SQL 脆弱性評価の結果を確認して修復する

Microsoft Defender for Cloud は、Azure SQL データベースの SQL 脆弱性評価 を提供します。 SQL 脆弱性評価は、データベース構成に基づいてデータベースをスキャンして、考えられる脆弱性を検出し、結果の一覧を提供します。 スキャン サイクルは、高レベルのセキュリティを維持し、組織のセキュリティ ポリシーに確実に準拠するのに役立ちます。

Important

Express Configuration は、Azure SQL Managed Instance ワークスペースと Azure Synapse Analytics ワークスペースで一般提供されています。 これにより、追加コストなしで、Azure SQL Databaseの一般提供Microsoftマネージド エクスペリエンスが拡張されます。

Express Configurationでは、顧客管理ストレージアカウントを設定せずにSQL VAを有効にすることができます。 Express Configuration は推奨される有効化モードであり、簡略化されたセットアップでクラシック構成と同じセキュリティ値を提供します。

統合 REST API (v2026-04-01-preview) は、マシン上のAzure SQL Database、SQL Managed Instance、Synapse ワークスペース、SQL (VM と Arc 対応 SQL Azure) にわたって SQL VA を一貫して管理します。

SQL 脆弱性評価は、 高速 構成と クラシック構成の 2 つの構成で利用できます。 どちらの構成でも、同じロジック、修復ガイダンス、およびベースライン管理が使用されます。 修復の目的で唯一の違いは、ベースライン設定が有効な場合です。

結果を修復する方法

脆弱性評価の検出は、必ずしも明確なセキュリティの問題とは限りません。 各ルールは、Microsoftセキュリティのベスト プラクティスと一般的な規制要件に照らしてデータベースをチェックし、スキャンされたデータベースに対する推奨事項として結果が表示されます。 正常でない結果は、そのベストプラクティスから逸脱していることを示します。これは、意図しない誤った構成である場合もあれば、お客様の環境では意図的かつ許容される構成である場合もあります。 行動する前に、組織のコンテキストで各結果を確認します。

結果を修復するには、次の 3 つの方法があります。

  • 構成の誤りを修正します。 結果が意図しない逸脱である場合は、修復手順を適用するか、検索に付属する修復スクリプトを実行して、リソースを推奨される構成に戻します。
  • ベースラインとして承認します。 現在の状態が仕様であり、環境で想定されている場合は、ベースラインに結果を追加します。 基準計画はルールごとおよびリソースごとに設定されるため、結果を承認すると、そのデータベースのそのルールにのみ影響します。 その後、結果は合格として報告され、将来のスキャンで承認されたベースラインからの逸脱が検出されるまで正常な状態が維持されます。
  • 推奨事項を除外します。 チェックが組織に関連しない場合は、サブスクリプションまたは管理グループ レベルで 除外を作成 して、推奨事項がそのスコープのセキュリティ スコアやコンプライアンスに影響を与えなくなります。

Note

除外の設定は成功しますが、選択したスコープに "Azure CSPM" 標準が割り当てられない限り有効になりません。

Prerequisites

  • AZURE SQL リソースで SQL 脆弱性評価が有効になっています。

  • 必要なアクセス許可とデータ所在地の条件を確認します。

  • ベースライン承認のタイミングは、構成モデルによって異なります。

使用している脆弱性評価の構成がわからない場合は、次の手順を使用して 1 を確認します。Azure ポータルにサインインします。 1. SQL Database リソースを開きます。 1. Security 見出しで、Microsoft Defender for Cloud を選択します。 1. Enablement Status で、Configure を選択して、サーバー全体またはマネージド インスタンスの SQL 設定ウィンドウのMicrosoft Defenderを開きます。

脆弱性の設定にストレージ アカウントを構成するオプションが表示されている場合は、クラシック構成を使用しています。 そうでない場合は、高速構成を使用しています。

オンデマンド スキャンを実行する

読み取り専用のオンデマンド脆弱性評価スキャンを実行して、次のスケジュールされたスキャンを待機するのではなく、結果を更新します。

オンデマンド スキャンを実行するには:

  1. Azure portal にサインインします。

  2. SQL サーバーまたは SQL データベース リソースを開きます。

  3. [セキュリティ] という見出しの下で [Microsoft Defender for Cloud] を選択します。

  4. データベースの脆弱性評価ページを開きます。

    • SQL データベース リソースから、[ データベースの脆弱性の概要の表示] を選択します。
    • SQL Server リソースから、[ サーバーの脆弱性の概要の表示] を選択し、データベースを選択します。

  5. [ スキャン] を選択します。

    [スキャン] を選択して SQL データベースのオンデマンド脆弱性評価スキャンを実行するスクリーンショット。

または、SQL データベース リソースから [ リソース正常性ページを開く] を選択します。 [SQL 脆弱性評価の結果] セクションで、[今すぐスキャン] を選択します。

