概要
脅威インテリジェンスを使用すると、現在の脅威に関するリアルタイム データに基づいて、ユーザーがインターネット上の悪意のある宛先にアクセスするのを防うことができます。
脅威インテリジェンス ポリシーを構成して、重大度の高い既知の悪意のあるインターネットの宛先からユーザーをブロックできます。 このポリシーでは、Microsoft Entra Internet Accessは、Microsoft とサード パーティの両方の脅威インテリジェンス プロバイダーからのドメインと URL インジケーターに基づいてトラフィックをブロックします。 脅威インテリジェンス ルール エンジンを使用して、誤検知を処理するための許可リストを構成することもできます。 これらのポリシーはすべて、セキュリティ プロファイル フレームワークでコンテキストに対応し、グローバル セキュア アクセス (GSA) セキュリティ ポリシーを条件付きアクセスにリンクできます。
[前提条件]
- 管理者が グローバル セキュア アクセス 機能を操作する場合、実行しているタスクに応じて、次のロールが１つ以上割り当てられている必要があります。
- グローバルセキュアアクセス管理者ロールは、グローバルセキュアアクセス機能を管理する役割です。
- 条件付きアクセス ポリシーを作成して操作する条件付きアクセス管理者。
- グローバル セキュア アクセスの入門ガイドを完了します。
- エンド ユーザー デバイスにグローバル セキュア アクセス クライアントをインストールします。
- ネットワーク トラフィックをトンネリングするには、HTTPS (セキュリティで保護された DNS) 経由のドメイン ネーム システム (DNS) を無効にする必要があります。 トラフィック転送プロファイルの完全修飾ドメイン名 (FQDN) の規則を使用します。 詳細については、「 DoH をサポートするように DNS クライアントを構成する」を参照してください。
- Chrome とMicrosoft Edgeで組み込みの DNS クライアントを無効にします。
- IPv6 トラフィックはクライアントによって取得されないため、ネットワークに直接転送されます。 関連するすべてのトラフィックをトンネリングできるようにするには、ネットワーク アダプターのプロパティを IPv4 優先に設定します。
- ユーザー データグラム プロトコル (UDP) トラフィック (QUIC) はサポートされていません。 ほとんどの Web サイトでは、QUIC を確立できない場合の伝送制御プロトコル (TCP) へのフォールバックがサポートされています。 ユーザー エクスペリエンスを向上させるために、送信 UDP 443 をブロックする Windows ファイアウォール規則をデプロイできます。
New-NetFirewallRule -DisplayName "Block QUIC" -Direction Outbound -Action Block -Protocol UDP -RemotePort 443
- (省略可能)HTTPS トラフィックに対して URL インジケーターを評価するために、 トランスポート層セキュリティ (TLS) 検査を構成 します。
大まかな手順
脅威インテリジェンスを構成するには、いくつかの手順があります。 条件付きアクセス ポリシーを構成する必要がある場所を書き留めます。
- インターネット トラフィック転送を有効にします。
- 脅威インテリジェンス ポリシーを作成します。
- 許可リストを構成します (省略可能)。
- セキュリティ プロファイルを作成します。
- セキュリティ プロファイルを条件付きアクセス ポリシーにリンクします。
インターネット トラフィック転送を有効にする
最初の手順では、インターネット アクセス トラフィック転送プロファイルを有効にします。 プロファイルとその有効化方法の詳細については、「 インターネット アクセス トラフィック転送プロファイルを管理する方法」を参照してください。
Internet Access プロファイルのスコープを特定のユーザーとグループに設定できます。 ユーザーとグループの割り当ての詳細については、「 トラフィック転送プロファイルを使用してユーザーとグループを割り当てて管理する方法」を参照してください。
脅威インテリジェンス ポリシーを作成する
- グローバル セキュア アクセス>セキュア>脅威インテリジェンス ポリシーを参照します。
- [ポリシーの作成] を選択します。
- ポリシーの名前と説明を入力し、[ 次へ] を選択します。
- 脅威インテリジェンスの既定のアクションは "許可" です。 つまり、トラフィックが脅威インテリジェンス ポリシーのルールと一致しない場合、ポリシー エンジンはトラフィックを次のセキュリティ制御に移動することを許可します。
- [ 次へ ] を選択し、新しい脅威インテリジェンス ポリシーを 確認 します。
- を選択し を作成する
Important
このポリシーは、重大度の高い脅威が検出された宛先へのアクセスをブロックするルールを使用して作成されます。 Microsoft では、重大度の高い脅威を、アクティブなマルウェアの配布、フィッシング キャンペーン、コマンド アンド コントロール (C2) インフラストラクチャ、およびその他のスレッドに関連付けられたドメインまたは URL として定義します。これは、Microsoft とサード パーティの脅威インテリジェンス フィードによって高い信頼度で識別されます。
許可リストを構成する (省略可能)
ビジネスクリティカルなサイトや誤検知のラベルが付いているサイトを認識している場合は、これらのサイトを許可するルールを構成できます。 インターネットの脅威の状況は常に変化し続けるので、このアクションに関連するセキュリティ リスクに注意してください。
- Global Secure Access>Secure>脅威インテリジェンス ポリシーで、希望の脅威インテリジェンス ポリシーを選択します。
- [ルール] を選択します。
- [規則の追加] を選択します。
- ルールの名前、説明、優先度、および状態を入力します。
