mcpField
D
defender-for-cloud-apps

defender-for-cloud-apps

github.com/vinayaklattheセキュリティ17877 回インストール19 週間前に更新
リポジトリ

defender-for-cloud-apps について

Microsoft Defender for Cloud Apps は、SaaS アプリのセキュリティ管理を担うチーム向けのスキルです。シャドー IT の検出、OAuth アプリのガバナンス、セッション制御、SaaS セキュリティ態勢管理を扱います。

主な機能

  1. 01シャドー IT アプリの検出と評価
  2. 02Microsoft 365 接続 OAuth アプリの管理
  3. 03ブラウザーセッション内のファイル操作制御
  4. 04異常なユーザー活動の検出
  5. 05接続済み SaaS のセキュリティ態勢管理

活用シーン

  1. 01未承認クラウドアプリの特定と対応
  2. 02高リスク OAuth アプリの評価と制限
  3. 03非管理デバイスからのダウンロード阻止
  4. 04侵害された SaaS アカウントの調査と封じ込め

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill defender-for-cloud-apps

インストール後、Claude Code で/defender-for-cloud-appsを入力して読み込まれたか確認します。

詳細

Microsoft Defender for Cloud Apps

Microsoft Defender for Cloud Apps（MDA）は、クラウドアプリの使用状況の可視化、OAuth 接続アプリのガバナンス、Conditional Access App Control によるリアルタイムのセッション制御、接続された SaaS サービス全体の脅威検出を提供する、Cloud Access Security Broker（CASB）および SaaS セキュリティソリューションです。

使用する場面

シャドー IT の検出、Microsoft 365 に接続された OAuth アプリのガバナンス、セッション内制御の適用、SaaS のセキュリティ態勢（SSPM）の管理に使用します。質問が IaaS やエンドポイントではなく、アプリケーション（SaaS またはサードパーティ製）に関する場合にこのスキルを使用してください。

次の用途ではこのスキルを使用しないでください。 IaaS／PaaS のセキュリティ態勢（defender-for-cloud-hardening）、EDR（defender-for-endpoint）、DLP ポリシーの作成（purview-dlp-policy）。

MDA の機能を選ぶ

目標機能備考
使用中の未承認クラウドアプリを特定するMDE 統合による Cloud Discoveryエージェントレス。MDE テレメトリを使用
承認済み SaaS のアクティビティ／ファイルを可視化するアプリコネクタ（API ベース）M365、Salesforce、ServiceNow、Workday
Microsoft 365 に接続された OAuth アプリを管理するApp governance アドオンリスクスコア＋自動ポリシー
ブラウザーセッションでのファイルダウンロードをブロックするConditional Access App Control（セッション）リバースプロキシ。CA と統合
異常なユーザーアクティビティを検出する（あり得ない場所への移動、大量ダウンロード）異常検出ポリシーUEBA 方式
接続された SaaS のセキュリティ態勢を把握する（構成ドリフト）SaaS Security Posture Management（SSPM）アプリごとの推奨事項
侵害された SaaS アカウントを調査／封じ込めるガバナンスアクション一時停止、再認証の強制、OAuth の取り消し

経験則： まず、MDE 経由の Cloud Discovery（E5 で無料）でシャドー IT を検出し、OAuth リスクにはアプリガバナンスを使用します。この 2 つで SaaS の攻撃対象領域の 80% をカバーできます。CAAC によるセッション制御は強力ですが、リバースプロキシによって運用上の負担が増えるため、対象を絞って試験導入してください。

アプローチ

  1. MDE 経由で Cloud Discovery を有効にする — Integration → Microsoft Defender for Endpoint → on。 エージェントもログのアップロードも不要です。管理対象エンドポイントの MDE テレメトリから、自動的に検出されます。 確認：24～48 時間以内に検出ダッシュボードにデータが表示され、アプリカタログのスコアを確認できます。

  2. Cloud App Catalog をトリアージする — リスクスコアとユーザー数で並べ替えます。承認済みアプリを承認し、リスクの高いアプリや未使用のアプリを未承認にします（MDE により、管理対象エンドポイントでブロックされます）。 確認：ユーザー数が多くリスクも高い上位 10 件のアプリが、毎週レビューされています。

  3. アプリコネクタで承認済み SaaS に接続する — API コネクタを使用して、Microsoft 365、Salesforce、ServiceNow、Workday、GitHub Enterprise に接続します。アクティビティログ、ファイルインベントリ、管理者／ユーザーアカウントのガバナンスが可能になります。

