernetes クラスターでは、コンテナー特権のエスカレーションを許可しないでください)。

重大度: 中

型: Kubernetes データプレーン

説明: 無制限のホストアクセスを防ぐには、可能な限り特権コンテナーを使用しないでください。

説明: Microsoft Defender for SQL は、高度な SQL セキュリティ機能を提供する統合パッケージです。データベースの潜在的な脆弱性の検出と軽減、データベースへの脅威を示す可能性がある異常なアクティビティの検出、機密データの検出と分類を行う機能が含まれています。重要: このプランの保護は、Defender プランページに示されているとおりに課金されます。このサブスクリプションに Azure SQL Database サーバーがない場合、課金されることはありません。後でこのサブスクリプションに Azure SQL Database サーバーを作成した場合は、自動的に保護され、課金が開始されます。詳細については、リージョン別の価格の詳細を参照してください。詳細については、「Microsoft Defender for SQL の概要」を参照してください。 (関連ポリシー: Azure Defender for Azure SQL Database サーバーを有効にする必要があります)。

重大度: 高

Microsoft Defender for DNSを有効にする必要があります

説明: Microsoft Defender for DNS では、Azure リソースからのすべての DNS クエリを継続的に監視することで、クラウドリソースに対する追加の保護レイヤーが提供されます。 Defender for DNS では、DNS 層での不審なアクティビティについて警告します。詳細については、「Microsoft Defender for DNS の概要」を参照してください。この Defender プランを有効にすると、料金が発生します。リージョンごとの価格の詳細については、Defender for Cloud の価格に関するページ「 Defender for Cloud の価格」を参照してください。 (関連ポリシーはありません)

重大度: 高

Microsoft Defender for open-source relational databases を有効にする必要がある

説明: Microsoft Defender for オープンソースリレーショナルデータベースは、データベースへのアクセスやデータベースの悪用を試みる、通常とは異なる、害を及ぼす可能性のある試みを示す異常なアクティビティを検出します。詳細については、「Microsoft Defender for open-source relational databases の概要」を参照してください。

重要: このプランを有効にすると、オープンソースリレーショナルデータベースを保護するための料金が発生します。このサブスクリプションにオープンソースリレーショナルデータベースがない場合、料金は発生しません。今後このサブスクリプションにオープンソースリレーショナルデータベースを作成すると、それらは自動的に保護され、その時点で料金が発生します。 (関連ポリシーはありません)

重大度: 高

Microsoft Defender for Resource Managerを有効にする必要があります

説明: Microsoft Defender for Resource Manager は、組織内のリソース管理操作を自動的に監視します。 Defender for Cloud では、脅威を検出し、疑わしいアクティビティについて警告します。詳細については、「Microsoft Defender for Resource Manager の概要」を参照してください。この Defender プランを有効にすると、料金が発生します。リージョンごとの価格の詳細については、Defender for Cloud の価格に関するページ「 Defender for Cloud の価格」を参照してください。 (関連ポリシーはありません)

重大度: 高

Microsoft Defender for SQL on machines をワークスペース上で有効にする必要がある

重大度: 中

マシン上の Microsoft Defender for SQL サーバーを有効にする必要があります

説明: Microsoft Defender for SQL は、高度な SQL セキュリティ機能を提供する統合パッケージです。データベースの潜在的な脆弱性の検出と軽減、データベースへの脅威を示す可能性がある異常なアクティビティの検出、機密データの検出と分類を行う機能が含まれています。

説明: SQL 脆弱性評価は、データベースのセキュリティの脆弱性をスキャンし、構成ミス、過剰なアクセス許可、保護されていない機密データなどのベストプラクティスからの逸脱を公開します。見つかった脆弱性を解決すると、データベースのセキュリティ態勢が大幅に向上する可能性があります。詳細情報 (関連ポリシー: コンピューター上の SQL サーバーの脆弱性を修復する必要があります)。

重大度: 高

既定の IP フィルターポリシーを拒否にする必要がある

説明: IP フィルター構成には、許可されたトラフィックに対してルールが定義されている必要があり、既定では他のすべてのトラフィックを拒否する必要があります (関連するポリシーはありません)。

重大度: 中

IoT Hub の診断ログを有効にする必要があります

説明: ログを有効にし、最大 1 年間保持します。これにより、セキュリティインシデントが発生した場合やネットワークが侵害された場合に、調査目的でアクティビティ証跡を再作成できます。 (関連ポリシー: IoT Hub の診断ログを有効にする必要があります)。

重大度: 低

認証の資格情報が同一

説明: 複数のデバイスで使用される IoT Hub と同じ認証資格情報。これは、不正なデバイスが正当なデバイスを偽装していることを示している場合があります。また、攻撃者によるデバイスの偽装のリスクも公開されます (関連するポリシーはありません)。

重大度: 高

IP フィルタールールの IP 範囲が広い

説明: 許可 IP フィルター規則のソース IP 範囲が大きすぎます。過度に制限の緩いルールでは、悪意のある意図者に IoT ハブが公開される可能性があります (関連するポリシーはありません)。