[SQL 脆弱性評価の結果] セクションで [スキャン] が強調表示された [リソース正常性] ページのスクリーンショット。

脆弱性評価スキャン結果を見る

スキャンが完了すると、[ 脆弱性評価 ] ページにデータベースのセキュリティの完全なビューが表示されます。 これには、以下のことが含まれます。

  • セキュリティ状態の概要
  • 検出された問題の数
  • リスクの重大度の概要
  • 調査の結果の一覧

SQL リソースの [Defender for Cloud] ページから結果を確認する

SQL 脆弱性評価の結果は、SQL サーバーまたは SQL データベース リソースの Microsoft Defender for Cloud ページから直接確認できます。 このページには、SQL 有効化状態のDefender、検出された脆弱性の概要、およびリソースに関して報告されたセキュリティに関する推奨事項とアラートが表示されます。

ページを開くには:

  1. Azure portal にサインインする
  2. SQL サーバーまたは SQL データベース リソースを開きます。
  3. [セキュリティ] という見出しの下で [Microsoft Defender for Cloud] を選択します。

ページの上部から、Defender for Cloud の概要に移動またはリソース正常性ページを開くを選択できます。 Microsoft Defender for SQL カードには、現在の有効化状態と、Defender for SQL の構成用の 設定 リンクが表示されます。

SQL Server リソースの場合:

  1. [関連データベースの脆弱性] カードは、サーバーの基になるデータベース上の SQL 脆弱性評価によって検出された脆弱性の数をまとめたものであり、それらを確認する 2 つの方法が用意されています。

    • サーバーの脆弱性の概要を表示する: サーバー レベルの SQL 脆弱性評価の概要を開きます。 これは、現在非推奨になった SQL データベースで脆弱性の検出結果が解決 され、マシン上の SQL サーバーに、開くために使用される 脆弱性の結果解決済みの推奨事項が必要であるという 概要と同じです。
    • 推奨事項ページで表示: 現在のサーバーが親リソースとして設定された、SQL 脆弱性評価スキャナーによってフィルター処理された [Defender for Cloud推奨事項] ページが開きます。

  2. この SQL Server のセキュリティの結果セクションには、サーバー リソースで報告された推奨事項とセキュリティアラートが一覧表示されます。 データベース レベルの SQL 脆弱性評価の推奨事項は、個々のデータベースで報告されるため、ここには一覧表示されません。 非推奨の集計された推奨事項は、完全に廃止されるまで [推奨事項 ] タブに引き続き表示される場合があります。

関連するデータベースとセキュリティの結果に対する脆弱性を示す SQL サーバーのMicrosoft Defender for Cloud ページのスクリーンショット。

脆弱性の確認と修復 (Azure portal)

Azureポータルを使って調査結果を確認し、問題を修正し、ベースラインを管理しましょう。 自分の経験に合ったタブを選んでください。

Note

データベースレベルの推奨体験は現在プレビュー段階です。 既存のサーバー レベル (集計) エクスペリエンスは、プレビュー中も引き続き使用できます。

データベースレベルの推奨経験では:

  • SQL 脆弱性評価の結果は、Microsoft Defender for Cloud 全体で使用されるのと同じ推奨事項構造に従います。
  • 各 SQL 脆弱性評価規則は、独自の推奨事項に対応します。
  • 推奨事項は、影響を受ける SQL データベース リソースに直接関連付けられます。
  • 各ルールは、個別に確認、修復、またはベースラインとしてマークできます。

  1. Azure portal にサインインする

  2. Defender for Cloud>Recommendations に移動します。

  3. [リスク別の推奨事項] ビューを選択します。

  4. ビューを調整します。

    • [リソース別] フィルターを使用して、報告されたリソース別に評価のすべてのインスタンスを一覧表示します。 Azure portal の [Defender for Cloud Recommendations] ページのスクリーンショット。リソースごとの表示と、スキャナーから SQL 脆弱性評価へのフィルター処理が示されています。
    • [タイトル別] フィルターを使用して、評価のすべてのインスタンスを 1 つの値で集計します。

  5. [スキャナー] フィルターを選択し、オプションから [SQL 脆弱性評価] を選択します。

  6. 検出結果を確認 (リソース別のみ):

    1. レコメンデーションを選択します。

    2. その説明を確認します。

    3. [ クエリの結果と修復の管理 ] を選択して、推奨事項の評価、修復スクリプトの生成、またはベースラインの設定に使用されるクエリを確認します。

    4. 詳細とアクションについては、リソース名のリンクを選択してください。

      Azure portal の [SQL 脆弱性評価の推奨事項の詳細] ページのスクリーンショット。[クエリ結果と修復の管理] と、クエリ結果をベースラインとして追加するオプションが強調表示されています。

    5. データベースの [リソース正常性 ] ページで、リソースに対して生成された推奨事項を確認するか、SQL VA スキャンをトリガーするか、SQL VA スキャン履歴ページに移動します。

