情報システムにおけるセキュリティ強化は、企業の経営面からも重要なミッションです。サイバー攻撃などによって事業がストップすると、顧客や取引先の信頼を損なうとともに大きな損失を生じます。あらゆるリスクを想定して、堅牢なシステムを構築しなければなりません。
ところが、セキュリティを強化するためには、サイバー攻撃の対策、内部統制やコンプライアンス、インフラストラクチャーからアプリケーションまで、幅広い領域の防御が必要です。どこからどのように着手すればよいのか疑問もあるでしょう。
今回は、企業や組織で強化しなければならないセキュリティの全体像を整理し、Azureのセキュリティ統合管理ツールであるAzure Security Centerの概要を取り上げます。
いま、セキュリティ強化に求められること
IT環境と社会の変化によって、従来よりも高度なセキュリティが求められています。変化の動向を踏まえて、いま必要なセキュリティの強化を3つの視点からまとめます。
量と質ともに変化した働き方に対応
テレワークは、働き方や情報システムなどに大きな影響を与えています。ビデオ会議など、業務で扱うデータは質と量ともに著しく変化し、企業や組織のセキュリティは社内から社外まで拡大する必要が生じました。
このような時代においては、柔軟に拡大縮小、拡張やアップデートが可能で、俊敏性を備えたセキュリティが求められます。SECaaS（Security as a Service）として、クラウドベースのセキュリティも注目されています。運用や管理のしやすさに加えて、従量課金制によるコスト効率のよさがメリットです。
高度化する外部からのサイバー攻撃と内部不正の両側面から対策
従来は、セキュリティといえば境界型セキュリティのファイアーウォールが主流でした。しかし、内部の不正による情報漏えいなどを考慮し、信頼性がまったくない状態を想定したゼロトラストのセキュリティが求められています。
防御する範囲の拡大と複雑化するセキュリティに対する有望な解決策として「多層防御」があります。情報の入口だけでなく、内部と出口のリスクを考慮します。機密情報のコピーや外部ストレージへの保存や持ち出しを禁じることにより、セキュリティを強化します。
外部からの侵入が依然として大きな脅威ですが、社員によるデータのアクセスの制限、機密情報を含む機器をネットワークから分離して感染の拡大を抑えるなど、インシデントを予防するセキュリティ強化が必要です。
SOC/CSIRTの設置、人工知能の活用、セキュリティ保護の自動化
セキュリティの範囲が拡がると、担当者には、最新かつ高度なセキュリティ知識と対策の技術が求められます。徹底したセキュリティ教育を行うことは大切ですが、セキュリティ対策の業務負荷は、他の業務や戦略的なミッションの遂行を圧迫しかねません。
そこで、セキュリティ対応の専門組織を社内に設置したり、社外にアウトソーシングしたりする企業が増えました。SOC（Security Operation Center）は24時間365日の監視により、サイバー攻撃の検出と対策を行う組織です。CSIRT（Computer Security Incident Response Team）はインシデント対策に特化したチームを呼びます。
といっても、人間の能力には限界があります。人海戦術で膨大なデータを分析しても、見落としが生じます。そこで、人工知能の機械学習を活用して、既知のログからパターンを抽出してインシデントの予兆を発見するとともに、警告や対応の自動化が進んでいます。
セキュリティを強化する３つの領域
セキュリティ強化に求められる３つの視点を踏まえて、ハードウェア、ソフトウェア、ネットワークの３つの領域で強化のポイントを整理します。
ハードウェアにおけるセキュリティ強化
まず、前提となるのは「物理的に壊れないこと」です。可用性（availability）とも言われますが、長期的に安全かつ信頼できる状態が求められます。老朽化とシステム障害の抑制に加えて、地震や台風などの自然災害に耐えることが重要なポイントです。
しかしながら、完全に壊れないインフラストラクチャーはあり得ません。直接的にセキュリティに関わることではないかもしれませんが、クラウド上のバックアップやリカバリ（復旧）のシステムを構築しておくことが必須条件になります。
自然災害の対策は「ディザスタリカバリ（Disaster Recovery、DR）」としてシステム保守の重点項目になっています。もしもの時を想定して、万全の仕組みを構築しておくことがポイントです。
ソフトウェアにおけるセキュリティ強化
SaaSなどのソフトウェアを保護するときには、脅威を検知する仕組みが重要です。人工知能の機械学習が検知に使われ、自動化が進んでいることは既に述べました。
