Azure AD & Windows Security等メモ

# はじめに
　Azure AD Webinar ( [https://aka.ms/AzureAdWebiner](https://aka.ms/AzureAdWebiner)  ) Seazon4-1（8項目）+コンプラを軸に[de:code2020のセキュリティセッション](https://bit.ly/decode20-security)でクローズアップされたキーワード等を独自にマッピングしてみました。

## [2021/09/06更新] [Azure AD Webinar](https://aka.ms/AzureAdWebiner) Seasonに関するメモ
 - 過去分は資料（PPT等）はGitHubから取得できます。
 - Season 1～5は全て、原則録画が[YouTubeで視聴](https://aka.ms/AADRecording)でできます。
 - 以下、タイトル、カッコは私見のキーワード、重複するセッションの除外等のメモです。

### Season 1 (2018年 5月 - 7月実施)
 - #1 適切な Azure AD 認証方式の選択の決め手 (パスワードハッシュ同期一択)
 - #5 Azure AD セルフサービス機能を用いてコスト削減
 - _#2～#4は、一部動画再生がNGだが、Season 2の#3～#5と順番は違えど同テーマなのでそちらを参照_

### Season 2 (2018年 8月 - 10月実施)
 - #1 Azure Active Directory 利用開始への第一歩
 - #2 IP ベースのアクセス制御から脱却してよりセキュアな環境を構築しよう
 - #3 Office365 および Azure AD 管理者が必ずやっておくべきセキュリティ対策
 - #4 Azure AD の SaaS アプリケーション認証への活用
 - #5 Azure AD で実現するスムーズな外部パートナー協業

### Season 3 (2019年 3月 - 6月実施)
 - #1 モダンアクセスコントロール実現に向けた戦略策定方法
 - #2 詳説！Azure AD 条件付きアクセス - 動作の仕組みを理解する編
 - #3 詳説！Azure AD 条件付きアクセス - 設計のやり方編
 - #4 Azure AD の新しいデバイス管理パターンを理解しよう
 - #5 Intuneによるモバイルデバイスとアプリのセキュアな管理とは
 - #6 Hybrid Azure AD Join 動作の仕組みを徹底解説

### Season 4 (2020年 7月 - 9月実施)
 - #1 Azure AD アーキテクチャ概要 - Azure AD を設計するためのガイドライン (8カテゴリー項目で総括)
 - #2 パスワードレス（前編) - パスワードレスの価値と仕組みを語れるようになるセッション
 - #3 パスワードレス（後編) - パスワードレス導入方法論
 - #4 オンプレミス アプリケーションのモダン化 (Secure Hybrid Access)
 - #5 COVID-19 でリモート対応に成功した企業と失敗した企業の違いとは？(小杉さん @ShinichiroKosugi 登場回)
 - #6 マイクロソフトサポート部門が送る 「よくある Azure AD のお問い合わせとその未然防止策」

## (Season)4-1（8項目）+コンプラとは

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/419691/3268600b-154b-2617-8767-3322af8269f0.png)

代表的なキーワードを抜き出したの全体の概要図がこちらです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/419691/5c0c5d1c-f00e-74fd-7db3-058226aa76a0.png)


## テナント構成

- オンプレミス AD のユーザーと Azure AD のユーザーを必ず同期する
- Azure AD Connect
- Cloud Provisioning
- パスワードハッシュ同期



1. [1-1 適切な Azure AD 認証方式の選択の決め手](https://aka.ms/AzureAdWebiner)
2. [Azure AD Connect 同期でパスワード ハッシュ同期を実装する | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/hybrid/how-to-connect-password-hash-synchronization#detailed-description-of-how-password-hash-synchronization-works)

## デバイス構成

- Intune（モダン・マネージメント, MDM,MAM/アプリ保護ポリシー）
- 信頼されたデバイスのみ利用許可 (社給 PC の判定)
- パスワード レス認証
    - Windows Hello for Business
    - FIDO2
- 社給PC → Azure AD Join / Hybrid Azure AD Join
- 社給モバイル, BYOD → Azure AD Register
- Azure AD Joinはゼロトラストでも重要なポイント
- Microsoft Threat Protection (スィート名)
- Office 365 ATP


