Microsoft Defender for Cloud Appsのパイロットとデプロイ

[アーティクル]
01/12/2025

適用対象:

Microsoft Defender XDR

この記事では、organizationにMicrosoft Defender for Cloud Appsをパイロットしてデプロイするためのワークフローについて説明します。これらの推奨事項を使用して、Microsoft Defender XDRを使用してエンドツーエンドソリューションの一部としてMicrosoft Defender for Cloud Appsをオンボードします。

この記事では、運用環境の Microsoft 365 テナントがあり、この環境でMicrosoft Defender for Cloud Appsのパイロットとデプロイを行っていることを前提としています。この方法では、パイロット中に構成した設定とカスタマイズが、完全なデプロイに対して維持されます。

Defender for Office 365は、侵害によるビジネス上の損害を防止または軽減することで、ゼロトラストアーキテクチャに貢献します。詳細については、Microsoft ゼロトラスト導入フレームワークの侵害によるビジネス上の損害の防止または軽減に関する記事を参照してください。

Microsoft Defender XDRのエンドツーエンドのデプロイ

これは、インシデントの調査や対応など、Microsoft Defender XDRのコンポーネントのデプロイに役立つシリーズの 5/6 です。

このシリーズの記事は、エンドツーエンドデプロイの次のフェーズに対応しています。

段階	リンク
A. パイロットを開始する	パイロットを開始する
B. Microsoft Defender XDR コンポーネントのパイロットとデプロイ	- Defender for Identity をパイロットして展開する - Defender for Office 365をパイロットしてデプロイする - Defender for Endpoint のパイロットとデプロイ - Microsoft Defender for Cloud Appsをパイロットしてデプロイする (この記事)
C. 脅威の調査と対応	インシデントの調査と対応を実践する

Defender for Cloud Appsのワークフローをパイロットしてデプロイする

次の図は、IT 環境に製品またはサービスをデプロイするための一般的なプロセスを示しています。

まず、製品またはサービスを評価し、organization内でどのように機能するかを評価します。次に、テスト、学習、カスタマイズのために、運用環境インフラストラクチャの適切な小さなサブセットを使用して、製品またはサービスをパイロットします。その後、インフラストラクチャ全体またはorganizationがカバーされるまで、デプロイのスコープを徐々に増やします。

運用環境でのDefender for Cloud Appsのパイロットとデプロイのワークフローを次に示します。

次の手順を実行します。

Defender for Cloud Appsに接続する
Microsoft Defender for Endpointとの統合
ファイアウォールやその他のプロキシにログコレクターをデプロイする
パイロットグループを作成する
クラウドアプリの検出と管理
条件付きアクセスアプリ制御を構成する
クラウドアプリにセッションポリシーを適用する
その他の機能を試す

デプロイステージごとに推奨される手順を次に示します。

デプロイステージ	説明
評価	Defender for Cloud Appsの製品評価を実行します。
パイロット	運用環境のクラウドアプリの適切なサブセットに対して手順 1 から 4、5 から 8 を実行します。
完全な展開	残りのクラウドアプリに対して手順 5 から 8 を実行し、パイロットユーザーグループのスコープを調整するか、ユーザーグループを追加してパイロットを超えて拡張し、すべてのユーザーアカウントを含めます。

ハッカーからorganizationを保護する

Defender for Cloud Appsは、独自の強力な保護を提供します。ただし、Microsoft Defender XDRの他の機能と組み合わせると、Defender for Cloud Appsは共有信号にデータを提供し、攻撃を阻止するのに役立ちます。

サイバー攻撃の例と、Microsoft Defender XDRのコンポーネントが検出と軽減にどのように役立つかを次に示します。

Defender for Cloud Appsは、旅行不可能、資格情報アクセス、異常なダウンロード、ファイル共有、メール転送アクティビティなどの異常な動作を検出し、これらの動作をDefender for Cloud Appsに表示します。 Defender for Cloud Appsは、ハッカーによる横移動や機密データの流出を防ぐのにも役立ちます。

Microsoft Defender XDRは、すべてのMicrosoft Defenderコンポーネントからの信号を関連付けて、完全な攻撃ストーリーを提供します。

DEFENDER FOR CLOUD APPS CASB としての役割など

クラウドアクセスセキュリティブローカー (CASB) は、エンタープライズユーザーと使用するクラウドリソースの間で、ユーザーが配置されている場所や使用しているデバイスに関係なく、リアルタイムでアクセスを仲介するゲートキーパーとして機能します。サービスとしてのソフトウェア (SaaS) アプリは、ハイブリッド作業環境全体でユビキタスであり、SaaS アプリとそれらが格納する重要なデータを保護することは、組織にとって大きな課題です。

