ポリシーを使用したクラウドアプリの制御

[アーティクル]
11/09/2023

ポリシーを使用して、ユーザーがクラウド上でどのように行動するかを定義することができます。ポリシーを使用すると、クラウド環境におけるリスクのある動作、違反、または疑わしいデータポイントやアクティビティを検出することができます。必要に応じて、修復ワークフローを統合して、完全なリスク軽減策を実現することができます。ポリシーには複数の種類があり、クラウド環境に関して収集する必要があるさまざまな種類の情報や、実行する可能性のある修復アクションの種類と関連しています。

たとえば、隔離したいデータ違反の脅威がある場合は、危険なクラウドアプリが組織で使用されないようにブロックする場合とは異なる種類のポリシーを適用する必要があります。

ポリシータイプ

[ポリシー管理] ページでは、さまざまなポリシーとテンプレートを種類とアイコンで区別して、使用可能なポリシーを確認することができます。ポリシーは、[すべてのポリシー] タブまたはそれぞれのカテゴリタブでまとめて表示できます。使用可能なポリシーは、データソースと、組織の Defender for Cloud Apps で有効にしたものによって異なります。たとえば、Cloud Discovery ログをアップロードした場合、Cloud Discovery に関連するポリシーが表示されます。

以下の種類のポリシーを作成できます。

ポリシーの種類	[カテゴリ]	使用する方法
アクティビティポリシー	脅威の検出	アクティビティポリシーを使用すると、アプリプロバイダーの API を使用して幅広い自動プロセスを適用できます。これらのポリシーを使用すると、さまざまなユーザーによって実行される特定のアクティビティを監視したり、特定の種類のアクティビティの予想外に高い割合を追跡したりできます。詳細情報
異常検出ポリシー	脅威の検出	異常検出ポリシーでは、クラウドの異常なアクティビティを見つけることができます。検出は、組織のベースラインまたはユーザーの通常のアクティビティとは異なる何かが発生したときに警告するように設定したリスク要因に基づいています。詳細情報
OAuth アプリポリシー	脅威の検出	OAuth アプリポリシーを使用すると、各 OAuth アプリが要求した権限を調査し、それを自動的に承認または取り消すことができます。これらは Defender for Cloud Apps に付属する組み込みのポリシーであり、作成することはできません。詳細情報
マルウェア検出ポリシー	脅威の検出	マルウェア検出ポリシーを使用すると、クラウドストレージ内の悪意のあるファイルを特定し、自動的に承認または取り消しできます。これは Defender for Cloud Apps に付属する組み込みのポリシーであり、作成することはできません。詳細情報
ファイルポリシー	情報保護	ファイルポリシーでは、クラウドアプリをスキャンし、指定したファイルまたはファイルの種類 (共有、外部ドメインとの共有)、データ (機密情報、個人データ、クレジットカード情報、およびその他の種類のデータ) を監視して、ファイルにガバナンスアクションを適用します (ガバナンスアクションはクラウドアプリごとに異なります)。詳細情報
アクセスポリシー	条件付きアクセス	アクセスポリシーは、リアルタイムの監視と、クラウドアプリへのユーザーログインの制御を提供します。詳細情報
セッションポリシー	条件付きアクセス	セッションポリシーは、リアルタイムの監視と、クラウドアプリでのユーザーアクティビティの制御を提供します。詳細情報
アプリの検出ポリシー	シャドウ IT	アプリ検出ポリシーを使用すると、組織内で新しいアプリが検出されたときに通知を行うアラートを設定できます。詳細情報
Cloud Discovery 異常検出ポリシー	シャドウ IT	Cloud Discovery 異常検出ポリシーでは、クラウドアプリの検出に使用するログを確認し、異常な動作を監視します。たとえば、今まで Dropbox を使用していなかったユーザーが突然 600 GB を Dropbox にアップロードした場合や、特定のアプリで通常よりも多くのトランザクションが発生した場合などです。詳細情報

リスクの特定

Defender for Cloud Apps は、クラウド内のさまざまなリスクを軽減するのに役立ちます。次のいずれかのリスクに関連付けるポリシーとアラートを構成できます。

アクセスの制御: どのユーザーがどこから何にアクセスしているか。

継続的に動作を監視して、危険度の高い内部および外部からの攻撃などの異常なアクティビティを検出し、アプリまたはアプリ内の特定のアクションに対して警告、ブロック、本人確認を必要とするポリシーを適用します。ユーザー、デバイス、地域に基づいたオンプレミスとモバイルのアクセス制御ポリシーを有効にし、大まかなブロックと詳細な表示、編集、ブロックを行います。多要素認証の失敗、無効なアカウントからのログインの失敗、偽装イベントなど、疑わしいログインイベントを検出します。
コンプライアンス: コンプライアンス要件に違反していないか。

ファイル同期サービスに保存されている機密データや規制対象のデータ (各ファイルのアクセス許可の共有を含む) をカタログに追加して特定し、PCI、SOX、HIPAA などの規制を確実に遵守します。
構成の制御: 構成が承認なく変更されていないか。

リモート構成操作を含む構成変更を監視します。
Cloud Discovery: 組織内で新しいアプリが使用されていないか。知らないうちにシャドー IT アプリが使用されているという問題がありますか?

規制および業界の認定とベストプラクティスに基づいて、各クラウドアプリの全体的なリスクを評価します。各クラウドアプリケーションのユーザー数、アクティビティ、トラフィック量、および通常の使用時間を監視できます。
DLP: 機密ファイルが一般公開されていないか。ファイルを隔離する必要がありますか?