1. [Azure AD でデバイスを管理するメリット](https://docs.microsoft.com/ja-jp/azure/active-directory/devices/plan-device-deployment#benefits)
2. [3-4 Azure AD の新しいデバイス管理パターンを理解しよう](https://aka.ms/AzureAdWebiner)
3. 3-5 Intune によるモバイルデバイスとアプリのセキュアな管理とは
4. 3-6 Hybrid Azure AD Join 動作の仕組みを徹底解説
5. [Intune を使って USB デバイスおよびその他のリムーバブルメディアを制御する方法 (Windows 10) - Windows security | Microsoft Docs](https://docs.microsoft.com/ja-jp/windows/security/threat-protection/device-control/control-usb-devices-using-intune)
6. [Microsoft 365 E5 | Microsoft 365 Enterprise](https://www.microsoft.com/ja-jp/microsoft-365/enterprise/e5?activetab=pivot%3aoverviewtab)
7. [セキュリティ & コンプライアンスのための Microsoft 365 ライセンスガイダンス | Microsoft Docs](https://docs.microsoft.com/ja-jp/office365/servicedescriptions/microsoft-365-service-descriptions/microsoft-365-tenantlevel-services-licensing-guidance/microsoft-365-security-compliance-licensing-guidance)
8. [エンドポイント マネージャー](https://endpoint.microsoft.com/#home)
9. [Security operations dashboard - Microsoft Defender ATP](https://securitycenter.windows.com/dashboard)
10. [Azure AD 参加済みデバイス上でオンプレミス リソースへの SSO が機能するしくみ | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/devices/azuread-join-sso)
11. [[TS18] PR18 | VPN・証明書はもう不要? Azure ADによるデバイス認証 - YouTube](https://www.youtube.com/watch?v=pfExM8YB7c0)
12. [Azure AD デバイス ID のドキュメント | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/devices/)

### Windows 10関連

- [WDATP/MDATP] (http://aka.ms/wdatp)
- WDAG（Windows Defender Application Guard）
- WIP (Windows Infomation Protection)

1. [Microsoft Intune での Windows 10 デバイス向けの保護設定 - Azure | Microsoft Docs](https://docs.microsoft.com/ja-jp/mem/intune/protect/endpoint-protection-windows-10)
2. [Microsoft Defender Application Guard (Windows 10) - Windows security | Microsoft Docs](https://docs.microsoft.com/ja-jp/windows/security/threat-protection/microsoft-defender-application-guard/md-app-guard-overview)
3. [Application Guard ポリシーの管理 - Configuration Manager | Microsoft Docs](https://docs.microsoft.com/ja-jp/mem/configmgr/protect/deploy-use/create-deploy-application-guard-policy)
4. [Windows Defender Application Guardで実現するセキュアなブラウジング環境――Windows 10の新しいセキュリティ機能（その2） (1/2)：企業ユーザーに贈るWindows 10への乗り換え案内（15） - ＠IT](https://www.atmarkit.co.jp/ait/articles/1801/16/news019.html)
5. [Microsoft Defender Application Guard のグループポリシー設定を構成する (Windows 10) - Windows security | Microsoft Docs](https://docs.microsoft.com/ja-jp/windows/security/threat-protection/microsoft-defender-application-guard/configure-md-app-guard)
6. [新登場！ Windows Defender Application Guard 解説 ～ Microsoft Edge がセキュア ブラウザーに！？～](https://aka.ms/dep002)
7. [Windows Information Protection を正しく知る　～設定編～：Microsoft 365で実現するクラウド時代のセキュリティ（5） - ＠IT](https://www.atmarkit.co.jp/ait/articles/1907/24/news011.html)
8. [IT エンジニアのための 流し読み Windows 10 - Windows 10 Enterprise LTSC 注意事項まとめ](https://www.slideshare.net/takuyaot/it-windows-10-windows-10-enterprise-ltsc?next_slideshow=1)
9. [Microsoft Intune - Azure でエンドポイント保護設定を構成する | Microsoft Docs](https://docs.microsoft.com/ja-jp/mem/intune/protect/endpoint-protection-configure)
10. [IT エンジニアのための 流し読み Microsoft 365 - 入門！Microsoft Defender ATP](https://www.slideshare.net/takuyaot/it-microsoft-365-microsoft-defender?fbclid=IwAR0LCA75o9lyB-tmAtfoSyZqh3t4zHGyj2OC6N3IAAciilg476G3kO3h27U)

## ACL / アクセスコントロール

- アクセス コントロール (ユーザーがアプリケーションにアクセスをできる条件) を定義・実装
- デバイスベースのアクセス制御 (**ゼロトラスト**) 
- セキュリティ モデルを 「社内は安全」 から 「すべてがインターネット上にある」 に移行
- 条件付きアクセス（Conditional Access）を設計
- 徐々に「社内」への依存を無くす
- アクセスコントロールには**3つのレイヤー**
    1. テナントへのアクセス（ユーザー認証） →　**ガバナンス**の項目
    2. リソース（アプリケーション）へのアクセス → **アプリ管理**の項目
    3. 条件付きアクセス
- ID・デバイス・アプリケーションをAzure ADに集約

