Defender CSPM で API セキュリティ態勢を有効にする

Microsoft Defender for Cloud の Defender Cloud Security Posture Management (CSPM) プランでは、Azure API Management、Function Apps、Logic Apps 全体の API の完全なビューが提供されます。構成の誤りや脆弱性を検出することで、API のセキュリティを向上します。この記事では、Defender CSPM プランで API セキュリティ体制管理を有効にし、API のセキュリティを評価する方法について説明します。 Defender CSPM は、エージェントなしで API をオンボードし、リスクと機密データの公開を定期的にチェックします。 API 攻撃パス分析とセキュリティに関する推奨事項を通じて、優先順位付けされたリスクの分析情報と軽減策が提供されます。

注

Microsoft Defender for Cloud の API 検出とセキュリティ体制の機能で 、Function Apps と Logic Apps もサポートされるようになりました。この機能は現在 プレビューで利用できます。

前提条件

API のセキュリティ体制の向上について説明します。
Microsoft Azure サブスクリプションが必要です。ない場合は、無料サブスクリプションにサインアップできます。
Azure サブスクリプションで Defender for Cloud を有効にしてください。
Azure サブスクリプションで Defender クラウドセキュリティ態勢管理 (CSPM) を有効にします。
サブスクリプション所有者は、CSPM プランがすべての機能にアクセスできるようにする必要があります。
保護する API が Azure API Management、 Function Apps、または Logic Apps にデプロイされていることを確認します。

クラウドとリージョンのサポート

Defender CSPM 内の API セキュリティ体制管理は、次のリージョンの Azure 商用クラウドで利用できます。

アジア (東南アジア、東アジア)
オーストラリア (オーストラリア東部、オーストラリア南東部、オーストラリア中部、オーストラリア中部 2)
ブラジル (ブラジル南部、ブラジル南東部)
カナダ (カナダ中部、カナダ東部)
ヨーロッパ (西ヨーロッパ、北ヨーロッパ)
インド (インド中部、インド南部、インド西部)
日本 (東日本、西日本)
英国 (英国南部、英国西部)
米国 (米国東部、米国東部 2、米国西部、米国西部 2、米国西部 3、米国中部、米国中北部、米国中南部、米国中西部、米国東部 2 EUAP、米国中部 EUAP)

クラウドサポートマトリックスで、Defender for Cloud のプランと機能に関する最新のクラウドサポート情報をご確認ください。

API のサポート

特徴	サポートされています
可用性	Azure API Management: この機能は、Azure API Management の Premium、Standard、Basic、Developer のレベルで使用できます。 API Management のセルフホステッドゲートウェイを使用して公開される API や、API Management ワークスペースを使用して管理される API はサポートされません。 Azure App Services: サポートされている Azure Function App ホスティングレベルには、Premium、Elastic Premium、Dedicated (App Service)、App Service Environment (ASE) が含まれます。 Azure Logic Apps の場合、サポートされているレベルには Standard (Single-Tenant) と App Service Environment (ASE) が含まれます。従量課金レベルの Function Apps、従量課金レベルの Logic Apps、Azure Arc 対応 Logic Apps はサポートされていません。
API の種類	REST API のサポートのみ。

特徴

サポートされています

可用性

Azure API Management: この機能は、Azure API Management の Premium、Standard、Basic、Developer のレベルで使用できます。 API Management のセルフホステッドゲートウェイを使用して公開される API や、API Management ワークスペースを使用して管理される API はサポートされません。

Azure App Services: サポートされている Azure Function App ホスティングレベルには、Premium、Elastic Premium、Dedicated (App Service)、App Service Environment (ASE) が含まれます。 Azure Logic Apps の場合、サポートされているレベルには Standard (Single-Tenant) と App Service Environment (ASE) が含まれます。従量課金レベルの Function Apps、従量課金レベルの Logic Apps、Azure Arc 対応 Logic Apps はサポートされていません。