- 宛先 FQDN を編集し、許可リストのドメインの一覧を選択します。 これらの FQDN は、コンマ区切りのドメインとして入力できます。
- [] を選択し、[] を追加します。
セキュリティ プロファイルを作成するか、ベースライン プロファイルを構成する
セキュリティ プロファイルは、Web コンテンツのフィルター処理や脅威インテリジェンス ポリシーなどのセキュリティ コントロールのグループです。 Microsoft Entra条件付きアクセス ポリシーを使用してセキュリティ プロファイルを割り当てたり、リンクしたりできます。 1 つのセキュリティ プロファイルには、各種類のポリシーを含めることができます。
この手順では、セキュリティ プロファイルを作成して、Web コンテンツのフィルター処理や脅威インテリジェンスなどのフィルターポリシーをグループ化します。 その後、セキュリティ プロファイルを条件付きアクセス ポリシーと共に割り当てるか、リンクして、ユーザーまたはコンテキストに対応させます。
脅威インテリジェンスはユーザーの基本的なセキュリティ体制にとって重要であるため、脅威インテリジェンス ポリシーをベースライン セキュリティ プロファイルにリンクすることもできます。これにより、テナント内のすべてのユーザーのトラフィックにポリシーが適用されます。
注
脅威インテリジェンス ポリシーは、セキュリティ プロファイルごとにのみ構成できます。 各セキュリティ コントロール内のルールの優先順位は例外を処理し、セキュリティコントロールは順序に従い、(1) TLS 検査 > (2) Web コンテンツフィルタリング > (3) 脅威インテリジェンス > (4) ファイルの種類 > (5) データ損失防止 > (6) サードパーティ
- [グローバル セキュア アクセス]>[セキュア]>[セキュリティ プロファイル] に移動します。
- [ プロファイルの作成] を選択します。
- プロファイルの名前と説明を入力し、[ 次へ] を選択します。
- [ ポリシーのリンク] を選択し、[ 既存の脅威インテリジェンス ポリシー] を選択します。
- 既に作成した脅威インテリジェンス ポリシーを選択し、[ 追加] を選択します。
- [ 次へ ] を選択して、セキュリティ プロファイルと関連ポリシーを確認します。
- [ プロファイルの作成] を選択します。
- [ 最新の情報に更新] を選択して、新しいプロファイルを表示します。
条件付きアクセス ポリシーを作成してリンクする
エンド ユーザーまたはグループの条件付きアクセス ポリシーを作成し、条件付きアクセス セッション制御を使用してセキュリティ プロファイルを配信します。 条件付きアクセスは、インターネット アクセス ポリシーのユーザーとコンテキストを認識するための配信メカニズムです。
- Identity>Protection>Conditional Access に移動します。
- [新しいポリシーの作成] を選択します。
- 名前を入力し、ユーザーまたはグループを割り当てます。
- グローバル セキュリティで保護されたアクセスを使用して、[ターゲット リソース] と [すべてのインターネット リソース] を選択します。
- [ セッション>グローバル セキュリティ で保護されたアクセス セキュリティ プロファイルを使用 し、セキュリティ プロファイルを選択します。
- [選択]
- [ ポリシーの有効化] セクションで、[ オン] が選択されていることを確認します。
- を選択してを作成します。
注
新しいセキュリティ プロファイルの適用には、アクセス トークンを使用してセキュリティ プロファイルが適用されるため、最大 60 ~ 90 分かかる場合があります。
注
テスト用の条件付きアクセス構成の変更を迅速化するには、Entra 管理センターでユーザー セッションを取り消します (ユーザーの概要ページで [セッションの取り消し] を選択します)。 これにより、ユーザーは更新されたポリシーを使用して新しいトークンを取得する必要があります。 継続的アクセス評価の詳細を確認します。
エンド ユーザー ポリシーの適用を確認する
グローバル セキュア アクセス クライアントがインストールされているWindows デバイスを使用します。 インターネット トラフィック取得プロファイルが割り当てられているユーザーとしてサインインします。 悪意のある Web サイトへの移動が想定どおりにブロックされていることをテストします。
注
脅威インテリジェンス ポリシーを構成した後、 ブラウザーのキャッシュをクリア してポリシーの適用を検証することが必要になる場合があります。
- タスク マネージャー トレイのグローバル セキュリティで保護されたアクセス クライアント アイコンを右クリックし、 詳細診断>Forwarding プロファイルを開きます。 インターネット アクセスの取得規則が存在することを確認します。
- 既知の悪意のあるサイト (
entratestthreat.comやsmartscreentestratings2.netなど) に移動します。 ブロックされていること、およびトラフィック ログの [脅威の種類] フィールドが空でないことを確認します。 トラフィック ログがポータルに表示されるまでに最大 5 分かかる場合があります。 - Microsoft Defenderまたはスマート画面によってブロックされている場合は、サイトをオーバーライドしてアクセスし、グローバル セキュリティで保護されたアクセスブロック メッセージをテストします。 これを行うには、[詳細情報] の下にある [安全でないサイトに進む (推奨されていません)]" を選択します。
- 許可リストをテストするには、脅威インテリジェンス ポリシーで、サイトへのアクセスを許可するルールを作成します。 2 分以内にアクセスできるようになります。 (ブラウザーのキャッシュをクリアする必要がある場合があります)。
- 既知の脅威インジケーターに対して、残りの脅威フィードを評価します。
注意事項
実際の悪意のあるサイトでのテストは、デバイスと企業を保護するためにサンドボックスまたはテスト環境で実行する必要があります。