defender-for-cloud-hardening

Microsoft Defender for Cloud（強化）

Microsoft Defender for Cloud は、Azure、AWS、GCP 全体で CSPM（セキュリティ態勢、セキュア スコア、攻撃経路）と CWPP（サーバー、コンテナー、データベース、ストレージ、API、AI の脅威保護）を組み合わせた、クラウドネイティブのアプリケーション保護プラットフォーム（CNAPP）です。

使用する場面

マルチクラウド環境全体のクラウドセキュリティ態勢を評価・改善し、ワークロードの脅威保護を有効にする場合に使用します。このスキルを使って、有効にする Defender プランの選択、修復の優先順位付け、検出結果の運用化を行います。

このスキルは次の用途には使用しないでください。 SaaS のセキュリティ態勢（cloud-app-security-posture）、Sentinel SIEM（sentinel）、オンプレミス環境への Azure 管理の拡張（azure-arc）。

ワークロードに応じた Defender プランの選択

ワークロード	プラン	有効にするタイミング
サブスクリプション／アカウント（セキュリティ態勢）	Foundational CSPM（無料）	常に、すべての環境で
マルチクラウド＋攻撃経路＋エージェントレス スキャン	Defender CSPM	Tier 1 以上の環境
Windows／Linux サーバー（EDR、ファイル整合性、JIT）	Defender for Servers Plan 2	本番サーバー
ストレージ アカウント（マルウェア、機密データのスキャン）	Defender for Storage	パブリックに公開されているデータ／機密データ
AKS／EKS／GKE クラスター	Defender for Containers	本番クラスター全般
SQL、Cosmos DB、オープンソースのデータベース	Defender for Databases	インターネットに公開されている、または機密性の高い場合
App Service アプリ	Defender for App Service	インターネットに公開されているアプリ
Key Vault	Defender for Key Vault	Tier 0／規制対象
APIM の背後にある API	Defender for APIs	パブリック API
Azure AI／OpenAI ワークロード	Defender for AI Services	組織のデータを扱う AI ワークロード

経験則： 初日からあらゆる環境で Foundational CSPM を有効にします（無料です）。次に、本番環境で Defender for Servers Plan 2 と Defender CSPM を有効にします。この 2 つで最大の価値（攻撃経路、EDR 統合）が得られます。ほかのプランはリスクと予算に応じて選択します。

進め方

1. すべてのクラウドを接続する — Azure（自動）、AWS（コネクタ＋CloudFormation）、GCP（コネクタ＋サービス アカウント）をオンボードします。すべてのクラウドを接続しないと、攻撃経路をまたいで追跡できません。 確認方法：AWS／GCP コネクタに「Connected」と表示され、24 時間以内に推奨事項が表示されます。

2. Foundational CSPM のベースラインを設定する — セキュア スコア、**Microsoft Cloud Security Benchmark（MCSB）**にマッピングされた推奨事項、資産インベントリを取得します。これを共通のベースラインとして使用します。 確認方法：各サブスクリプションのセキュア スコアのベースラインを記録し、重大度別の推奨事項数をログに記録します。

3. ワークロードのリスクに応じて Defender プランを有効にする — 選択表を使用します。初日からすべてのプランを有効にしないでください。コストの急増やアラート疲れにつながります。本番環境を優先します。

4. 重要な資産にタグを付けることで、クラウド セキュリティ グラフで適切に重み付けされるようにします — criticality=high、environment=prod、data-classification=sensitive。攻撃経路の分析では、これらを使って順位付けします。 確認方法：重要な資産に一貫してタグが付けられ、攻撃経路のページで適切に重み付けされていることを確認します。

5. 未対応の件数ではなく、攻撃経路に基づいて修復する — 攻撃経路の分析を使って、インターネット → ワークロード → 機密資産に至る一連の経路を特定します。まず、その経路を断ち切る修正に取り組みます。攻撃経路の文脈がなければ、セキュア スコアの割合は見かけ上の指標にすぎません。 確認方法：上位 5 件の攻撃経路を毎週確認し、経路を断ち切る修正を一般的な推奨事項の件数とは別に追跡します。