アプリの使用の増加と、会社の境界外の会社のリソースにアクセスする従業員との組み合わせにより、新しい攻撃ベクトルも導入されました。これらの攻撃に効果的に対処するには、セキュリティチームには、クラウドアクセスセキュリティブローカー (CASB) の従来のスコープを超えて、クラウドアプリ内のデータを保護するアプローチが必要です。

Microsoft Defender for Cloud Appsは、SaaS アプリケーションに対して完全な保護を提供し、次の機能領域でクラウドアプリデータを監視および保護するのに役立ちます。

シャドウ IT 検出、クラウドアプリの使用状況の可視化、クラウド内のどこからでもアプリベースの脅威に対する保護、情報保護とコンプライアンス評価など、クラウドアクセスセキュリティブローカー (CASB) の基本的な機能。
SaaS セキュリティ体制管理 (SSPM) 機能により、セキュリティチームはorganizationのセキュリティ体制を改善できます
Microsoft の拡張検出と応答 (XDR) ソリューションの一環として、高度な攻撃の完全なキルチェーン全体でシグナルと可視性の強力な相関関係を実現する高度な脅威保護
アプリ間の保護。重要なデータとリソースに対するアクセス許可と特権を持つ OAuth 対応アプリにコア脅威シナリオを拡張します。

クラウドアプリの検出方法

Defender for Cloud Appsがないと、organizationによって使用されるクラウドアプリは管理されず、保護されていません。環境内で使用されているクラウドアプリを検出するには、次の方法の 1 つまたは両方を実装できます。

Microsoft Defender for Endpointと統合することで、Cloud Discovery を使用してすばやく起動して実行できます。このネイティブ統合を使用すると、ネットワーク上およびネットワーク外のWindows 10デバイスとWindows 11デバイス間のクラウドトラフィックに関するデータの収集をすぐに開始できます。
ネットワークに接続されているすべてのデバイスによってアクセスされたすべてのクラウドアプリを検出するには、ファイアウォールやその他のプロキシにDefender for Cloud Apps ログコレクターをデプロイします。このデプロイは、エンドポイントからデータを収集し、分析のためにDefender for Cloud Appsに送信するのに役立ちます。 Defender for Cloud Appsは、さらに多くの機能を提供するために、一部のサードパーティプロキシとネイティブに統合されます。

この記事には、両方のメソッドのガイダンスが含まれています。

手順 1. Defender for Cloud Appsに接続する

ライセンスを確認し、Defender for Cloud Appsに接続するには、「クイックスタート: Microsoft Defender for Cloud Appsの概要」を参照してください。

ポータルにすぐに接続できない場合は、ファイアウォールの許可リストに IP アドレスを追加する必要がある場合があります。詳細については、「Defender for Cloud Appsの基本的なセットアップ」を参照してください。

それでも問題が解決しない場合は、「ネットワーク要件」を確認してください。

手順 2: Microsoft Defender for Endpointと統合する

Microsoft Defender for Cloud AppsはネイティブにMicrosoft Defender for Endpointと統合されます。この統合により、Cloud Discovery のロールアウトが簡素化され、企業ネットワークを超えて Cloud Discovery 機能が拡張され、デバイスベースの調査が可能になります。この統合により、IT 管理のWindows 10およびWindows 11 デバイスからアクセスされているクラウドアプリとサービスが明らかになります。

Microsoft Defender for Endpointを既に設定している場合、Defender for Cloud Appsとの統合を構成することは、Microsoft Defender XDRのトグルです。統合が有効になった後、Defender for Cloud Appsに戻り、Cloud Discovery ダッシュボードで豊富なデータを表示できます。

これらのタスクを実行するには、「Microsoft Defender for EndpointとMicrosoft Defender for Cloud Appsの統合」を参照してください。

手順 3: ファイアウォールやその他のプロキシにDefender for Cloud Apps ログコレクターをデプロイする

ネットワークに接続されているすべてのデバイスのカバレッジについては、ファイアウォールやその他のプロキシにDefender for Cloud Apps ログコレクターをデプロイして、エンドポイントからデータを収集し、分析のためにDefender for Cloud Appsに送信します。詳細については、「継続的レポートの自動ログアップロードを構成する」を参照してください。
Defender for Cloud Appsは、一般的なクラウドアプリ用の組み込みのアプリコネクタを提供します。これらのコネクタでは、アプリプロバイダーの API を使用して、organizationでのこれらのアプリの使用方法をより詳細に把握し、制御できるようにします。詳細については、「アプリを接続して、Microsoft Defender for Cloud Appsで可視性と制御を取得する」を参照してください。
次のいずれかの Secure Web Gateway (SWG) を使用している場合、Defender for Cloud Appsはシームレスなデプロイと統合を提供します。

