Azure 上の Linux Server の守り方 - Azure の Linux Server 向けのセキュリティ機能まとめ

:::note
本記事は2020年に公開したものですが、一部内容を2024年1月の情報を基に更新しています。
:::

# 本記事について

本記事では、具体的な機能にフォーカスして、**Azure のファーストパーティのソリューションで、Linux Server に対してどのようなセキュリティを実装できるか**をご紹介していきます。

また[姉妹編の Windows Server 版](https://qiita.com/YoshiakiOi/items/fb75f27043dddcb2724f)はこちらになります。

https://qiita.com/YoshiakiOi/items/fb75f27043dddcb2724f

# CSPM (Cloud Security Posture Management) - Defender CSPM 

IaaS・PaaS に限らず、クラウドのセキュリティで最重要課題のひとつが構成ミスの防止です。セキュリティ構成のリスクやコンプライアンス違反を可視化し、早期に発見するためのツールが、[**CSPM (Cloud Security Posture Management)**](https://azure.microsoft.com/ja-jp/resources/videos/azure-friday-cloud-security-posture-management-cspm-with-azure-security-center/) です。

Azure では、ファーストパーティ CSPM として、[**Microsoft Defender for Cloud (Defender CSPM)**](https://docs.microsoft.com/ja-jp/azure/security-center/security-center-introduction) があるので、プラットフォーム側の設定について Defender for Cloud でセキュリティ監視を徹底することが重要です。

# アンチマルウェア & EDR (Endpoint Detection and Response) - Defender for Servers & Defender for Endpoint

Microsoft のファーストパーティの Linux 向け**アンチマルウェア**と [**EDR (Endpoint Detection and Response)**](https://www.microsoft.com/ja-jp/microsoft-365/windows/microsoft-defender-atp) は、どちらも [**Microsoft Defender for Endpoint**](https://docs.microsoft.com/ja-jp/microsoft-365/security/defender-endpoint/microsoft-defender-endpoint-linux?view=o365-worldwide) から提供されます。昨今、サーバーにもアンチマルウェアだけでなく、EDR を導入するケースが増えてきていますが、 Azure では、どちらもファーストパーティ製品でカバーすることができます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/e1ebb38e-caa7-394a-8d15-0b90e161fe9b.png)

オンボードについては、Microsoft Defender for Servers の利用者は、[自動的にオンボード](https://docs.microsoft.com/en-us/azure/security-center/security-center-wdatp?tabs=linux#enable-the-microsoft-defender-for-endpoint-integration)することができます。その際、アンチウイルスは明示的にユーザー側で有効化する必要がある点が注意です。その方法については[こちらの記事](https://qiita.com/YoshiakiOi/items/ce4749c79a0d84c273a0)も合わせてご覧ください。

## MITRE Engenuity ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) Evaluations

[**MITRE Engenuity ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) Evaluations**](https://www.microsoft.com/security/blog/2021/04/21/mitre-engenuity-attck-evaluation-proves-microsoft-defender-for-endpoint-stops-advanced-attacks-across-platforms/) でも、**Defender for Endpoint の Linux版の検知能力の高さ**も示されています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/dccc0f62-1f40-cc68-19f2-54e8bc77bd79.png)

# サーバーの脆弱性評価 - Defender for Servers & Defender Vulnarability Management

**Defender for Servers** で利用可能になる、[**Defender Vulnarability Management**](https://learn.microsoft.com/ja-jp/microsoft-365/security/defender-vulnerability-management/defender-vulnerability-management?view=o365-worldwide) では、Linux Server の構成やサーバー上のソフトウェア・アプリケーションの脆弱性評価を行い、リアルタイムにその情報を取得することもできます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/8efdc489-5e39-0a23-8195-1ded1a08fb0d.png)

# VM からの不正な通信の検知 - Defender for Servers

Microsoft Defender for Servers では、VM からの通信をモニタリングし、脅威インテリジェンスと紐づけて分析し、[悪意ある通信を検知](https://docs.microsoft.com/ja-jp/azure/security-center/threat-protection#network-layer)します。

リストは[こちら](https://docs.microsoft.com/ja-jp/azure/security-center/alerts-reference#alerts-azurenetlayer)にあります。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/89a4ba6b-16bd-b249-7b57-8b91b3688bb8.png)

