Microsoft Azure Security Best Practices

2021 年の Microsoft Azure セキュリティのベスト プラクティス

Azure サービスにはさまざまな種類があるため、万能のセキュリティ "レシピ" では、セキュリティ体制を確実に最適化することはできません。 ただし、Azure のさまざまな側面をより具体的なカテゴリに分類すると、実装できる実用的なベスト プラクティスが見つかります。 これらのカテゴリと、その結果として得られる Azure のセキュリティのベスト プラクティスを見てみましょう。

しかし、その前に、前提条件として、責任共有モデルと最小特権の原則があります

特定の Azure セキュリティのベスト プラクティスに飛び込む前に、プラットフォーム上の基本的なセキュリティ パラダイムである Azure の 責任共有モデルを理解してください。

つまり、責任共有モデルとは、Microsoft がクラウドのセキュリティに責任を持ち、クラウドのセキュリティに責任を持つことを意味します。この 2 つの境界点は、特定の製品タイプによって異なります。 たとえば、SaaS アプリの場合、Microsoft はオペレーティング システムのセキュリティを担当します。 ただし、サービスとしてのインフラストラクチャ (IaaS) 製品では、オペレーティング システムのセキュリティに責任があります。 Azure インフラストラクチャの境界線がどこにあるかを理解することは必須です。

さらに、すべての場合において、 最小特権の原則に従う必要があります。 最小特権の原則を実装する 方法は 、ワークロードとアプリによって異なりますが、ユーザー、デバイス、アプリ、サービスに必要なアクセス権のみを付与し、それ以上のアクセス権は付与しないという考え方は変わりません。 たとえば、Azure データベースでは、すべてのユーザーにデータベース全体への読み取りアクセス権を付与するのではなく、行レベルのセキュリティを使用して、データベース行へのアクセスを制限できますし、そうすべきです。

Azure セキュリティのベスト プラクティスのチェックリスト

前提条件がわかったところで、チェックリストに飛び込んでいきましょう。 Azure の個々の側面を確認し、チームが監査できる具体的な実行可能な項目を提供します。

ストレージとデータベースのセキュリティ

データベースをセキュリティで保護することは、全体的なセキュリティ体制の重要な要素です。 さらに、多くの場合、コンプライアンスの観点から必須です。 ここでは、Azure のデータベース セキュリティから始める必要があります。

• データベースとストレージへのアクセスを制限します。 ファイアウォールとアクセス制御を使用して、データベースとストレージ BLOB に対するユーザー、デバイス、サービスのアクセス レベルを制限します。
• 監査を活用します。 Azure データベースの監査を有効にします。 これにより、すべてのデータベースの変更を可視化できます。
• Azure SQL の脅威検出を構成します。 Azure SQL を使用する場合は、脅威検出をアクティブ化すると、セキュリティの問題をより迅速に特定し、滞留時間を制限するのに役立ちます。
• Azure Monitor でログ アラートを設定します。 単にイベントを記録するだけでは十分ではありません。 Azure Monitor のセキュリティ関連のイベントに対してアラートを送信して、問題を迅速に (可能な場合は自動的に) 修復できるようにしてください。
• ストレージ アカウントに対して Azure Defender を有効にします。 Azure Defender を使用すると、Azure ストレージ アカウントを強化およびセキュリティで保護できます。
• 論理的な削除を使用します。 論理的な削除は、悪意のあるアクター (またはユーザー エラー) によって保持したいデータが削除された場合に、データを (14 日間) 取得できるようにするのに役立ちます。
• Shared Access Signature (SAS) を使用します。 SASでは、きめ細かなアクセス制御と、データへのクライアントアクセスに対する時間制限を実装できます。

クラウド向けのネットワーク セキュリティ

ネットワーク セキュリティは、Azure ワークロードをセキュリティで保護するための重要な側面です。 クラウド ネットワークで留意すべき Azure のセキュリティのベスト プラクティスを次に示します。

• 転送中のデータを暗号化します。 暗号化とデータセキュリティのセクションで述べたように、転送中(および保存中)のデータの暗号化は必須です。 すべてのネットワークトラフィックに最新の暗号化プロトコルを活用します。
• ゼロトラストを実装します。 既定では、明示的な許可規則がない限り、ネットワーク ポリシーはアクセスを拒否する必要があります。
• 開いているポートとインターネットに接続するエンドポイントを制限します。 ポートが開いている、またはワークロードがインターネットに接続されているビジネス上の理由が明確に定義されていない限り、それを発生させないでください。
• デバイスのアクセスを監視します。 ワークロードとデバイスへのアクセスを監視する ( SIEM や Azure Monitor を使用するなど) と、脅威を事前に検出するのに役立ちます
• ネットワークをセグメント化します。 論理ネットワーク セグメンテーションは、可視性の向上、ネットワークの管理の容易化、侵害発生時の East-West の移動の制限に役立ちます。

コンプライアンス

コンプライアンスの維持は、Azure クラウドのセキュリティの最も重要な側面の 1 つです。 ここでは、そのための推奨事項をご紹介します。

• コンプライアンス目標を定義します。 コンプライアンスの観点から、どのようなデータとワークロードがスコープ内にありますか? どのような規格や規制(例: PCI-DSS、ISO 27001、HIPAA)は組織に関連していますか? これらの質問に明確に答え、コンプライアンス目標を定義することは必須です。
• 代わりに、 Azure Security Center の規制コンプライアンス ダッシュボードと Azure セキュリティ ベンチマーク。Azure Security Center のコンプライアンス ダッシュボードは、さまざまな標準に基づくコンプライアンスの達成にどの程度近づいているかを特定するのに役立ちます。 Azure セキュリティ ベンチマークでは、完全なコンプライアンスに近づくために従うことができる推奨事項が提供されます。 これらのツールを使用すると、クラウドでのコンプライアンスを簡素化できます。

Check Point Unified クラウドセキュリティ アプローチによる Azure セキュリティの向上

ご覧のとおり、Azure クラウドでセキュリティを実現するには、多くのことが必要です。 企業がプロセスを合理化し、クラウドセキュリティのベスト プラクティスを大規模に実装できるように、 チェック・ポイントの統合クラウドセキュリティ アプローチを開発しました。 その統一されたアプローチの原則に基づいて、 チェック・ポイント CloudGuard は、これらのクラウドセキュリティのベスト・プラクティスの実装を支援する理想的なツールです。

Azure のセキュリティとチェック・ポイントがどのように役立つかについては、無料のホワイトペーパー「 高度な脅威の時代における自信を持ってクラウドを実現する 」をダウンロードして、次のことを学びましょう。

• マルチクラウド環境を大規模に保護する方法
• クラウドの可視性を向上させる方法
• 異なるデプロイメント間でコンプライアンスを維持する方法

また、現在のクラウドセキュリティ体制を評価したい場合は、 無料のセキュリティ診断にサインアップしてください。 検査後、マルウェア感染の数、エンドポイントやスマートデバイスへの脅威、ボット攻撃や侵入の試み、リスクの高いアプリケーションの使用、機密データの損失などの項目を詳述した包括的なレポートを受け取ります。