Azure Lighthouse 用の Azure セキュリティベースライン

[アーティクル]
09/22/2023

このセキュリティベースラインは、 Microsoft クラウドセキュリティベンチマークバージョン 1.0 のガイダンスを Azure Lighthouse に適用します。 Microsoft クラウドセキュリティベンチマークでは、Azure 上のクラウドソリューションをセキュリティで保護する方法に関する推奨事項が提供されます。コンテンツは、Microsoft クラウドセキュリティベンチマークと Azure Lighthouse に適用できる関連ガイダンスによって定義されたセキュリティ制御によってグループ化されます。

このセキュリティベースラインとその推奨事項は、Microsoft Defender for Cloud を使用して監視できます。 Azure Policy定義は、[クラウドポータルのMicrosoft Defender] ページの [規制コンプライアンス] セクションに一覧表示されます。

機能に関連するAzure Policy定義がある場合は、Microsoft クラウドセキュリティベンチマークの制御と推奨事項への準拠を測定するのに役立つ、このベースラインに一覧表示されます。一部の推奨事項では、特定のセキュリティシナリオを有効にするために有料Microsoft Defenderプランが必要になる場合があります。

注意

Azure Lighthouse に適用されない機能は除外されています。 Azure Lighthouse が Microsoft クラウドセキュリティベンチマークに完全にマップされる方法については、 完全な Azure Lighthouse セキュリティベースラインマッピングファイルを参照してください。

セキュリティプロファイル

セキュリティプロファイルは、Azure Lighthouse の影響が大きい動作をまとめたものです。これにより、セキュリティに関する考慮事項が高まる可能性があります。

サービス動作属性	値
製品カテゴリ	MGMT/ガバナンス
お客様は HOST/OS にアクセスできます	アクセス権なし
サービスは顧客の仮想ネットワークにデプロイできます	False
顧客のコンテンツを保存する	○

データの保護

詳細については、「 Microsoft クラウドセキュリティベンチマーク: データ保護」を参照してください。

DP-3: 転送中の機密データの暗号化

機能

転送中データの暗号化

説明: サービスでは、データプレーンの転送中のデータ暗号化がサポートされています。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
True	True	Microsoft

機能に関するメモ: Azure Lighthouse では、転送中のデータの Microsoft の既定の暗号化が利用されます。

構成ガイダンス: 既定のデプロイでこれが有効になっているので、追加の構成は必要ありません。

リファレンス: 二重暗号化

DP-4: 保存データ暗号化を既定で有効にする

機能

プラットフォームキーを使用した保存データの暗号化

説明: プラットフォームキーを使用した保存データの暗号化がサポートされています。保存中の顧客コンテンツは、これらの Microsoft マネージドキーで暗号化されます。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
True	True	Microsoft

機能に関するメモ: Azure Lighthouse では、Microsoft の保存データの既定の暗号化が活用されています。

構成ガイダンス: 既定のデプロイでこれが有効になっているので、追加の構成は必要ありません。

リファレンス: 二重暗号化

DP-5: 必要に応じて保存データ暗号化でカスタマーマネージドキーオプションを使用する

機能

CMK を使用した保存データの暗号化

説明: カスタマーマネージドキーを使用した保存データの暗号化は、サービスによって格納される顧客コンテンツでサポートされています。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
False	適用しない	適用しない

構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。

アセット管理

詳細については、「 Microsoft クラウドセキュリティベンチマーク: 資産管理」を参照してください。

AM-2: 承認済みのサービスのみを使用する

機能

Azure Policy のサポート

説明: サービス構成は、Azure Policy経由で監視および適用できます。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
True	False	Customer

構成ガイダンス: Microsoft Defender for Cloud を使用して、Azure リソースの構成を監査および適用するAzure Policyを構成します。 Azure Monitor を使用し、リソースで構成の逸脱が検出されたときにアラートを作成します。 [deny] と [deploy if not exists] 効果Azure Policy使用して、Azure リソース全体でセキュリティで保護された構成を適用します。

リファレンス: Azure Lighthouse の組み込みポリシー定義

ログと脅威検出

詳細については、「 Microsoft クラウドセキュリティベンチマーク: ログ記録と脅威検出」を参照してください。

LT-4: セキュリティ調査のためのログを有効にする

機能

Azure リソースログ

説明: サービスは、サービス固有のメトリックとログ記録を強化できるリソースログを生成します。お客様はこれらのリソースログを構成し、ストレージアカウントやログ分析ワークスペースなどの独自のデータシンクに送信できます。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
False	適用しない	適用しない

機能に関するメモ: Azure Lighthouse ではリソースログはサポートされていませんが、アクティビティログはサポートされています。

Azure Lighthouse に委任されたサブスクリプションのあるお客様は、Azure アクティビティログデータを表示して、実行されたすべてのアクションを確認できます。これにより顧客は、サービスプロバイダーが実行している操作と、顧客独自の Azure Active Directory (Azure AD) テナント内のユーザーが実行した操作を完全に可視化できます。