API の種類

REST API のサポートのみ。

API セキュリティ態勢管理の拡張機能を有効にする

Azure portal にサインインします。
「Microsoft Defender for Cloud」を検索して選択します。
[環境設定] に移動します。
対象範囲内にある、関連するサブスクリプションを選択します。
Defender CSPM プランに移動して、[設定] を選択します。
API セキュリティ体制管理を有効にします。
[保存] を選択します。

設定が正常に保存されたことを示す通知メッセージが表示されます。有効にすると、API はオンボードを開始し、数時間以内に Defender for Cloud Inventory に表示されます。

API インベントリの表示

Defender CSPM プランにオンボードされた API は、API セキュリティダッシュボードの [ワークロード保護] と Microsoft Defender for Cloud の [インベントリ] に表示されます。

Defender for Cloud メニューの [クラウドセキュリティ] セクションに移動し、[高度なワークロード保護] の下にある [API セキュリティ] を選択します。
ダッシュボードには、オンボードされた API の数が、API コレクション、エンドポイント、Azure API Management サービス別に分類して表示されます。これには、Defender for API のワークロード保護プランを使用した、脅威検出のセキュリティカバレッジ用にオンボードされた API の概要が含まれています。
態勢保護のために Defender CSPM プランにオンボードされている API を表示するには、フィルター Defender plan == Defender CSPM を適用します。
[API コレクションの詳細] ページにドリルダウンして、特定の API 操作に関するセキュリティの調査結果を確認します。これらは、目的の API 操作を選択すると、サイドコンテキストウィンドウに表示されます。

API エンドポイントに関する詳細な調査結果

機密情報の種類: API URL パス、クエリパラメーター、要求本文、サポートされているデータ型に基づく応答本文で公開されている機密情報の詳細と、検出された情報の種類のソースを示します。
追加情報: API 応答本文の場合、どの HTTP 応答コードに機密情報が含まれていたかを示します (2xx、3xx、4xx など)。

Microsoft Defender for Cloud Inventory エクスペリエンスの API インベントリと共に、API セキュリティ態勢の調査結果を確認します。

注

機密データ検出拡張機能が無効になっている場合、機密データの露出はスキャンされません。機密データ検出を有効にして、API 内の機密情報をスキャンします。この設定は、Defender CSPM プランにオンボードされている API にのみ影響します。同じ API で Defender for API ワークロード保護プランを有効にしている場合でも、機密データがスキャンされます。

API のセキュリティに関する推奨事項を調査する

API エンドポイントは、認証の欠陥や非アクティブな API など、構成の誤りや脆弱性がないかどうかについて継続的に評価されます。セキュリティに関する推奨事項は、関連するリスク要因 (外部への露出やデータの機密性のリスクなど) と共に生成されます。セキュリティに関する推奨事項の重要性は、これらのリスク要因に基づいて計算されます。リスクに基づいたセキュリティに関する推奨事項をご覧ください。

API のセキュリティ態勢に関する推奨事項を調査するには、次の手順を実行します。

Defender for Cloud のメインメニューに移動し、[推奨事項] を選択します。
[タイトル別にグループ化] トグルを使用して、推奨事項を整理します。
フィルターを適用して、API 関連の推奨事項を絞り込みます。 リソースの種類 (API Management 操作や API エンドポイントなど) でフィルター処理するか、推奨事項名でフィルター処理して特定の API セキュリティの問題を対象にします。

API 関連の推奨事項の完全な一覧については、Defender for Cloud の推奨事項リファレンスガイドの API セクションを参照してください。

API のリスクを調べ、攻撃パス分析を使用して修復する

クラウドセキュリティエクスプローラーは、クラウドセキュリティグラフを照会することで、クラウド環境にある潜在的なセキュリティリスクの特定を支援します。

Azure portal にサインインします。
[Microsoft Defender for Cloud]>[Cloud Security Explorer] の順に移動します。
組み込みのクエリテンプレートを使用して、セキュリティの分析情報を備えた API をすばやく特定します。
または、クラウドセキュリティエクスプローラーでカスタムクエリを作成して API リスクを見つけ、バックエンドコンピューティングまたはデータストアに接続されている API エンドポイントを確認します。たとえば、リモートコードの脆弱性がある仮想マシンにトラフィックをルーティングする API エンドポイントを確認できます。