クラウドベースのSIEM+SOAR「Azure Sentinel」が年内にGA予定

「Azure Sentinel」でゼロトラスト型セキュリティを推進

　日本マイクロソフトは2019年8月6日、品川本社で記者会見を開催し、「Azure Sentinel」が2019年下半期にGA(一般提供)予定だと明らかにした。Azure SentinelはクラウドベースのSIEM+SOARとして、米国時間2019年2月28日にMicrosoftがプレビュー版の提供を発表していた。

　同社が本ソリューションをアピールする背景には、2020年1月14日にサポート終了を迎えるWindows Server 2008/2008 R2がある。2019年6月に実施したMM総研の調査でも、サポート終了日を迎えても10万2698台のマシンが国内に残るという。同社は、移行が完了しなかった顧客に対してAzureへのリフト＆シフトを提案し、Azureで利用する場合に限って延長セキュリティ更新プログラムを無償提供する。しかしながら、調査によると「機密情報の取り扱い上、クラウドは導入できない」（39.4％）」、「クラウド利用のセキュリティリスクが判断できない」（28.5％）という状況だ。このようなクラウドへの懸念を払しょくすべく、同社はモダンITインフラに求められる、IDやデバイス管理、ログ収集と監査を前提とする"ゼロトラスト型セキュリティモデル"を推進している。「次のデジタル化へ進む日本企業の一助となる」(日本マイクロソフト 業務執行役員 Azureビジネス本部 本部長 浅野智氏)と語る。

日本マイクロソフト 業務執行役員 Azureビジネス本部 本部長 浅野智氏

　クラウド規模のセキュリティ分析環境を提供するAzure Sentinelは、Azure Monitorを使用してOffice 365に代表される自社製ソリューションや、Microsoft Intelligent Security Associationに参加するパロアルトネットワークスやF5、シマンテックといったセキュリティソリューションのログに加えて、各種サーバーやSaaSアプリやデスクトップアプリ、Linuxのsyslog、ネットワークサービスといった各種ログをログ分析データベース上に蓄積する。また、ビルトインML(機械学習)モデルや、Azure Machine Learningを用いた独自のMLモデル構築、UEBA(User and Entity Behavior Analytics)によるユーザーの異常行動分析、相関関係ルールを用いたML FUSIONで脅威検知を行う(UEBAによるユーザー分析とカスタムMLモデルは今後提供予定)。Azure Sentinel未対応のアプリに対しては、REST API経由や、サードパーティー製コネクターでも取得できるという。

Azure Sentinelの構成図

　脅威を検知した場合は、ダッシュボードで攻撃内容を可視化し、ドリルダウンで脅威の振る舞いを可視化することで対応時間を短縮する。また、脅威発生時のチケット発行や担当者のアサイン、Microsoft Teamsなどビジネスチャットへの投稿などを自動化するPlaybookを用意。ノンコーディングソリューションのLogic Appsに類似した操作で自動ワークフローを構築できる予定だ。Azure SentinelはAAD(Azure Active Directory)を基盤とする共通のID管理・権限管理運用を想定し、社外やAD(Active Directory)運用のオンプレミス環境、AWS(Amazon Web Services)やGCP(Google Cloud Platform)といったMicrosoft Azure以外のクラウドで稼働するVM(仮想マシン)やSaaSもサポートする。

日本マイクロソフト Azureビジネス本部 製品プロダクト&テクノロジ部 プロダクトマネージャー 佐藤壮一氏)

　日本マイクロソフトは昨今のビジネスキーワードである"働き方改革""DX(デジタルトランスフォーメーション)"について、「テクノロジー活用による生産性とアジリティの向上がゴール」(日本マイクロソフト Azureビジネス本部 製品プロダクト&テクノロジ部 プロダクトマネージャー 佐藤壮一氏)と述べ、ゼロトラスト型セキュリティモデルを採用したAzure Sentinelの利用をうながした。なお、本ソリューションは前述のとおりプレビュー版のため、本稿執筆時点では、Office 365のデータをセキュリティ分析用とするインポート機能の無償提供している。

■関連サイト

• Azure Sentinel