パブリッククラウドのセキュリティを真正面から考える　～ Azure でのベストプラクティス ～

1. クラウド ソリューション アーキテクト
Session ID:CLD004
本情報の内容（添付文書、リンク先などを含む）は、Microsoft Tech Summit 開催日（2016年11月1－2日）時点のものであり、予告なく変更される場合があります。

2. • ハイブリッドクラウドでのセキュリティの
アーキテクチャデザインができるようになる
• パブリッククラウドで高度なセキュリティ対策が
利用できるようになる
このセッションの目的

3. • 導入
• セキュリティ対策 ～オンプレミスとクラウド～
• デザイン方法
• Azure Security Center ～説明＆デモ

4. （出典）総務省「通信利用動向調査」http://www.soumu.go.jp/johotsusintokei/whitepaper/ja/h28/html/nc252130.html

5. Azure 様々なコンプライアンスへの適合
https://www.microsoft.com/en-us/TrustCenter/Compliance/default.aspx
日本でもクラウド セキュリティ ゴールドマークを取得

6. Data governance &
rights management
Responsibility SaaS PaaS IaaS On-prem
Client endpoints
Account & access
management
Identity & directory
infrastructure
Application
Network controls
Operating system
Physical network
Physical datacenter
CustomerMicrosoft
Physical hosts
クラウドサービスプロバイダ責任
ユーザ(各テナント)責任

7. Microsoft Tech Summit

10. インターネットアクセス
クロスプレミス
インターネットアクセス
Azure public services
Internet
インタ-ネットはオンプレのプロキ
シや Firewall を通してアクセス
Azure のパブリックサービスもオ
ンプレを介してアクセス
サービスアクセス

11. オンプレミスセキュリティアーキテクチャ

12. Azure上のセキュリティアーキテクチャ

13. ネットワークをどうやって分離する？その時使う機能は？
バックエンドのワークロードをどうやって保護する？
インターネット通信はどうやって制御する？
オンプレミス側のネットワークはどうやって保護する？
サードパーティの製品と Azure 純正機能は何が違う？

14. Microsoft Tech Summit

15.  サブネットを論理的にセグメント化する
 DMZ をデプロイしてセキュリティ ゾーンを構築する
 仮想ネットワーク アプライアンスを使用する
 ルーティングの動作を制御する
 専用の WAN リンクを使用して、インターネットへの接続を防ぐ
 強制トンネリングを有効にする
 自社のデータセンターを Azure に拡張
 アップタイムとパフォーマンスを最適化する
 グローバル負荷分散を使用する
 Azure Virtual Machines への RDP アクセスを無効にする
 Azure Security Center を有効にする

16. DDoS
防御
仮想 NW
分離
Network
Virtual Appliance
Cloud Services
&
Virtual Machines Internet
エンド
ポイント
NAT
Azure
NSG＆
UDR

17. ネットワーク
仮想アプライアンス
(NVA)
Next Generation FW
Web Application
Firewall
Azure Application
Gateway (with WAF)
VPN/ 専用線接続
(S2S/ExpressRoute)
IKE/IPsec VPN
強制トンネリング
S2S は200M 程度まで
専用線接続
ACL/ユーザ定義ルート
(NSG/UDR)
DMZ をデプロイ
Network Security Group
ルーティング動作を制御
仮想ネットワーク
(VNet)
ネットワーク分離境界
サブネットでさらに論理
的にセグメント化する
サブネット間はシステム
ルートで接続

18. ✓ DMZ を作る
✓ ファイアウォールや WAF などの仮想アプライアンスを配置
✓ ユーザー定義ルート (UDR)を使ってトラフィックを制御
クラウド内ネットワーク構成の例

20. IP転送

21. ✓ サイト間 VPN を使用してハイブリッド接続
✓ ExpressRoute を使用してハイブリッド接続
✓ 仮想アプライアンスのサイト間 VPN を使用してハイブリッド接続
ハイブリッドクラウド接続構成

