デバイスの柱のための DoD ゼロ トラスト戦略

DoD ゼロ トラスト戦略とロードマップは、国防総省の各部署と国防産業基盤 (DIB) パートナーによる、ゼロ トラストの原則に基づく新しいサイバーセキュリティ フレームワークを導入するための大まかな道筋を示しています。 ゼロ トラストは、従来の境界や信頼の前提を排除し、セキュリティ、ユーザー エクスペリエンス、ミッション パフォーマンスを強化する、より効率的なアーキテクチャを実現します。

このガイドには、DoD ゼロ トラスト機能遂行ロードマップでの、152 種のゼロ トラスト アクティビティに関する推奨事項が記載されています。 各セクションは、DoD ゼロ トラスト モデルの 7 つの柱に対応します。

ガイドの各セクションに移動するには次のリンクを使用してください。

• はじめに
• User
• デバイス
• アプリケーションとワークロード
• Data
• Network
• 自動化とオーケストレーション
• 可視性と分析

2 デバイス

このセクションでは、デバイスの柱に含まれる DoD ゼロ トラスト アクティビティに関する Microsoft のガイダンスと推奨事項について説明します。 詳しくは、ゼロ トラストによるエンドポイントのセキュリティ保護に関する記事を参照してください。

2.1 デバイス インベントリ

Microsoft Intune と Microsoft Defender for Endpoint を使って、デバイスの構成、正常性の評価、ソフトウェアの脆弱性の検出を行います。 Microsoft Entra ID と Microsoft Intune の統合を使って、コンプライアンスに準拠したデバイス ポリシーをリソースへのアクセスに適用します。

2.2 デバイスの検出とコンプライアンス

Microsoft Intune コンプライアンス ポリシーを使って、デバイスが組織の標準に準拠していることを保証します。 コンプライアンス ポリシーにより、デバイス構成をセキュリティ ベースラインに対して評価できます。 ポリシーでは、Microsoft Defender for Endpoint の保護の状態とマシン リスク スコアを使ってコンプライアンスを判断します。 条件付きアクセスでは、デバイスのコンプライアンス状態を使ってユーザーとデバイスのアクセスを動的に決定します (Bring Your Own Devices (BYOD) を含む)。

2.3 リアルタイム検査によるデバイス認可

条件付きアクセスは、Microsoft クラウド製品およびサービス用のゼロ トラスト ポリシー エンジンです。 IdP でゼロ トラスト ポリシーを評価すると、リソース アクセスの前にアダプティブ コントロールを適用することで、Comply to Connect (C2C) モデルを強化できます。 条件付きアクセス ポリシーでは、Microsoft Entra ID、Microsoft Defender XDR、Microsoft Intune からのセキュリティ シグナルを使います。

Microsoft Defender XDR コンポーネントは、機械学習 (ML) 検出を使ってデバイスと ID のリスク レベルを評価し、動的なリスクベースの決定を有効にしてデータ、アプリケーション、資産、サービス (DAAS) へのアクセスを許可、ブロック、または制御します。

2.4 リモート アクセス

Microsoft Entra ID は、"既定で拒否" の ID プロバイダー (IdP) です。 アプリケーションのサインインに Microsoft Entra を使う場合、ユーザーが認証して条件付きアクセス ポリシーのチェックに合格すると、Microsoft Entra がアクセスを承認します。 Microsoft Entra ID を使って、クラウドまたはオンプレミスでホストされているアプリケーションを保護できます。

2.5 資産、脆弱性、パッチの管理の部分的な自動化と完全な自動化

Microsoft Endpoint Manager では、デバイス管理のためのクラウドベースとハイブリッド (共同管理) のソリューションがサポートされています。 構成ポリシーとコンプライアンス ポリシーにより、デバイスが組織のパッチ レベルとセキュリティ構成の要件を満たしていることを保証します。

2.6 統合エンドポイント管理とモバイル デバイス管理

Microsoft Intune の構成ポリシーとコンプライアンス ポリシーにより、デバイスが組織のセキュリティ構成の要件を満たしていることを保証します。 Intune はコンプライアンス ポリシーを評価し、デバイスを準拠または非準拠としてマークします。 条件付きアクセス ポリシーでデバイスのコンプライアンス状態を使用し、準拠していないデバイスのユーザーが Microsoft Entra ID で保護されているリソースにアクセスできないようにすることができます。

Microsoft Entra 外部 ID のテナント間アクセス設定には、ゲスト コラボレーション用の信頼設定が含まれます。 これらの設定は、パートナー テナントごとにカスタマイズできます。 別のテナントからの準拠しているデバイスを信頼する場合、ホーム テナントで準拠しているデバイスを使用しているゲストは、テナント内の準拠デバイスを必要とする条件付きアクセス ポリシーを満たします。 外部ゲストをブロックしないように条件付きアクセス ポリシーの例外を作成する必要はありません。

2.7 エンドポイントおよび拡張された検出と対応 (EDR と XDR)

Microsoft Defender XDR 統合防御スイートにより、エンドポイント、ID、メール、アプリケーション全体の検出、防止、調査、対応を調整します。 Microsoft Defender XDR コンポーネントにより、高度な攻撃を検出して防御します。

Microsoft Defender XDR コンポーネントの統合により、デバイスを超えた保護を実現します。 Microsoft Entra ID Protection のユーザー リスク レベルに寄与する検出イベントの例を次に示します。

• Microsoft Defender for Office によって検出された疑わしいメール送信パターン
• Microsoft Defender for Cloud Apps でのあり得ない移動の検出
• Microsoft Defender for Endpoint によって検出されたプライマリ更新トークンへのアクセスの試み

リスクベースの条件付きアクセス ポリシーにより、信頼されたネットワーク上で準拠しているデバイスを使っていても、危険なユーザーによるクラウド サービスへのアクセスをセキュリティで保護、制限、またはブロックできます。

詳しくは、Microsoft Defender XDR コンポーネントの有効化とリスクの概要に関する記事を参照してください。

次のステップ

DoD ゼロ トラスト戦略用に Microsoft クラウド サービスを構成します。

• はじめに
• User
• デバイス
• アプリケーションとワークロード
• Data
• Network
• 自動化とオーケストレーション
• 可視性と分析