      Azure portal の [リソース正常性] ページのスクリーンショット。[今すぐスキャン] と [スキャン履歴] の [SQL 脆弱性評価の結果] セクションが表示されています。

  7. 結果を確認する (タイトルのみ ):

    1. レコメンデーションを選択します。

    2. スコープ内のすべてのデータベースの修復操作の種類を集計ビューで表示するには、[修復 スクリプトの表示 ] を選択します。

    3. 確認したら、[ 修復スクリプト ] サイド ウィンドウを閉じます。

    4. 右にスクロールして、[影響を受けるリソース] の [アクション] 列に移動します。

    5. [影響を受けるデータベースごとに クエリと結果を表示 する] を選択して、大規模なベースラインを設定します。

  8. 修復された結果が正常として表示されることを確認します。 高速構成では、ベースライン承認が直ちに有効になります。 クラシック構成では、ベースライン承認が次のスキャンに有効になります。

Tip

ベースラインを大規模に設定するには、[ タイトル別 の推奨事項] ビューを使用し、SQL 脆弱性評価の推奨事項を選択します。 開いたページで、[ 影響を受けるリソース ] セクションの右にスクロールし、[各行の クエリと結果を表示 する] を選択して、必要に応じてベースラインを表示および設定します。 [影響を受けるリソース] と [クエリと結果の表示] が強調表示されている、集計された SQL 脆弱性評価の推奨事項のスクリーンショット。

脆弱性の確認と修復 (Defender ポータル)

Note

Microsoft Defenderポータル体験は現在プレビュー段階です。 既存のサーバー レベル (集計) エクスペリエンスは、プレビュー中も Azure portal で引き続き使用できます。

Microsoft Defenderポータルの体験では:

  • SQL 脆弱性評価の結果は、Microsoft Defender for Cloud 全体で使用されるのと同じ推奨事項構造に従います。
  • 各 SQL 脆弱性評価規則は、独自の推奨事項に対応します。
  • 推奨事項は、影響を受ける SQL データベース リソースに直接関連付けられます。
  • スクリプトの生成とベースラインの設定は、Azure portal を使用して行われます。

  1. Microsoft Defender ポータルに移動します。

  2. [露出管理]>[推奨事項] を選択します。

  3. [ クラウド ] タブを選択します。

  4. 誤設定 を選択します。

  5. 結果を表示する方法を選択します。

    • 資産あたりの推奨事項
    • 推奨事項のタイトル

  6. [スキャナー] フィルターを選択し、オプションから [SQL 脆弱性評価] を選択します。

    Cloud > の誤った構成と、スキャナーから SQL 脆弱性評価へのフィルター処理を示す Defender ポータルの [推奨事項] ページのスクリーンショット。

  7. 結果を確認する (資産ビューごとの推奨事項 のみ):

    1. 推奨事項を選択すると、その説明と状態が表示されます。

    2. ベースライン設定や SQL VA スキャンのトリガーなどの SQL VA 操作については、 Azure portal で [管理 ] を選択します。

    [資産別] ビューに SQL 脆弱性評価の推奨事項が表示されている Defender ポータルの [推奨事項] ページのスクリーンショット。

  8. 結果を確認する (推奨事項のタイトル ビューのみ):

    1. 選択したすべてのリソースの推奨事項については 、[状態] 列を確認します。

    2. ベースライン設定や SQL VA スキャンのトリガーなどの SQL VA 操作については、 Azure portal の [管理 ] をクリックします。

    タイトル ビューの SQL 脆弱性評価の推奨事項を示す Defender ポータルの [推奨事項] ページのスクリーンショット。

  9. 修復された結果が正常として表示されることを確認します。 高速構成では、ベースライン承認が直ちに有効になります。 クラシック構成では、ベースライン承認が次のスキャンに有効になります。

一般的な問題のトラブルシューティング

SQL 脆弱性評価を使用する場合の一般的な問題を解決するには、次の表を使用します。

問題 考えられる原因 Resolution
スキャン結果が表示されない ビューワー役割が欠落しています セキュリティ管理者またはセキュリティ閲覧者ロールが割り当てられていることを確認します。
設定を変更できない 構成ロールが不十分 SQL Security Manager を割り当てます (クラシックの場合: ストレージ アカウントの所有者 + ストレージ BLOB データ閲覧者)。
ベースラインが反映されない (クラシック) 新しいスキャンがまだ実行されていない 別のオンデマンド スキャンを実行して、ベースラインの変更を適用します。
ベースラインが反映されない (簡易) 期待の不一致 ベースラインは直ちに適用されます。[脆弱性評価] タブを更新します。
電子メール リンクを開くアクセス エラー (クラシック) ストレージ ロールがありません スキャン結果を含むストレージ アカウントにストレージ BLOB データ リーダーを追加します。

次のステップ

  • Last updated on