さらに、パブリッククラウドを複数利用するマルチクラウドや、オンプレミスとクラウドのハイブリッドクラウドが利用されている現在、あらゆるログをひとつの場所に保存し、データセンターやOSに関わらず脅威を検知し、自動的に対応を行う統合管理が求められます。
また、Webアプリケーションごとに防御する必要性もあります。AzureではAzure Webアプリケーションファイアーウォール（WAF）が提供されています。
ネットワークにおけるセキュリティ強化
ゼロトラストの考え方からネットワークで強化すべきセキュリティは、境界型の防御である外部のファイアーウォールを人工知能などによってインテリジェント化するとともに、クラウドの内部にもファイアーウォールを設置することです。
Azureでは、Azureネットワークセキュリティグループ（NSG）によって、クラウド内部の仮想マシンなどのアクセス許可や禁止を設定できます。
Azure Security Centerとは
以上の考察を踏まえて、Azure Security Centerの概要を解説していきましょう。
Azure Security Center は、AzureのPaaSを中心にAzure以外のIaaSやSaaSを統合して、保護および管理のできるツールです。AzureネイティブのコンテナーオーケストレーターであるAzure Service Fabric、SQLデータベースとインスタンス、ストレージアカウントなど、Azureが提供する多様なサービスの監視と保護を実現します。
さらにLog Analyticsエージェントをインストールすると、WindowsとLinuxに関わらず、Azure以外のクラウドまたはオンプレミスのサーバーと仮想マシンの保護が可能になります。
オンプレミスやクラウドからエージェントが収集したログは、相互に関連付けられ、異常が生じた場合にはアラートで警告します。マルチクラウドにおいても、セキュリティの一元管理が可能になります。
セキュリティポリシーの設定は、Azure Security Centerのダッシュボードでサブスクリプションや管理グループを有効にします。あらかじめ用意されたポリシーを自動的に適用し、カスタマイズも可能です。
その他、セキュリティ体制の強化と多様な環境を統合管理できる以下のようなメリットがあります。
セキュリティ体制の強化
Azure Security Centerでは、特定の領域を選択してセキュリティの強化が可能です。
たとえば、組織のセキュリティポリシーとコンプライアンスの管理では、いわゆる「シャドーIT」のサブスクリプションを特定できます。シャドーITとは、企業が正式に業務の利用を許可していないチャット、ストレージサービス、フリーメールなどをいい、情報漏えいやアカウントの乗っ取りなどのリスクがあります。厳重な管理が必要です。
さらに、セキュリティスコアを用いた継続的な評価とベストプラクティスの活用、ネットワークの状態を可視化するネットワークマップがあります。
最も重要な機能としては、リスクにしたがって推奨事項を構成し、脅威を排除するための具体的な手順を示して自動的に実行可能なことです。管理者の作業負荷を軽減できます。
マルチクラウド、ハイブリッドクラウドに向けた脅威の保護
複数のSaaSなどを利用するマルチクラウド、オンプレミスとクラウドを利用するハイブリッドクラウドの活用が進展しています。Azure Security Centerを使うと、AzureのPaaSに加えてIaaSや他のサーバーの脅威を検出して保護できます。
ユーザーのアカウントやパスワードを盗むために「ブルートフォースアタック（Brute Force Attack）」という手口があります。「総あたり攻撃」とも呼ばれ、パスワードを1文字ずつ変えて一致する文字列を探し出す方法です。このような悪質な攻撃を回避する機能も備えています。
参考：Azure Security Center とは
https://docs.microsoft.com/ja-jp/azure/security-center/security-center-introduction
まとめ
Azure Security CenterはAzureネイティブの統合セキュリティ管理ツールですが、一方でMicrosoft Azureプラットフォーム以外のSaaSを業務に合わせて使い分ける企業も増加しています。
そのような際はHENNGEが提供しているHENNGE Oneのようなサードパーティー製のIDaaSを組み合わせて使うと良いでしょう。HENNGE Oneは、IP制限、デバイス証明書、セキュアブラウザ、パスワードレス認証、などの他要素認証を備えており、160を超えるSaaSとの連携に対応しています。マルチプラットフォームでのクラウド利用の際にはぜひ検討してみてはいかがでしょうか。