詳細については、「クラウドアプリの検出の概要」を参照してください。

手順 4. パイロットグループの作成 - パイロット展開のスコープを特定のユーザーグループに設定する

Microsoft Defender for Cloud Appsを使用すると、デプロイのスコープを設定できます。スコープを使用すると、アプリの監視または監視から除外する特定のユーザーグループを選択できます。ユーザーグループを含めたり除外したりできます。

詳細については、「デプロイを特定のユーザーまたはユーザーグループにスコープを設定する」を参照してください。

手順 5. クラウドアプリの検出と管理

Defender for Cloud Appsで最大限の保護を提供するには、organization内のすべてのクラウドアプリを検出し、その使用方法を管理する必要があります。

クラウドアプリを検出する

クラウドアプリの使用を管理するための最初の手順は、organizationで使用されているクラウドアプリを検出することです。次の図は、クラウド検出がDefender for Cloud Appsでどのように機能するかを示しています。

この図では、ネットワークトラフィックを監視し、organizationで使用されているクラウドアプリを検出するために使用できる 2 つの方法があります。

Cloud App Discovery は、Microsoft Defender for Endpointとネイティブに統合されます。 Defender for Endpoint は、IT 管理のWindows 10およびWindows 11 デバイスからアクセスされているクラウドアプリとサービスを報告します。
ネットワークに接続されているすべてのデバイスでカバレッジを行うには、ファイアウォールやその他のプロキシにDefender for Cloud Apps ログコレクターをインストールして、エンドポイントからデータを収集します。コレクターは、分析のためにこのデータをDefender for Cloud Appsに送信します。

Cloud Discovery ダッシュボードを表示して、organizationで使用されているアプリを確認する

クラウド検出ダッシュボードは、organizationでクラウドアプリがどのように使用されているかについてのより多くの洞察を提供するように設計されています。使用されているアプリの種類、開いているアラート、organization内のアプリのリスクレベルの概要をひとめで確認できます。

詳細については、「クラウド検出ダッシュボードを使用して検出されたアプリを表示する」を参照してください。

クラウドアプリを管理する

クラウドアプリを検出し、これらのアプリがorganizationでどのように使用されているかを分析したら、選択したクラウドアプリの管理を開始できます。

この図では、一部のアプリは使用が承認されています。承認は、アプリを管理するための簡単な方法です。詳細については、「検出されたアプリの管理」を参照してください。

手順 6. 条件付きアクセスアプリ制御を構成する

構成できる最も強力な保護の 1 つは、条件付きアクセスアプリ制御です。この保護には、Microsoft Entra IDとの統合が必要です。これにより、承認したクラウドアプリに関連するポリシー (正常なデバイスの要求など) を含む条件付きアクセスポリシーを適用できます。

多要素認証やその他の条件付きアクセスポリシーを適用するために、Microsoft Entra テナントに SaaS アプリが既に追加されている場合があります。 Microsoft Defender for Cloud Appsは、Microsoft Entra IDとネイティブに統合されます。必要なのは、Defender for Cloud Appsで条件付きアクセスアプリ制御を使用するようにMicrosoft Entra IDでポリシーを構成することです。これにより、これらの管理対象 SaaS アプリのネットワークトラフィックがプロキシとしてDefender for Cloud Apps経由でルーティングされます。これにより、Defender for Cloud Appsはこのトラフィックを監視し、セッション制御を適用できます。

この図について:

SaaS アプリは、Microsoft Entra テナントと統合されます。この統合により、Microsoft Entra IDは多要素認証を含む条件付きアクセスポリシーを適用できます。
SaaS アプリのトラフィックをDefender for Cloud Appsに転送するポリシーがMicrosoft Entra IDに追加されます。ポリシーでは、このポリシーを適用する SaaS アプリを指定します。 Microsoft Entra IDはこれらの SaaS アプリに適用される条件付きアクセスポリシーを適用した後、Microsoft Entra ID Defender for Cloud Appsを介してセッショントラフィックを送信 (プロキシ) します。
Defender for Cloud Appsは、このトラフィックを監視し、管理者によって構成されたすべてのセッション制御ポリシーを適用します。