24. https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk110194&partition=General&product=vSEC

26. Microsoft Tech Summit

27. 認証とアクセス制御
データ保護 (主に暗号化と鍵管理)
ネットワークセキュリティ
セキュリティ管理、監視
高度なセキュリティ対策

28. • ノンシグネチャ型アプローチ
• エンドポイントの検知／対応 (EDR)
• 侵入痕跡のDBや挙動分析、機械学習での内部不正検知
• ユーザ/エンティティ挙動分析 (UEBA)
• CASB（Cloud Access Security Broker)
• マイクロセグメンテーションおよびフローの可視性
高度なセキュリティ対策とは
http://www.sbbit.jp/article/cont1/32400

29. 防御&コントロール
検知と対策（復旧）
連携・統合と可視化
広範なセキュリティソリューション
とのエコシステム
Now In General Availability
Azure Security Center

30. Microsoft Tech Summit

31. セキュリティセンターでの高度な検知機能

32. キルチェーン全体に渡る脅威の検出

35. Microsoft Tech Summit

36. https://azure.microsoft.com/ja-jp/documentation/articles/application-gateway-introduction/
サービス Load Balancer Application Gateway Traffic Manager
テクノロジ トランスポート レベル
(第 4 層) UDP/TCP
アプリケーション レベ
ル (第 7 層)
HTTP/HTTPS
DNS レベル
エンドポイント Azure VM
Cloud service
Azure の内部 IP アドレ
スまたはパブリック イ
ンターネット IP アドレ
ス
Azure VM、Cloud
Service、Azure Web
Apps および外部エンド
ポイント
負荷分散モード 発信元 IP、発信元ポー
ト、接続先 IP、接続先
ポート、プロトコルの種
類
ラウンド ロビン
URL に基づくルーティン
グ
N/A
SSL オフロード サポートなし サポート サポートなし
その他 WAF 機能(プレビュー）

37. データの分離
顧客データはそれぞれ論理的に分離
ネットワーク（移動）データ
保護
SSTPベースのPoint-to-Site VPN
IPsecベースのsite-to-site VPN
TLS 1.2ベースの HTTPS
データの冗長性
各リージョン内で3重のデータ複製
さらにリージョン間複製で6重化
保存データの保護
Azure Storage Service Encryption (SSE)
Azure Disk Encryption (BitLocker/DM-
Crypt)
Client-side encryption
Azure Key Vault
SQLサーバー & SQL DB
SQL TDE (Transparent Data Encryption)
SQL CLE (Cell Level Encryption)
SQL ファイアウォール
データ破壊(漏えい防止）
データ消去時やAzureの利用をやめる場合
NIST 800-88 準拠

38. マルチテナント環境でのアクセスコントロール
Azure Active Directory
(AAD) 企業認証とクラウド内
のアクセス管理を提供
企業クラウド
ディレクトリ
セキュリティレポートにより、
潜在的な脅威を識別するのを
助けるアクセスパターンを監
視する
アクセス監視とロギング
強い認証によってユーザログ
インに対するさらなるセキュ
リティレイヤを追加.
多要素認証 (MFA)
複数のアプリケーションやサービスにまたが
るシングルサインオンのオプション
シングルサインオン（SSO）
職務に必要な範囲のアクセス権だけをユー
ザーに付与
ロールベースのアクセス制御 (RBAC)

39. ハイブリッドクラウドパターン

42. https://technet.microsoft.com/library/dn440717.aspx

43. Security Center と他のマイクロソフトの
セキュリティ製品との違い
DATA ENDPOINTS
(Devices)
IDENTITYCLOUD &
DATACENTER
APPLICATIONS
(SaaS)
Rights Management
Services
Information Protection
Intune
Windows Defender &
Advanced Threat
Protection
Azure AD Identity
Protection
Advanced Threat
Analytics
Azure Security Center
OMS Log Analytics
Security
Cloud App Security
Advanced Threat
Protection