注
最も up-to最新の Azure セキュリティ ベンチマークは 、ここで入手できます。
セキュリティポスチャと脆弱性管理は、Azure のセキュリティ状況を評価し、改善するための管理に重点を置いています。 これには、脆弱性スキャン、侵入テストと修復、Azure リソースのセキュリティ構成の追跡、レポート、修正が含まれます。
該当する組み込みの Azure Policy を確認するには、「Azure セキュリティ ベンチマーク規制コンプライアンスの組み込みイニシアチブ: 体制と脆弱性管理」の詳細を参照してください。
PV-1: Azure サービスのセキュリティで保護された構成を確立する
| Azure ID | CIS コントロール v7.1 ID | NIST SP 800-53 r4 ID |
|---|---|---|
| PV-1 | 5.1 | CM-2、CM-6 |
インフラストラクチャチームと DevOps チームのセキュリティ ガードレールを定義します。これを使用して、使用する Azure サービスを簡単に安全に構成できます。
Azure セキュリティ ベンチマークのサービス ベースラインを使用して Azure サービスのセキュリティ構成を開始し、組織に必要に応じてカスタマイズします。
Azure Security Center を使用して、Azure リソースの構成を監査および適用するように Azure Policy を構成します。
Azure Blueprints を使用すると、Azure Resource Manager テンプレート、Azure RBAC コントロール、ポリシーなど、サービスとアプリケーション環境のデプロイと構成を 1 つのブループリント定義で自動化できます。
責任: お客様
顧客のセキュリティ利害関係者 (詳細情報):
PV-2: Azure サービスのセキュリティで保護された構成を維持する
| Azure ID | CIS コントロール v7.1 ID | NIST SP 800-53 r4 ID |
|---|---|---|
| PV-2 | 5.2 | CM-2、CM-6 |
Azure Security Center を使用して構成基準を監視し、Azure Policy [拒否] および [存在しない場合はデプロイ] ルールを使用して、VM、コンテナーなどの Azure コンピューティング リソース全体にセキュリティで保護された構成を適用します。
責任: お客様
顧客のセキュリティ利害関係者 (詳細情報):
PV-3: コンピューティング リソースのセキュリティで保護された構成を確立する
| Azure ID | CIS コントロール v7.1 ID | NIST SP 800-53 r4 ID |
|---|---|---|
| PV-3 | 5.1 | CM-2、CM-6 |
Azure Security Center と Azure Policy を使用して、VM、コンテナーなどのすべてのコンピューティング リソースでセキュリティで保護された構成を確立します。さらに、カスタム オペレーティング システム イメージまたは Azure Automation State Configuration を使用して、組織に必要なオペレーティング システムのセキュリティ構成を確立できます。
責任: お客様
顧客のセキュリティ利害関係者 (詳細情報):
PV-4: コンピューティング リソースのセキュリティで保護された構成を維持する
| Azure ID | CIS コントロール v7.1 ID | NIST SP 800-53 r4 ID |
|---|---|---|
| PV-4 | 5.2 | CM-2、CM-6 |
Azure Security Center と Azure Policy を使用して、VM、コンテナーなどの Azure コンピューティング リソースの構成リスクを定期的に評価して修復します。 さらに、Azure Resource Manager テンプレート、カスタム オペレーティング システム イメージ、または Azure Automation State Configuration を使用して、組織に必要なオペレーティング システムのセキュリティ構成を維持できます。 Azure Automation State Configuration と組み合わせた Microsoft VM テンプレートは、セキュリティ要件の満たす、および維持するために役立ちます。
また、Microsoft によって公開された Azure Marketplace VM イメージは、Microsoft によって管理および管理されることに注意してください。
Azure Security Center では、コンテナー イメージの脆弱性をスキャンし、CIS Docker ベンチマークに基づいてコンテナー内の Docker 構成の継続的な監視を実行することもできます。 Azure Security Center の推奨事項ページを使用して、推奨事項を表示し、問題を修復できます。
責任: 共有