Microsoft Entra IDに追加されていないDefender for Cloud Appsを使用して、クラウドアプリを検出して承認した可能性があります。これらのクラウドアプリを Microsoft Entra テナントと条件付きアクセス規則のスコープに追加することで、条件付きアクセスアプリ制御を利用できます。

Microsoft Defender for Cloud Appsを使用して SaaS アプリを管理する最初の手順は、これらのアプリを検出してから、Microsoft Entra テナントに追加することです。検出に関するヘルプが必要な場合は、「ネットワーク内の SaaS アプリの検出と管理」を参照してください。アプリを検出したら、これらのアプリを Microsoft Entra テナントに追加します。

次のタスクを使用して、これらのアプリの管理を開始できます。

Microsoft Entra IDで、新しい条件付きアクセスポリシーを作成し、条件付きアクセスアプリ制御を使用するように構成します。この構成は、要求をDefender for Cloud Appsにリダイレクトするのに役立ちます。 1 つのポリシーを作成し、すべての SaaS アプリをこのポリシーに追加できます。
次に、Defender for Cloud Appsでセッションポリシーを作成します。適用するコントロールごとに 1 つのポリシーを作成します。サポートされているアプリやクライアントなど、詳細については、「Microsoft Defender for Cloud Apps セッションポリシーを作成する」を参照してください。

サンプルポリシーについては、「SaaS アプリの推奨Microsoft Defender for Cloud Appsポリシー」を参照してください。これらのポリシーは、すべての顧客の出発点として推奨される一連の一般的な ID とデバイスアクセスポリシーに基づいて構築されます。

手順 7. クラウドアプリにセッションポリシーを適用する

セッションポリシーを構成したら、それらをクラウドアプリに適用して、それらのアプリへの制御されたアクセスを提供します。

この図について:

organization内のユーザーやデバイスから承認されたクラウドアプリへのアクセスは、Defender for Cloud Apps経由でルーティングされます。
承認されていない、または明示的に承認されていないクラウドアプリは影響を受けません。

セッションポリシーを使用すると、クラウドアプリをorganizationで使用する方法にパラメーターを適用できます。たとえば、organizationが Salesforce を使用している場合は、管理対象デバイスのみが Salesforce でorganizationのデータにアクセスできるようにするセッションポリシーを構成できます。より簡単な例として、管理されていないデバイスからのトラフィックを監視するようにポリシーを構成し、より厳しいポリシーを適用する前に、このトラフィックのリスクを分析できます。

詳細については、「Microsoft Defender for Cloud Appsでのアプリの条件付きアクセス制御」を参照してください。

手順 8. その他の機能を試す

次のDefender for Cloud Apps記事を使用して、リスクを発見し、環境を保護します。

Microsoft Defender for Cloud Appsデータの高度なハンティングの詳細については、このビデオを参照してください。

SIEM 統合

Defender for Cloud Appsを Microsoft の統合セキュリティ運用プラットフォームまたは汎用セキュリティ情報およびイベント管理 (SIEM) サービスの一部としてMicrosoft Sentinelと統合して、接続されたアプリからのアラートとアクティビティの一元的な監視を可能にすることができます。 Microsoft Sentinelを使用すると、organization全体のセキュリティイベントをより包括的に分析し、プレイブックを構築して効果的かつ即時に対応できます。

Microsoft Sentinelには、Defender for Cloud Appsを含むDefender XDRからのすべての信号をMicrosoft Sentinelに取り込むための XDR データコネクタのMicrosoft Defenderが含まれています。 Defender ポータルの統合セキュリティ操作プラットフォームを、エンドツーエンドのセキュリティ操作 (SecOps) の 1 つのプラットフォームとして使用します。

詳細については、以下を参照してください:

次の手順

Defender for Cloud Appsのライフサイクル管理を実行します。

Microsoft Defender XDRのエンドツーエンドデプロイの次の手順

Microsoft Defender XDRを使用して調査して応答するを使用して、Microsoft Defender XDRのエンドツーエンドのデプロイを続行します。

ヒント

さらに多くの情報を得るには、 Tech Community 内の Microsoft Security コミュニティにご参加ください: 「Microsoft Defender XDR Tech Community」。

次の方法で共有

Microsoft Defender for Cloud Appsのパイロットとデプロイ

Microsoft Defender XDRのエンドツーエンドのデプロイ