クラウドアプリ検出の概要

クラウド検出では、31,000 を超えるクラウドアプリのMicrosoft Defender for Cloud Apps カタログに対してトラフィックログが分析されます。アプリは、クラウドの使用、シャドウ IT、シャドウ IT がorganizationに与えるリスクを継続的に可視化するために、90 を超えるリスク要因に基づいてランク付けされ、スコア付けされます。

ヒント

既定では、Defender for Cloud Appsはカタログに含まれていないアプリを検出できません。

現在カタログに含まれていないアプリのDefender for Cloud Appsデータを表示するには、ロードマップをチェックするか、カスタムアプリを作成することをお勧めします。

スナップショットと継続的なリスク評価レポート

次の種類のレポートを生成できます。

スナップショットレポート - ファイアウォールとプロキシから手動でアップロードするトラフィックログに対するセットのアドホックな可視性を提供します。
継続的レポート - Defender for Cloud Appsを使用してネットワークから転送されたすべてのログを分析します。これらはすべてのデータの可視性を向上させ、機械学習異常検出エンジンまたは定義したカスタムポリシーを使用して、異常な使用を自動的に識別します。これらのレポートは、次の方法で接続して作成できます。
- Microsoft Defender for Endpoint統合: Defender for Cloud Appsは Defender for Endpoint とネイティブに統合され、クラウド検出のロールアウトを簡素化し、企業ネットワークを超えてクラウド検出機能を拡張し、マシンベースの調査を可能にします。
- ログコレクター: ログコレクターを使用すると、ネットワークからのログのアップロードを簡単に自動化できます。ログコレクターはネットワーク上で実行され、Syslog または FTP を使用してログを受信します。
- Secure Web Gateway (SWG): Defender for Cloud Appsと次のいずれかの SWG の両方で作業する場合は、製品を統合してセキュリティクラウド検出エクスペリエンスを強化できます。 Defender for Cloud Appsと SWG を組み合わせることで、クラウド検出のシームレスなデプロイ、承認されていないアプリの自動ブロック、SWG のポータルでのリスク評価を直接行うことができます。
クラウド検出 API – Defender for Cloud Apps クラウド検出 API を使用して、トラフィックログのアップロードを自動化し、クラウド検出レポートとリスク評価を自動化します。また、API を使用して、ブロックスクリプトを生成し、アプリコントロールをネットワークアプライアンスに直接合理化することもできます。

ログプロセスフロー: 生データからリスク評価まで

リスク評価を生成するプロセスは、次の手順で構成されます。このプロセスには、処理されるデータの量に応じて数分から数時間かかります。

アップロード – ネットワークからの Web トラフィックログがポータルにアップロードされます。
解析 – Defender for Cloud Appsは、各データソースの専用パーサーを使用して、トラフィックログからトラフィックデータを解析して抽出します。
分析 – トラフィックデータはクラウドアプリカタログに対して分析され、31,000 を超えるクラウドアプリを特定し、リスクスコアを評価します。アクティブなユーザーと IP アドレスも分析の一部として識別されます。
レポートの生成 - ログファイルから抽出されたデータのリスク評価レポートが生成されます。

注:

検出データは、1 日に 4 回分析され、更新されます。

サポートされているファイアウォールとプロキシ

Barracuda - Web App Firewall (W3C)
ブルーコートプロキシ SG - アクセスログ (W3C)
Check Point
FirePOWER を使用した Cisco ASA
Cisco ASA ファイアウォール (Cisco ASA ファイアウォールの場合は、情報レベルを 6 に設定する必要があります)
Cisco Cloud Web セキュリティ
Cisco FWSM
Cisco IronPort WSA
Cisco Meraki - URL ログ
Clavister NGFW (Syslog)
ContentKeeper
Corrata
デジタルアート i-FILTER
Forcepoint
Fortinet FortiGate
iboss Secure Cloud Gateway
Juniper SRX
Juniper SSG
McAfee Secure Web Gateway
Menlo Security (CEF)
Microsoft Forefront Threat Management Gateway (W3C)
Open Systems セキュアWebゲートウェイ
Palo Alto シリーズファイアウォール
Sonicwall (旧 Dell)
Sophos Cyberoam
Sophos SG
Sophos XG
イカ (共通)
Squid (ネイティブ)
Stormshield
Wandera
WatchGuard
Websense - Web セキュリティソリューション - インターネットアクティビティログ (CEF)
Websense - Web セキュリティソリューション - 調査詳細レポート (CSV)
Zscaler