1. [2-1 IP ベースのアクセス制御から脱却してよりセキュアな環境を構築しよう](https://aka.ms/AzureAdWebiner)
2. 2-2 詳説！Azure AD 条件付きアクセス - 動作の仕組みを理解する編
3. 2-3 詳説！Azure AD 条件付きアクセス - 設計のやり方編
4. [S07 | Protect your identity! 資格情報への攻撃手法と守り方 | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=S07)
5. [S08 | ゼロトラスト Deep Dive 間違いだらけのリモートワーク セキュリティ | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=S08)

## アプリ管理 / アプリケーション管理

- エンタープライズ・アプリケーション
- アプリケーションのガバナンス
- セキュリティ↑ ・ ユーザービリティ↑ ・ コスト ↓
- シングルサインオン
- プロセス化、オーナーの明確化
    1. [IT] 	 Azure AD へのアプリの登録
    2. [アプリ] 	 シングルサインオンの有効化
    3. [アプリ] 	 ユーザー プロビジョニングの有効化
    4. [IT] 	 条件付きアクセスにアプリケーションのコントロールを追加
    5. [IT/アプリ] 同意の付与
    6. [アプリ]	 メンテナンス [証明書の更新 ・ アップグレード]
    7. [アプリ] 	 アクセス レビュー
    8. [？] 	 アクセスの監査
    9. [IT/アプリ]	 アプリケーションの削除
- SAML/OIDC認証
- Secure Hybrid Access

1. [S09 | Apps on Azure AD - アプリケーション連携 WHY と HOW | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=S09)
2. [2-4 Azure AD の SaaS アプリケーション認証への活用]((https://aka.ms/AzureAdWebiner))
3. 4-4 オンプレミス アプリケーションのモダン化 (Secure Hybrid Access)
4. [S05 | GitHub と Azure Security Center による、アプリケーションのための Azure セキュリティ | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=S05)
5. [S09 | Apps on Azure AD - アプリケーション連携 WHY と HOW | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=S09)


## 外部ユーザー協業

- 外部ユーザーの条件付きアクセス → **ACL**の項目
- 必要なくなったらはく奪 → **ガバナンス**の項目
- Azure AD B2B

1. [2-5 Azure AD で実現するスムーズな外部パートナー協業](https://aka.ms/AzureAdWebiner)
2. [外部コラボレーションの設定について](https://docs.microsoft.com/ja-jp/azure/active-directory/external-identities/delegate-invitations)
3. [Microsoft Teams でゲスト アクセスをきちんと設定する場合の設定項目を調べてみた | idea.toString();](https://idea.tostring.jp/?p=5061)


## セキュリティ強化

- Security Posture
    - IDベースのゼロトラスト
        - デジタルガバナンス
        - サイバーハイジーン
    - Modern SOC
        - 脅威インテリジェンス
        - 対応の自動化
- DevSecOps / Secure DevOps
- Microsoft Security Score
    - Microsoft 365 Security Score
    - Azure Security Center Security Score
- パスワードの脅威
- パスワードレス
    1. Windows Hello for Business
    2. Microsoft Authenticator
    3. FIDO2
- ID保護
    1. MFA
    2. PIM (Privileged Identity Management)
    3. Identity Protection (漏洩した資格情報のレポート
    4. リスク ベース アクセス コントロール
    5. パスワード保護
    6. セルフ サービス パスワード　リセット

- 管理者を優先的に保護

1. [K14 | [K01 基調講演の抜粋版] Cyber Security | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=K14)
2.  [3-2 パスワードレス（第 1 回) パスワードがインフラ最大の脆弱性となる時代](https://aka.ms/AzureAdWebiner)
3.   3-3 パスワードレス（第 2 回) Azure AD が提供するトップレベルのセキュリティ機能
4.   [S03 | もうセキュリティはやりたくない!! 第 5 弾 ~Microsoft の xDR で攻撃者を追え！！~​ | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=S03)
5.   [ホーム - Microsoft 365 セキュリティ センター](https://security.microsoft.com/)


