Defender CSPM を使用してリソースを保護する

Microsoft Defender for Cloud の Defender Cloud Security Posture Management (CSPM) には、セキュリティを効率的かつ効果的に改善するのに役立つ強化ガイダンスが用意されています。 CSPM を使用すると、現在のセキュリティ状況を把握することもできます。

Defender for Cloud は、セキュリティの問題について、リソース、サブスクリプション、組織を継続的に評価します。 Defender for Cloud では、セキュリティ スコアを使用してセキュリティ体制が表示されます。 セキュリティ スコアは、現在のセキュリティ状況を示すセキュリティ結果の集計スコアです。 スコアが高いほど、特定されたリスク レベルは低くなります。

Foundational CSPMはDefender for Cloudで無料のセキュリティ態勢管理機能を提供します。

Defender CSPM プランを有効にして、ガバナンス、規制コンプライアンス、クラウド セキュリティ エクスプローラー、攻撃パス分析、マシンのエージェントレス スキャンなどの環境に対する追加の保護を提供できます。

可用性と、各プランで提供される機能の詳細については、 Defender CSPM プランのオプションを参照してください。

Defender CSPM の価格の詳細については、 価格に関するページを参照してください。

前提条件

• Microsoft Azure サブスクリプションが必要です。 Azure サブスクリプションをお持ちでない場合は、無料サブスクリプションにサインアップすることができます。

• Azure サブスクリプションで Microsoft Defender for Cloud を有効にしている必要があります。

• Azure 以外のマシン、AWS アカウント、または GCP プロジェクトを接続します。

• CSPM プランから使用可能なすべての機能にアクセスするには、 サブスクリプション所有者 がプランを有効にする必要があります。

Defender CSPM プランを有効にする

基礎CSPMは無料の姿勢管理機能を提供します。 Defender CSPMが提供する追加機能にアクセスするには、サブスクリプションでDefender CSPMプランを有効にしてください。

サブスクリプションで Defender CSPM プランを有効にするには:

1. Azure portal にサインインする

2. 「Microsoft Defender for Cloud」を検索して選択します。

3. Defender for Cloud のメニューで、[環境設定] を選択します。

4. 関連する Azure サブスクリプション、AWS アカウント、または GCP プロジェクトを選択します。

5. [Defender プラン] ページで、[Defender CSPM プラン] を [オン] に切り替えます。

6. 保存を選びます。

Defender CSPM プランのコンポーネントを有効にする

サブスクリプションで Defender CSPM プランが有効になると、Defender CSPM プランの個々のコンポーネントを有効にすることができます。

• マシンのエージェントレス スキャン: エージェントに依存したり、コンピューターのパフォーマンスに影響を与えたりすることなく、インストールされているソフトウェアと脆弱性についてマシンをスキャンします。 エージェントレス スキャナーを無効にするか、サブスクリプションに除外タグを追加できます。

• Kubernetes のエージェントレス検出: Kubernetes クラスター アーキテクチャ、ワークロード オブジェクト、およびセットアップに関する情報の API ベースの検出。 Kubernetes インベントリ、ID、およびネットワーク露出検出、クラウド セキュリティ エクスプローラーの一部としてのリスクハンティングに必要です。 この拡張機能は、攻撃パスの分析に必要です (Defender CSPM のみ)。

• エージェントレス コンテナーの脆弱性評価: コンテナー レジストリに格納されているイメージの脆弱性管理を提供します。

• 機密データの検出: 機密データ検出では、機密データを含むマネージド クラウド データ リソースが大規模に自動的に検出されます。 この機能は、データにアクセスし、エージェントレスで、スマート サンプリング スキャンを使用し、Microsoft Purview の機密情報の種類とラベルと統合します。

• クラウド インフラストラクチャエンタイトルメント管理 (CIEM) - クラウド インフラストラクチャエンタイトルメント管理に関する分析情報。 CIEM は、クラウド環境での適切で安全な ID とアクセス権を保証します。 クラウド リソースへのアクセス許可と関連するリスクを理解するのに役立ちます。 セットアップとデータ収集には最大 24 時間かかる場合があります。

• サーバーレス保護 - エージェントのインストールを必要とせずに、セキュリティリスクに関する Azure Web Apps、Azure Functions、AWS Lambda などのサーバーレス リソースを検出して評価します。 構成の誤り、脆弱性、安全でない依存関係を特定し、セキュリティ体制を改善するための修復ガイダンスを提供します。

• サーバーレス コンテナー - インベントリ、推奨事項、攻撃パス分析などのDefender CSPMエクスペリエンスで、Fargate ワークロードのAzure Container Apps、Azure Container Instances、AWS ECS を評価します。 すべてのサーバーレス コンテナー機能へのフル アクセスを取得するには、Defender CSPM プラン設定でレジストリ アクセスを有効にします。

Defender CSPM プランのコンポーネントを有効にするには:

1. [Defender プラン] ページで、[ 設定] を選択します。

   

2. コンポーネントごとに [オン] を選択して有効にします。

3. (省略可能)エージェントレス スキャンの場合は、[ 構成の編集] を選択します。

   

   1. スキャンから除外するマシンのタグ名とタグ値を入力します。

   2. を選択してを適用します。

4. 続行を選択します。

追加コストなしで Defender CSPM プランに付属するコードからクラウドへのコンテキスト化機能と自動化された開発者修復ワークフローの場合は、 DevOps 環境を Defender for Cloud に接続します。

現在のカバレッジを確認する

Defender for Cloud では、Azure ワークブック を通じて ワークブックにアクセス できます。 ワークブックは、セキュリティ体制に関する分析情報を提供するカスタマイズ可能なレポートです。

カバレッジ ブックは、サブスクリプションとリソースで有効になっているプランを示すことで、現在の対象範囲を理解するのに役立ちます。

次のステップ

クラウド セキュリティ態勢管理 (CSPM)