説明と関連ポリシー: 攻撃やセキュリティの構成ミスから API リソースを検出して保護する Defender for API プランを有効にします。詳細情報

重大度: 高

Azure API Management API を Defender for API にオンボードする必要がある

説明と関連ポリシー: Defender for API への API のオンボードには、Azure API Management サービスでのコンピューティングとメモリの使用率が必要です。 API のオンボード中に Azure API Management サービスのパフォーマンスを監視し、必要に応じて Azure API Management リソースをスケールアウトします。

重大度: 高

使用されていない API エンドポイントは、無効にし、Azure API Management サービスから削除する必要がある

説明と関連ポリシー: セキュリティのベストプラクティスとして、30 日間トラフィックを受信していない API エンドポイントは未使用と見なされ、Azure API Management サービスから削除する必要があります。使用されていない API エンドポイントを保持しておくと、セキュリティリスクが発生するおそれがあります。これらは、Azure API Management サービスで非推奨になっているはずが、誤ってアクティブなままになっている API である可能性があります。通常、このような API は最新のセキュリティカバレッジの対象になりません。

重大度: 低

Azure API Management の API エンドポイントを認証する必要がある

説明と関連ポリシー: Azure API Management 内で発行された API エンドポイントは、セキュリティリスクを最小限に抑えるために認証を適用する必要があります。認証メカニズムは正しく実装されていない場合や欠落している場合があります。この場合、攻撃者が実装の欠陥を悪用し、データにアクセスできてしまいます。 Azure API Management で発行された API の場合、この推奨事項では、サブスクリプションが必要な API または製品の Azure API Management サブスクリプションキーの存在と、JWT、クライアント証明書、および Microsoft Entra トークンを検証するためのポリシーの実行を検証することで、認証を評価します。 API 呼び出し中にこれらの認証メカニズムがどれも実行されない場合は、API にこの推奨事項が適用されます。

説明と関連ポリシー: API Management からバックエンドへの呼び出しでは、証明書または資格情報を使用するかどうかにかかわらず、何らかの形式の認証を使用する必要があります。 Service Fabric バックエンドには適用されません。

重大度: 中

AI に関する推奨事項

Azure Machine Learning ワークスペースのリソースログを有効にする必要がある (プレビュー)

説明と関連ポリシー: リソースログを使用すると、セキュリティインシデントが発生したときやネットワークが侵害されたときに、アクティビティ証跡を再作成して調査に使用できます。

重大度: 中

Azure Machine Learning ワークスペースで公衆ネットワークアクセスを無効にする必要がある (プレビュー)

説明と関連ポリシー: パブリックネットワークアクセスを無効にすると、コンピューターラーニングワークスペースがパブリックインターネット上で公開されないようにすることで、セキュリティが向上します。ワークスペースの公開は、その代わりにプライベートエンドポイントを作成することで制御できます。詳細については、「Azure Machine Learning ワークスペース用にプライベートエンドポイントを構成する」を参照してください。

重大度: 中

Azure Machine Learning コンピューティングは仮想ネットワーク内に存在する必要がある (プレビュー)

説明と関連ポリシー: Azure Virtual Networks では、Azure Machine ラーニングコンピューティングクラスターとインスタンス、サブネット、アクセス制御ポリシー、その他の機能のセキュリティと分離が強化され、アクセスがさらに制限されます。コンピューティングが仮想ネットワークで構成されていると、パブリックなアドレス指定ができなくなり、仮想ネットワーク内の仮想マシンとアプリケーションからのみアクセスできるようになります。

重大度: 中

Azure Machine Learning コンピューティングでローカル認証方法を無効にする必要がある (プレビュー)

説明と関連ポリシー: ローカル認証方法を無効にすると、Machine ラーニング Computes で認証専用の Azure Active Directory ID が必要とされ、セキュリティが向上します。詳細については、「Azure Machine Learning 用の Azure Policy 規制コンプライアンスコントロール」を参照してください。

重大度: 中

説明: セキュリティのために、キーアクセス (ローカル認証) を無効にすることをお勧めします。開発/テストで通常使用される Azure OpenAI Studio にはキーアクセスが必要であり、キーアクセスが無効になっている場合は機能しません。無効にすると、Microsoft Entra ID が唯一のアクセス方法になるため、最小特権の原則と詳細な制御を維持できます。詳細情報。

説明と関連ポリシー: セキュリティ上の欠陥のため、または追加機能を含めるために、Java ソフトウェアの新しいバージョンが定期的にリリースされます。最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を活用できるように、最新の Java バージョンを関数アプリに使用することをお勧めします。 (関連ポリシー: 関数アプリの一部として使用する場合は、"Java バージョン" が最新であることを確認します)。

重大度: 中

Web アプリ用に PHP を最新バージョンに更新する必要がある

説明と関連ポリシー: セキュリティ上の欠陥のため、または追加機能を含めるために、PHP ソフトウェアの新しいバージョンが定期的にリリースされます。最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を活用できるように、最新の PHP バージョンを Web アプリに使用することをお勧めします。 (関連ポリシー: WEB アプリの一部として使用する場合は、'PHP バージョン' が最新であることを確認します)。

重大度: 中