# アダプティブネットワーク強化 - Defender for Servers

[アダプティブネットワーク強化機能](https://docs.microsoft.com/ja-jp/azure/security-center/security-center-adaptive-network-hardening)では、特定の VM の NSG について、よりベターなルールを機械学習による分析の結果として提示してくれます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/aa41db83-cb9b-ebf5-acd2-ce40df56e242.png)

# FIM (ファイルの完全性の監視) - Defender for Servers

昨今、クラウドサーバーのセキュリティで重視されるファイルの改ざんの検知も、Defender for Servers の中で、[FIM機能](https://docs.microsoft.com/ja-jp/azure/security-center/security-center-file-integrity-monitoring)として提供されます。特定のファイルの改ざんを、ハッシュを用いて監視してくれます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/fb4af1dc-fc4e-8b8e-4c8a-a25fb26d3f85.png)

# セキュリティログの収集と分析 - Azure Log Analytics & Microsoft Sentinel

セキュリティログの収集と分析にもファーストパーティの機能が利用できます。

## セキュリティログの収集

Azure では、[**Syslog は Azure Log Analytics で収集が可能**](https://docs.microsoft.com/ja-jp/azure/azure-monitor/agents/data-sources-syslog)です。[**Azure Monitor Agent**](https://learn.microsoft.com/ja-jp/azure/azure-monitor/agents/agents-overview) を VM に配布し、[**データ収集ルール**](https://learn.microsoft.com/ja-jp/azure/azure-monitor/essentials/data-collection-rule-overview?tabs=portal)で取得するイベントログを決定します。

## セキュリティログの分析

**Microsoft Sentinel** では、クエリのルールベースで脅威検知ができるようになっています。多数のテンプレートがマイクロソフトから提供されています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/e19578fc-9052-f7c6-4660-ee625b6a0e91.png)

特に、Sentinel の[機械学習を活用した異常な SSH ログイン検知](異常な SSH ログイン検出)を利用したい場合には、auth と authpriv のファシリティの Syslog を収集する必要があります。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/f1d97413-c065-c2d2-e469-fd3194f2cf16.png)

また、[マイクロソフト社の GitHub のレポジトリ](https://github.com/Azure/Azure-Sentinel/tree/master/Detections/SecurityEvent)にも多数のクエリルールが置かれています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/229cda99-1d1e-ee7c-7efb-da13bd547e4e.png)

Sentinel は多数のログソースからの相関分析を得意にしており、ほかの製品と組み合わせた分析ができます。Microsoft Defender for Cloud や Microsoft Defender for Endpoint もログソースのひとつとして扱えます。Microsoft Defender for Endpoint の Advanced Hunting で検索可能な詳細なデバイスイベントログも Sentinel に送信してより高速・柔軟に分析可能です。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/8f738d1f-ecbf-1658-77cd-f7833b71b89e.png)

# 更新プログラムの管理 - Azure Update Manager

更新プログラムの適用状況の監視とスケジュール実行については、[**Azure Update Manager** ](https://learn.microsoft.com/ja-jp/azure/update-manager/overview?tabs=azure-vms) を利用することができます。

サーバーのセキュリティ運用で最重要な、セキュリティパッチの適用状況の可視化と、パッチ適用の自動化を行うことができます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/f45737d2-ccdf-d3de-2805-b8ad0d5e12f4.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/276225/b82912f5-9ebd-6dbe-8fc2-57429b287a31.png)

# まとめ

Azure では、IaaS のサーバーのセキュリティで必要な機能の多くがファーストパーティのソリューションで提供されています。IaaS のサーバーのセキュリティの重要性については、すでに多くのところで語られているところ[^1]ですが、うまくファーストパーティの機能を利用することで、多くが対応可能です。本記事がその実装の一助となれば幸いです。

＊本稿は、個人の見解に基づいた内容であり、所属する会社の公式見解ではありません。また、いかなる保証を与えるものでもありません。正式な情報は、各製品の販売元にご確認ください。

[^1]: たとえば、[「パブリック クラウドで公開されているホストと構成不備の探索」](https://www.paloaltonetworks.jp/company/in-the-news/2019/hunting-the-public-cloud-for-exposed-hosts-and-misconfigurations)、[「ハイブリッド・クラウドのセキュリティ対策をガートナーが解説、CWPPとは何か？」](https://www.sbbit.jp/article/cont1/35356) など