## ガバナンス

- 権限の付与・はく奪の効率化（自動化）
- Information Protection & Governance

1. 動的グループの詳細と設定方法 [動的グループを作成または編集し、状態を取得する - Azure AD | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/users-groups-roles/groups-create-rule)
2. グループに対してライセンスを付与する方法 [グループベースのライセンスとは - Azure Active Directory | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/fundamentals/active-directory-licensing-whatis-azure-portal)
3. グループに対してアプリケーションを割り当てる方法 [Azure AD でエンタープライズ アプリケーションにユーザーまたはグループを割り当てる | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/manage-apps/assign-user-or-group-access-portal)
4. Entitlement Management の詳細と設定方法 [エンタイトルメント管理とは - Azure AD | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/governance/entitlement-management-overview)
5. Access Review の詳細と設定方法 [アクセス レビューとは - Azure Active Directory | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/governance/access-reviews-overview)




## コンプライアンス

- テレワーク
- コロナ禍 COVID-19
- Communication Compliance
- パワハラやセクハラ、モラハラ等の行動規定違反 
- Insider Risk Management
- AIP (Azure Informatin Protection) 情報のラベリング
- MCAS
- Endpoint DLP

1. [S01 | Microsoft 365 E5 を活用したセキュア リモート ワーク環境の構築 | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=S01)
2. [S02 | パワハラやセクハラをはじめとした行動規定違反を Communication Compliance で対策！ ~自社向けカスタマイズ辞書の組み方~​ | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=S02)
3. [S06 | クラウド時代のデータ保護とリスク管理を支援する Microsoft 365 コンプライアンス ソリューションのご紹介 | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=S06)
4. [Microsoft 365 セキュア リモート ワーク相談窓口 - Microsoft for business](https://www.microsoft.com/ja-jp/biz/security/m365-remote-work.aspx)
5. [ホーム - Microsoft 365 コンプライアンス センター](https://compliance.microsoft.com/)
6. [ダッシュボード - Cloud App Security - Microsoft Cloud App Security](https://portal.cloudappsecurity.com/)
7. [今日のリモートワーク環境におけるデータ損失防止とリスクの軽減 - News Center Japan](http://msft.it/6187To50H)
8. [Get started with communication compliance - Microsoft 365 Compliance | Microsoft Docs](https://docs.microsoft.com/en-us/microsoft-365/compliance/communication-compliance-configure?fbclid=IwAR2GOzDshjJa4AXg6sJMnHKhEkgTj58HMYrbXGtxztV_Rb2QISB8zBMo1Gk&view=o365-worldwide)

## 監査

- 監査ログ
- eDesicovery and Audit
- SIEM
- Azure Sentinel


1. 監査ログについて [Azure Active Directory ポータルの監査アクティビティ レポート | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/reports-monitoring/concept-audit-logs)
2. サインイン ログについて [Azure Active Directory ポータルのサインイン アクティビティ レポート | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/reports-monitoring/concept-sign-ins)
3. 「リスク」 関連のログについて [Azure Active Directory Identity Protection とは | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/identity-protection/overview-identity-protection)
4. Azure AD Connect Health (Sync) について [同期での Azure AD Connect Health の使用 | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/hybrid/how-to-connect-health-sync)
6. PIM のアラート機能について [PIM の Azure AD ロールに対するセキュリティ アラート - Azure AD | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/privileged-identity-management/pim-how-to-configure-security-alerts?tabs=new)
7. Identity Management のアラート機能について [Azure Active Directory Identity Protection の通知 | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/identity-protection/howto-identity-protection-configure-notifications)
8. 各種ログの保有期間について [Azure AD にレポート データが保存される期間 | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/reports-monitoring/reference-reports-data-retention#how-long-does-azure-ad-store-the-data)
9. Log Anaytics との連携 [Azure Active Directory のログを Azure Monitor ログにストリーミングする | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/active-directory/reports-monitoring/howto-integrate-activity-logs-with-log-analytics)
10. SIEM との連携 [Azure Sentinel に Azure Active Directory のデータを接続する | Microsoft Docs](https://docs.microsoft.com/ja-jp/azure/sentinel/connect-azure-active-directory)
11. [S04 | Azure Sentinel - クラウドネイティブ SIEM＆SOAR の活用 | de:code (decode) 2020](https://www.microsoft.com/ja-jp/events/decode/2020session/detail.aspx?sid=S04)

## 有用なサイト等

1. Azure ADやEMSの最新ブログ [Azure Active Directory Identity Blog - Microsoft Tech Community](https://aka.ms/EMSBlog)

# おわりに
 各観点を分けながら考えることで、考え方がだいぶ整理してわかるようにようなってきました。[de:code2020のセキュリティセッション](https://bit.ly/decode20-security)のYouTube動画、特にオススメです。