顧客のセキュリティ利害関係者 (詳細情報):
PV-5: カスタム オペレーティング システムとコンテナー イメージを安全に格納する
| Azure ID | CIS コントロール v7.1 ID | NIST SP 800-53 r4 ID |
|---|---|---|
| PV-5 | 5.3 | CM-2、CM-6 |
Azure ロールベースのアクセス制御 (Azure RBAC) を使用して、確実に承認されたユーザーのみがカスタム イメージにアクセスできます。 Azure 共有イメージ ギャラリーを使用して、組織内のさまざまなユーザー、サービス プリンシパル、または AD グループにイメージを共有します。 コンテナー イメージを Azure Container Registry に格納し、Azure RBAC を使用して、承認されたユーザーのみがアクセスできるようにします。
責任: お客様
顧客のセキュリティ利害関係者 (詳細情報):
PV-6: ソフトウェアの脆弱性評価を実行する
| Azure ID | CIS コントロール v7.1 ID | NIST SP 800-53 r4 ID |
|---|---|---|
| PV-6 | 3.1, 3.2, 3.3, 3.6 | CA-2、RA-5 |
Azure 仮想マシン、コンテナー イメージ、および SQL サーバーで脆弱性評価を実行するには、Azure Security Center の推奨事項に従います。 Azure Security Center には、仮想マシンをスキャンするための脆弱性スキャナーが組み込まれています。
ネットワーク デバイスと Web アプリケーションで脆弱性評価を実行するには、サードパーティのソリューションを使用します。 リモート スキャンを実行する場合は、永続的な管理アカウントを 1 つ使用しないでください。 スキャン アカウントの JIT (Just-In-Time) プロビジョニング手法の実装を検討します。 スキャン アカウントの資格情報は、保護、監視、および脆弱性スキャンにのみ使用する必要があります。
一貫した間隔でスキャン結果をエクスポートし、その結果を以前のスキャンと比較して、脆弱性が修復されたことを確認します。 Azure Security Center によって推奨される脆弱性管理の推奨事項を使用する場合は、選択したスキャン ソリューションのポータルにピボットして、スキャン履歴データを表示できます。
責任: お客様
顧客のセキュリティ利害関係者 (詳細情報):
PV-7: ソフトウェアの脆弱性を迅速かつ自動的に修復する
| Azure ID | CIS コントロール v7.1 ID | NIST SP 800-53 r4 ID |
|---|---|---|
| PV-7 | 3.7 | CA-2、RA-5、SI-2 |
ソフトウェア更新プログラムを迅速に展開して、オペレーティング システムとアプリケーションのソフトウェアの脆弱性を修復します。
共通のリスク スコアリング プログラム (Common Vulnerability Scoring System など) またはサードパーティのスキャン ツールによって提供される既定のリスク評価を使用し、どのアプリケーションが高いセキュリティ リスクを提示し、どのアプリケーションが高いアップタイムを必要とするかを考慮して、環境に合わせて調整します。
Azure Automation Update Management またはサードパーティソリューションを使用して、最新のセキュリティ更新プログラムが Windows および Linux VM にインストールされていることを確認します。 Windows VM の場合は、Windows Update が有効になっており、自動的に更新されるように設定されていることを確認します。
サード パーティ製ソフトウェアの場合は、Configuration Manager 用のサード パーティのパッチ管理ソリューションまたは System Center Updates Publisher を使用します。
責任: お客様
顧客のセキュリティ利害関係者 (詳細情報):
PV-8: 定期的な攻撃シミュレーションを実施する
| Azure ID | CIS コントロール v7.1 ID | NIST SP 800-53 r4 ID |
|---|---|---|
| PV-8 | 20 | CA-8、CA-2、RA-5 |
必要に応じて、Azure リソースに対して侵入テストまたは赤いチーム アクティビティを実施し、すべての重要なセキュリティ結果の修復を確実に行います。 Microsoft クラウド侵入テストの契約規則に従って、侵入テストが Microsoft ポリシーに違反しないようにします。 Microsoft が管理するクラウド インフラストラクチャ、サービス、アプリケーションに対する Red Teaming とライブ サイト侵入テストの Microsoft の戦略と実行を使用します。
責任: 共有
顧客のセキュリティ利害関係者 (詳細情報):