Defender for Cloud Appsがアマゾン ウェブ サービス (AWS) 環境の保護にどのように役立つか

Amazon Web Services(AWS)は、組織がクラウド上でワークロードをホスト・管理できるIaaSプロバイダーです。 クラウドインフラは多くの利点を提供しますが、同時に重要な資産を脅威にさらすこともあります。 これらの資産には、機密データを含むストレージインスタンス、主要なアプリケーションを実行する計算リソース、ポート、仮想プライベートネットワークが含まれます。

AWSとDefender for Cloud Appsを接続して資産を保護し、脅威を検出しましょう。 コネクターは管理者およびサインインの活動を監視します。 ブルートフォース攻撃、特権アカウントの悪用、異常なVM削除、公開されているストレージバケットについて通知します。

主な脅威

AWS を Defender for Cloud Apps に接続すると、次の脅威を検出して対応するのに役立ちます。

• クラウド リソースの悪用
• 侵害されたアカウントとインサイダーの脅威
• データ漏洩
• リソースの構成ミスとアクセス制御の不十分

Defender for Cloud Appsで環境を守りましょう

Defender for Cloud Appsは、以下の支援を通じてあなたのAWS環境を保護します:

• クラウドの脅威、侵害されたアカウント、悪意のある内部関係者を検出する
• 共有データの露出を制限し、コラボレーション ポリシーを実施する
• フォレンジック調査に操作の監査証跡を活用する

組み込みのポリシーとポリシー テンプレートを使用して AWS を制御する

次の組み込みのポリシー テンプレートを使用して、潜在的な脅威を検出して通知できます。

重要

ファイル ポリシーは、2027 年 1 月 6 日に廃止されます。 このアプリのファイル ベースのデータ保護を維持するには、Microsoft Purview DLP または自動ラベル付けポリシーに移行します。

タイプ	氏名
アクティビティ ポリシー テンプレート	管理 コンソールのサインインエラー EC2 インスタンス構成の変更 IAM ポリシーの変更 危険な IP アドレスからのログオン ネットワーク アクセス制御リスト (ACL) の変更 ネットワーク ゲートウェイの変更 S3 バケット アクティビティ セキュリティ グループの構成の変更 仮想プライベート ネットワークの変更
組み込みの異常検出ポリシー	匿名 IP アドレスからのアクティビティ 頻度の低い国からのアクティビティ 疑わしい IP アドレスからのアクティビティ 不可能な移動 終了したユーザーによって実行されるアクティビティ (IdP としてMicrosoft Entra IDが必要) 複数回のログイン試行の失敗 通常とは異なる管理アクティビティ
ファイル ポリシー テンプレート	S3 バケットはパブリックにアクセス可能

ポリシーの作成の詳細については、「ポリシーの 作成」を参照してください。

ガバナンス制御を自動化する

また、検出された脅威を修正するためにAWSガバナンスアクションを適用・自動化することもできます:

タイプ	アクション
ユーザー ガバナンス	- ユーザーにアラートを通知する (Microsoft Entra ID経由) - ユーザーに再度サインインを要求する (Microsoft Entra ID経由) - ユーザーを一時停止する (Microsoft Entra ID経由)
データ ガバナンス	- S3 バケットをプライベートにする - S3 バケットのコラボレーターを削除する

アプリからの脅威の修復の詳細については、「 接続されたアプリの管理」を参照してください。

リアルタイムで AWS を保護する

管理されていないデバイスまたは危険なデバイスへの機密データのダウンロードをブロックして保護するためのベスト プラクティスを確認します。

Amazon Web Services を Microsoft Defender for Cloud Apps に接続する

Defender for Cloud Appsは、対応するクラウドサービスと連携してアクティビティデータを取り込むコネクタAPIを提供します。 これらのAPIを使って、既存のAmazon Web Services(AWS)アカウントをDefender for Cloud Appsに接続してください。 DEFENDER FOR CLOUD APPSが AWS を保護する方法については、「AWS を保護する」を参照してください。

AWS セキュリティ監査をDefender for Cloud Apps接続に接続して、AWS アプリの使用を可視化して制御できます。

手順 1: Amazon Web Services 監査を構成する

Defender for Cloud Appsの AWS 監査を構成するには、次の手順に従います。

1. アマゾン ウェブ サービス コンソールにサインインする

2. Defender for Cloud Appsの新しいユーザーを追加し、ユーザーにプログラムによるアクセス権を付与します。

3. [ ポリシーの作成 ] を選択し、新しいポリシーの名前を入力します。

4. [ JSON ] タブを選択し、次のスクリプトを貼り付けます。

   {
     "Version" : "2012-10-17",
     "Statement" : [{
         "Action" : [
           "cloudtrail:DescribeTrails",
           "cloudtrail:LookupEvents",
           "cloudtrail:GetTrailStatus",
           "cloudwatch:Describe*",
           "cloudwatch:Get*",
           "cloudwatch:List*",
           "iam:List*",
           "iam:Get*",
           "s3:ListAllMyBuckets",
           "s3:PutBucketAcl",
           "s3:GetBucketAcl",
           "s3:GetBucketLocation"
         ],
         "Effect" : "Allow",
         "Resource" : "*"
       }
     ]
    }
   

5. [ .csvのダウンロード ] を選択して、新しいユーザーの資格情報のコピーを保存します。 これらの資格情報は後で必要になります。

   注:

   AWS に接続すると、接続の 7 日前にイベントが受信されます。 CloudTrail を有効にしたばかりの場合は、CloudTrail を有効にした時点からイベントを受け取ります。

手順 2: Amazon Web Services 監査を Defender for Cloud Apps に接続する

AWS 監査をDefender for Cloud Appsに接続するには、次の手順を実行します。

1. Microsoft Defender ポータルで、[設定] を選択します。 次に、[ Cloud Apps] を選択します。 [ 接続済みアプリ] で、[ アプリ コネクタ] を選択します。

2. [ アプリ コネクタ ] ページで、AWS コネクタの資格情報を指定するには、次のいずれかの操作を行います。

新しいコネクタの場合

1. +Connect an app、次にAmazon Web Servicesを選択します。

   

2. 次のウィンドウで、コネクタの名前を指定し、[ 次へ] を選択します。

   

3. [ アマゾン ウェブ サービスの接続 ] ページで、[ セキュリティ監査] を選択し、[ 次へ] を選択します。

4. [ セキュリティ監査] ページで、.csv ファイルの アクセス キー と シークレット キー を関連するフィールドに貼り付け、[ 次へ] を選択します。

   

既存のコネクタの場合

1. コネクタの一覧で、AWS コネクタが表示される行で、[ 設定の編集] を選択します。

2. [ インスタンス名] ページと [ Connect Amazon Web Services] ページで、[ 次へ] を選択します。 [ セキュリティ監査] ページで、.csv ファイルの アクセス キー と シークレット キー を関連するフィールドに貼り付け、[ 次へ] を選択します。

   

3. Microsoft Defender ポータルで、[設定] を選択します。 次に、[ Cloud Apps] を選択します。 [ 接続済みアプリ] で、[ アプリ コネクタ] を選択します。 接続されている App Connector の状態が [接続済み] になっていることを確認します。

次の手順

• ポリシーを使用したクラウド アプリの制御