  4. OAuth リスクに備えて app governance を有効にする — Microsoft Graph のアクセス許可は、SaaS の被害範囲を左右します。App governance は、リスクとアクセス許可の特権レベルに基づいてサードパーティの OAuth アプリをスコアリングします。自動ポリシー：特権レベルの高いアクセス許可を X 個超要求するアプリ、または発行元が未確認のアプリをブロックします。 確認：app governance にリスク分布が表示されます。リスクの高いアプリは承認またはブロックされ、放置されていません。

  5. Conditional Access App Control — セッションポリシーを試験導入する — クラウドアプリへのブラウザーセッションをリバースプロキシで制御します。用途：非管理対象デバイスでのダウンロードをブロックする、アップロード時にドキュメントへのラベル付けを強制する、コピー／貼り付けを監視する。 確認：非管理対象デバイスからのセッションでは透かしが表示されるかダウンロードがブロックされ、準拠デバイスでは妨げになりません。

  6. 異常検出とアラートの調整 — 既定のポリシー（あり得ない場所への移動、大量ダウンロード、複数回のサインイン失敗、ランサムウェアのアクティビティ）を使用します。しきい値を調整し、Defender XDR にストリーミングしてインシデントを統合的に確認します。

  7. 運用する — MDA アラートを XDR／Sentinel にストリーミングします。上位 5 種類のアラート（あり得ない場所への移動、大量ダウンロード、OAuth の同意付与、ファイルの外部共有、通常とは異なる場所からの管理者アクティビティ）に対するプレイブックを定義します。

ガードレール

  • Cloud Discovery のデータにはユーザーのアクティビティが含まれる場合があります。プライバシー要件に応じて匿名化を設定してください。 EU の従業員代表機関は、Discovery ビューでユーザーの匿名化を求める場合があります。
  • セッションポリシーをパイロット運用してください。リバースプロキシによるセッション制御がアプリの動作に影響する場合があります。 リバースプロキシを経由すると、一部の SaaS アプリの機能が動作しなくなります。アプリごとに十分にテストしてください。
  • Microsoft Graph の広範なアクセス許可を持つアプリのガバナンスを優先してください。 サードパーティアプリの Mail.Read ＋ Files.Read.All は、最初の侵害時にデータが流出するリスクになります。同意前に確認するか、自動ブロックしてください。
  • 許可状態は重要です。 許可を取り消すと MDE 経由でブロックされます。ユーザー数の多いアプリの設定を切り替える前に、影響を確認してください。
  • ほとんどのアクセス許可では、OAuth の同意を管理者のみにしてください。 高い権限のスコープに対するユーザー同意は、フィッシング後に同意させるための経路になります。
  • MDA は DLP ではありません。 コンテンツを考慮するポリシーには Purview DLP を、コンテキスト（セッション、アプリ、デバイス）には MDA を使用してください。

よくあるアンチパターン

  • 「アプリを検出しても、許可はしない」 - 可視化してもアクションがありません。リスク順に並べて判断してください。
  • 「新たに検出されたアプリをすべて自動ブロックする」 - ユーザーの反発を招き、正当なアプリまでブロックされます。確認してから許可または許可の取り消しを行ってください。
  • 「OAuth のガバナンスは後回しでよい。アプリのアクセス許可にすぎない」 - Mail.Read を持つ OAuth アプリが最初に侵害されれば、大量のデータが流出します。初日からガバナンスを行ってください。
  • 「すべてのアプリにセッションポリシーを適用する」 - まず 1 つのアプリでパイロット運用し、慎重に拡大してください。
  • 「プライバシーや従業員代表機関への配慮を無視する」 - 導入の途中で人事部門や法務部門に止められます。最初に確認すべきなのは匿名化についてです。
  • 「MDA のアラートを XDR / Sentinel に連携しない」 - アナリストがアラートを見逃します。既定でストリーミングしてください。

プロンプトの例

  • Defender for Endpoint との統合を通じてシャドー IT を検出し、クラウドアプリを許可または許可解除します。
  • 管理対象外デバイス向けに Conditional Access App Control のセッションポリシーを設定します。
  • アプリガバナンスで OAuth アプリのリスクを評価し、リスクの高い同意をブロックします。
  • アプリコネクタ経由で Microsoft 365 と Salesforce を接続し、アクティビティを完全に可視化します。
  • 不可能な移動や大量ダウンロードの異常検出ポリシーを調整します。
  • MDA のアラートを Defender XDR にストリーミングし、調査を一元化します。

Microsoft Learn

コメント

Markdown 対応