オンプレミス DLP 統合は、既存のオンプレミス DLP ソリューションとの統合と閉ループ修復を提供します。
特権アカウント: 管理者アカウントを監視する必要があるか。

特権ユーザーと管理者のリアルタイムのアクティビティ監視とレポート。
共有の制御: クラウド環境内でデータがどのように共有されているか。

クラウド内のファイルとコンテンツの内容を検査し、内部および外部の共有ポリシーを適用します。コラボレーションを監視し、ファイルが組織外で共有されるのをブロックするなどの共有ポリシーを適用します。
脅威の検出: クラウド環境の脅威となる疑わしいアクティビティがないか。

ポリシー違反やアクティビティのしきい値に関するリアルタイムの通知を電子メールで受け取ります。 Defender for Cloud Apps では、機械学習アルゴリズムを適用することで、ユーザーがデータを悪用していることを示す可能性のある動作を検出できます。

リスクを制御する方法

ポリシーを使用してリスクを制御するには、以下の手順を実行します。

テンプレートまたはクエリからポリシーを作成します。
想定した結果を得るためにポリシーを調整します。
リスクに自動的に反応して修復する自動アクションを追加します。

ポリシーの作成

すべてのポリシーの基盤として Defender for Cloud Apps のポリシーテンプレートを使用するか、クエリからポリシーを作成できます。

ポリシーテンプレートを使用すると、環境内で特定のイベントを検出するために必要なフィルターと構成を適切に設定できます。テンプレートにはすべての種類のポリシーが含まれ、さまざまなサービスに適用できます。

ポリシーテンプレートからポリシーを作成するには、以下の手順を実行します。

Microsoft Defender ポータルの [クラウドアプリ] で [ポリシー] ->[ポリシーテンプレート] に移動します。
使用するテンプレートの行の右端にあるプラス記号 [+] を選択します。定義済みのテンプレートの構成を含む、ポリシーの作成ページが開きます。
必要に応じてテンプレートを変更し、カスタムポリシーを作成します。この新しいテンプレートベースのポリシーのプロパティとフィールドは、すべて必要に応じて変更できます。

Note

ポリシーフィルターを使用する場合、[次の値を含む] では、コンマ、ピリオド、スペース、またはアンダースコアで区切られた完全な単語のみが検索されます。たとえば、malware または virus を検索する場合、virus_malware_file.exe は検出されますが、malwarevirusfile.exe は検出されません。 malware.exeで検索すると、ファイル名にmalwareまたはexeが含まれるすべてのファイルが検索されますが、"malware.exe"(引用符付き) で検索すると、 "malware.exe"を含むファイルだけが検索されます。
[が次と等しい] を使用して検索すると、完全な文字列のみが検索されます。たとえば、malware.exe を検索すると、malware.exe は検出されますが、malware.exe.txt は検出されません。
新しいテンプレートベースのポリシーを作成すると、ポリシーを作成したテンプレートの横にあるポリシーテンプレートテーブルの [リンク済みポリシー] 列に新しいポリシーへのリンクが表示されます。各テンプレートからは任意の数のポリシーを作成できます。これらはすべて元のテンプレートにリンクされます。リンクすることで、同じテンプレートを使用して構築されたすべてのポリシーを追跡できます。

また、調査中にポリシーを作成することもできます。 アクティビティログ、ファイル、ID を調査し、ドリルダウンして特定の項目を確認する場合、調査の結果に基づいて新しいポリシーをいつでも作成することができます。

たとえば、アクティビティログを確認していて、オフィスの IP アドレス以外から管理者のアクティビティを見つけた場合などにポリシーを作成する必要があります。

調査結果に基づいてポリシーを作成するには、以下の手順を行います。

Microsoft Defender ポータルで、次のいずれかに移動します。
- [クラウドアプリ] ->[アクティビティログ]
- [クラウドアプリ] ->[ファイル]
- [資産] ->ID
ページの上部にあるフィルターを使用して、疑わしい領域に検索結果を制限します。たとえば、[アクティビティログ] ページで [管理アクティビティ] を選択し、[True] を選択します。 [IP アドレス] の [カテゴリ] を選択し、認識されているドメイン用に作成した IP アドレスカテゴリ (管理者、会社、および VPN の IP アドレスなど) を含めないように値を設定します。
クエリの下で、[検索に基づく新しいポリシー] を選択します。
調査に使用したフィルターを含むポリシーの作成ページが開きます。
必要に応じてテンプレートを変更し、カスタムポリシーを作成します。この新しい調査ベースのポリシーのプロパティとフィールドは、すべて必要に応じて変更できます。

Note

ポリシーフィルターを使用する場合、[次の値を含む] では、コンマ、ピリオド、スペース、またはアンダースコアで区切られた完全な単語のみが検索されます。たとえば、malware または virus を検索する場合、virus_malware_file.exe は検出されますが、malwarevirusfile.exe は検出されません。
[が次と等しい] を使用して検索すると、完全な文字列のみが検索されます。たとえば、malware.exe を検索すると、malware.exe は検出されますが、malware.exe.txt は検出されません。

Note

ポリシーフィールドを設定する方法の詳細については、対応するポリシーのドキュメントを参照してください。

ユーザーアクティビティポリシー

データ保護ポリシー

Cloud Discovery ポリシー