Azureのセキュリティ — ゼロトラストと多層防御・Defender for Cloud
この章の目次開く
前章ではID(誰であるか)を守る仕組みを学びました。この章では視野を広げ、Azure全体をどんな考え方で守るのか というセキュリティの原則を扱います。
登場するのは ゼロトラスト、多層防御(Defense in Depth)、そして守りの状況を一望する Microsoft Defender for Cloud の3つです。個別のツールの暗記より「考え方」の理解が問われる分野です。
学習者「ゼロトラスト」って言葉、ニュースでもよく見るけど…「何も信頼しない」って、そんなことしたら仕事にならなくない？
先生正確には「信頼しない」ではなく「無条件では信頼しない=毎回確認する」です。合言葉は「Never trust, always verify(決して信頼せず、常に検証せよ)」。何がどう変わったのか、従来の考え方と比べてみましょう。
ゼロトラスト — 「社内なら安全」をやめる
従来のセキュリティは 境界型 と呼ばれる考え方でした。会社のネットワークの内と外に壁(ファイアウォール)を立て、「壁の内側にいる人は信頼する」というモデルです。
しかしクラウドとリモートワークの時代、この前提は崩れました。データは社外(クラウド)にあり、社員は自宅から私物端末でアクセスし、攻撃者は一度侵入すれば「信頼された内側」で自由に動けてしまいます。
ゼロトラスト は前提を逆転させます。
| 境界型セキュリティ | ゼロトラスト | |
|---|---|---|
| 信頼の基準 | 社内ネットワークにいるか | 場所では信頼しない |
| 検証のタイミング | 入口で一度だけ | すべてのアクセスで毎回 |
| 侵入への備え | 侵入させない前提 | 侵入されている前提で被害を最小化 |
ゼロトラストの3原則は次の通りです。
- 明示的に検証する — ID、場所、デバイスの正常性など、あらゆるシグナルで毎回認証・認可する
- 最小権限アクセス — 必要な人に、必要な範囲だけ、必要な期間だけ権限を与える
- 侵害を想定する — 突破されることを前提に、区画を分けて被害の範囲を限定する
前章で学んだ 条件付きアクセス(毎回シグナルを検証)や RBAC(最小権限)は、まさにゼロトラストを実装する道具だったわけです。
多層防御 — 守りを7層に重ねる
多層防御(Defense in Depth) は、「1枚の壁で守るのではなく、守りの層を何枚も重ねる」という戦略です。1つの層が破られても、次の層が攻撃の速度を落とし、検知の時間を稼ぎます。
Azureの多層防御は、守る対象を中心にした同心円で7つの層に整理されます。
各層の代表的な対策を1つずつ対応づけておくと、試験で「この対策はどの層か」と問われても迷いません。
| 層 | 代表的な対策 |
|---|---|
| 物理 | データセンターの入館管理(Microsoftが担当) |
| IDとアクセス | Entra ID、MFA、条件付きアクセス |
| 境界 | Azure DDoS Protection、Azure Firewall |
| ネットワーク | ネットワークセキュリティグループ(NSG) によるサブネット/NIC単位の通信フィルタ |
| コンピューティング | VMへのパッチ適用、マルウェア対策 |
| アプリケーション | 安全なコーディング、Azure Key Vaultでのシークレット管理 |
| データ | 保存時・転送時の暗号化 |
Microsoft Defender for Cloud — 守りの状況を一望する
考え方を押さえたところで、それを 運用するためのツール が Microsoft Defender for Cloud です。
Defender for Cloudは、Azure(およびオンプレミス・他社クラウド)のリソースを継続的に評価し、3つの働きをします。
- セキュリティ態勢の可視化 — 全リソースの設定を評価し、セキュアスコア として点数化。「MFAが無効です」「このストレージは公開されています」のような改善推奨を一覧にする
- 脅威の検出 — 不審なサインインや攻撃の兆候を検知してアラートを出す
- 推奨事項による強化 — 見つかった弱点に対して、具体的な修正手順を提示する
学習者つまり、多層防御の各層がちゃんと守れているかを「健康診断」してくれるサービスってこと？
先生いい例えです。しかも一度きりの診断ではなく 常時監視 で、悪い箇所には改善レシピまで出してくれます。試験では「セキュリティ態勢の評価と推奨事項の提供 → Defender for Cloud」という対応で覚えておけば十分です。
ポータルで試してみよう — Defender for Cloudのセキュアスコア
Defender for Cloudには無料の基本機能(セキュリティ態勢の評価)があり、学習用アカウントでもすぐ見られます。
- ポータル上部の検索ボックスに「Defender for Cloud」と入力して選択する
- 「概要」 に自分の環境の セキュアスコア が表示される
- 「推奨事項」 を開くと、「MFAを有効にすべき」「ストレージのパブリックアクセスを制限すべき」といった改善リストが重要度付きで並ぶ
- 推奨事項を1つ開くと、修正手順 まで書かれていることを確認する
リソースをほとんど作っていないアカウントでも何かしらの推奨が出ているはずです。「常時監視して、弱点と直し方を教えてくれる」という本文の説明を、そのまま画面で確かめられます(有料プランへのアップグレード案内が出ても、学習用途では不要です)。
まとめ
- ゼロトラスト は「Never trust, always verify」— 場所で信頼せず、毎回検証し、最小権限を与え、侵害を想定する
- 条件付きアクセスやRBACは、ゼロトラストの原則を実装する具体的な道具
- 多層防御 は物理からデータまで 7つの層 を重ね、1層の突破で全滅しない構えを作る
- NSG はサブネット/NIC単位の通信フィルタ、Azure Firewall は組織全体の集中管理型ファイアウォール
- Microsoft Defender for Cloud はセキュリティ態勢の可視化(セキュアスコア)・脅威検出・推奨事項の3役
次の章からは最後の出題分野「管理とガバナンス」に入ります。まずはみんなが気になる Azureのコスト管理 からです。