6. Azure Policy で適用する — Azure Policy の DeployIfNotExists または Audit を通じて推奨事項への対応を促します。ガバナンス ルール＋SLA によって、ワークロード所有者の責任を明確にします。

7. 運用する — アラートと推奨事項を Sentinel にストリーミングし、SOC で相関分析します。ワークフロー自動化（Logic Apps）を使って、自動応答（チケットの起票、所有者への通知など）を実行します。

ガードレール

• まずはすべての環境で基盤となる CSPM を開始し、ワークロードのリスクがコストを正当化する場合に有料プランを有効にします。 すべてのサブスクリプションで、すべての Defender プランを一律に有効にしないでください。
• 攻撃経路の分析を活用して取り組みの優先順位を決めます。Secure Score だけでは優先順位を誤ることがあります。 インターネットに公開された未パッチの VM が 1 台ある Secure Score 95% の環境は、アクティブな攻撃経路がない Secure Score 80% の環境よりも危険です。
• 重要な資産にタグを付け、クラウド セキュリティ グラフが適切に重み付けできるようにします。 タグのない重要な資産は、攻撃経路の優先順位付けで見えなくなります。
• Defender for Endpoint のライセンス／プランを確認せずに、Defender for Servers Plan 2 を有効にしないでください。 コストと EDR ポリシーの調整が重要です。
• 担当者のいない推奨事項は放置されます。 ガバナンス ルールを使い、担当者と SLA を指定して割り当てます。
• Sentinel と Defender for Cloud は運用上の組み合わせです。 セキュリティ態勢の評価で問題を検出し、SIEM でテレメトリと関連付けます。

よくあるアンチパターン

• 「推奨事項を免除して Secure Score を最大化する」 — スコアは上がっても、リスクは変わりません。免除せずに修正してください。
• 「すべての Defender プランをあらゆる環境で有効にする」 — コストが膨らみ、アラート疲れによって SOC の対応力が低下します。リスクに基づき、本番環境を優先してください。
• 「上位 100 件の推奨事項を順番に修正する」 — 攻撃経路の優先度を見落とします。まず攻撃経路で並べ替えてください。
• 「AWS／GCP への接続は後で対応する」 — クラウドをまたぐ攻撃経路が見えなくなります。有料プランをまだ有効にしない場合でも、初日から接続してください。
• 「重要な資産へのタグ付けを省略する」 — クラウド セキュリティ グラフでリスクを重み付けできません。タグを付けてください。
• 「Defender for Cloud は一度デプロイすれば終わり」 — セキュリティ態勢は日々変化します。継続的な運用プログラムとして扱ってください。

プロンプトの例

• Defender for Cloud で Azure Secure Score を改善してください。
• VM とコンテナーを保護するには、どの Defender プランを有効にすればよいですか？
• 攻撃経路の分析を使って、修復の優先順位を決めてください。
• Defender for Cloud で CSPM を AWS と GCP に拡張してください。
• 重要な資産にタグを付け、リスクの重み付けのためにクラウド セキュリティ グラフを構成してください。
• ワークフローの自動化を使って、Defender for Cloud のアラートを Sentinel にストリーミングしてください。

Microsoft Learn

• Defender for Cloud の概要：https://learn.microsoft.com/azure/defender-for-cloud/defender-for-cloud-introduction
• Secure Score：https://learn.microsoft.com/azure/defender-for-cloud/secure-score-security-controls
• Defender CSPM と攻撃経路：https://learn.microsoft.com/azure/defender-for-cloud/concept-attack-path
• AWS／GCP の接続：https://learn.microsoft.com/azure/defender-for-cloud/multicloud
• Defender プランの価格：https://learn.microsoft.com/azure/defender-for-cloud/defender-for-cloud-glossary
• クラウド セキュリティ グラフ：https://learn.microsoft.com/azure/defender-for-cloud/concept-data-security-posture
• ガバナンス ルール：https://learn.microsoft.com/azure/defender-for-cloud/governance-rules
• ワークフローの自動化：https://learn.microsoft.com/azure/defender-for-cloud/workflow-automation