注:

クラウド検出では、IPv4 アドレスと IPv6 アドレスの両方がサポートされます。

ログがサポートされていない場合、または、サポートされているいずれかのデータソースから新しくリリースされたログ形式を使用していて、アップロードが失敗している場合は、データソースとして [その他] を選択し、アップロードしようとしているアプライアンスとログを指定します。ログは、Defender for Cloud Apps クラウドアナリストチームによって確認され、ログの種類のサポートが追加された場合に通知されます。または、自分の形式に一致するカスタムパーサーを定義することもできます。詳細については、「カスタムログパーサーを使用する」を参照してください。

注:

次のサポートされているアプライアンスの一覧は、新しくリリースされたログ形式では機能しない可能性があります。新しくリリースされた形式を使用していて、アップロードが失敗している場合は、カスタムログパーサーを使用し、必要に応じてサポートケースを開きます。サポートケースを開く場合は、ケースに関連するファイアウォールドキュメントを必ず提供してください。

データ属性 (ベンダーのドキュメントに従います):

データソース	ターゲットアプリ URL	ターゲットアプリ IP	Username	接続元 IP	トラフィックの合計	アップロードされたバイト数
バラクーダ	○	○	○	○	いいえ	いいえ
ブルーコート	○	いいえ	○	○	○	○
Check Point	いいえ	○	いいえ	○	いいえ	いいえ
Cisco ASA (Syslog)	いいえ	○	いいえ	○	○	いいえ
FirePOWER を使用した Cisco ASA	○	○	○	○	○	○
Cisco Cloud Web セキュリティ	○	○	○	○	○	○
Cisco FWSM	いいえ	○	いいえ	○	○	いいえ
Cisco Ironport WSA	○	○	○	○	○	○
Cisco Meraki	○	○	いいえ	○	いいえ	いいえ
Clavister NGFW (Syslog)	○	○	○	○	○	○
ContentKeeper	○	○	○	○	○	○
Corrata	○	○	○	○	○	○
デジタルアート i-FILTER	○	○	○	○	○	○
ForcePoint LEEF	○	○	○	○	○	○
ForcePoint Web セキュリティクラウド*	○	○	○	○	○	○
Fortinet FortiGate	いいえ	○	○	○	○	○
FortiOS	○	○	いいえ	○	○	○
iboss	○	○	○	○	○	○
Juniper SRX	いいえ	○	いいえ	○	○	○
Juniper SSG	いいえ	○	○	○	○	○
McAfee SWG	○	いいえ	いいえ	○	○	○
Menlo Security (CEF)	○	○	○	○	○	○
MS TMG	○	いいえ	○	○	○	○
Open Systems セキュアWebゲートウェイ	○	○	○	○	○	○
Palo Alto Networks	いいえ	○	○	○	○	○
SonicWall (旧 Dell)	○	○	いいえ	○	○	○
Sophos	○	○	○	○	○	いいえ
イカ (共通)	○	いいえ	○	○	○	いいえ
Squid (ネイティブ)	○	いいえ	○	○	いいえ	いいえ
Stormshield	いいえ	○	○	○	○	○
Wandera	○	○	○	○	○	○
WatchGuard	○	○	○	○	○	○
Websense - インターネットアクティビティログ (CEF)	○	○	○	○	○	○
Websense - 調査詳細レポート (CSV)	○	○	○	○	○	○
Zscaler	○	○	○	○	○	○