事例研究1 - ファブリカム社
概要
ファブリカム社は、ニューヨークに本社、パリに支店を持つ保険会社です。
既存の環境
オンプレミス環境
オンプレミスネットワークには、corp.fabrikam.comという名前の単一のActive Directoryドメインサービス（AD DS）ドメインが含まれています。
Azure環境
Fabrikamには以下のAzureリソースがあります。
- fabrikam.onmicrosoft.com という名前の Microsoft Entra テナントが corp.fabrikam.com と同期しています。
- Sub1 という名前の単一の Azure サブスクリプション
- 米国東部AzureリージョンにあるVnet1という名前の仮想ネットワーク
- 西ヨーロッパAzureリージョンにあるVnet2という名前の仮想ネットワーク
- Azure Web Application Firewall (WAF) が有効になっている、FD1 という名前の Azure Front Door インスタンス
- Microsoft Sentinelワークスペース
- ClaimDetails という名前のテーブルを含む、ClaimsDB という名前の Azure SQL データベース
- アプリケーションサーバーとして構成されているものの、Microsoft Defender for Cloud にオンボーディングされていない仮想マシンが 20 台
- テスト目的のみに使用される、TestRGという名前のリソースグループ
- 個人に割り当てられたセッションホストを含む Azure Virtual Desktop ホストプール
- Sub1にあるすべての資源は、米国東部地域か西ヨーロッパ地域のいずれかに存在します。
パートナー
Fabrikamは、アプリケーション開発をContoso, Ltd.という会社に委託しました。Contosoは以下のインフラストラクチャを備えています。
- contoso.onmicrosoft.com という名前の Microsoft Entra
- ContosoAWS1 という名前の Amazon Web Services (AWS) 実装には、Fabrikam のアプリケーションのテストワークロードをホストするために使用される AWS EC2 インスタンスが含まれています。Contoso の開発者は、Fabrikam のリソースに接続してアプリケーションをテストまたは更新します。
開発者は、fabrikam.onmicrosoft.com 内の Contoso Developers という名前のセキュリティ グループに追加され、Sub1 で役割が割り当てられます。ContosoDevelopers グループには、ClaimsDB データベースの db.owner 役割が割り当てられます。
コンプライアンスイベント
Fabrikamは、以下のコンプライアンス環境を導入しています。
- Defender for Cloudは、Sub1内のすべてのリソースがHIPAA HITRUST標準に準拠しているかどうかを評価するように構成されています。
現在、HIPAA HITRUST基準に準拠していないリソースは手動で修正されています。
Qualysは、サーバーの脆弱性評価ツールとして標準的に使用されています。
問題提起
Defender for Cloudのセキュリティスコアによると、すべての仮想マシンで以下の推奨事項が示されています。仮想マシンには脆弱性評価ソリューションを導入する必要があります。すべての仮想マシンはDefender for Cloudに準拠している必要があります。
ClaimAppの導入
Fabrikamは、ClaimsAppというインターネットアクセス可能なアプリケーションを実装する予定で、その仕様は以下のとおりです。
- ClaimsAppは、Vnet1およびVnet2に接続するAzure App Serviceインスタンスにデプロイされます。
- ユーザーは、https://claims.fabrikam.com の URL を使用して ClaimsApp に接続します。
- ClaimsAppはClaimsDB内のデータにアクセスします。
- ClaimsDBにはAzure仮想ネットワークからのみアクセス可能である必要があります。
- ClaimsApp のアプリ サービス権限を ClaimsDB に割り当てる必要があります。
アプリケーション開発要件
Fabrikamは、アプリケーション開発に関して以下の要件を挙げています。
- Azure DevTest ラボは、開発者がテストを行うために使用されます。
- アプリケーションコードはすべてGitHub Enterpriseに保存する必要があります。
- アプリケーションのデプロイ管理には、Azure Pipelines が使用されます。
アプリケーションコードの変更はすべて、セキュリティ上の脆弱性がないかスキャンする必要があります。これには、平文で機密情報を含むアプリケーションコードや設定ファイルも含まれます。スキャンは、コードがリポジトリにプッシュされる時点で実施する必要があります。
セキュリティ要件
Fabrikamは、以下のセキュリティ要件を特定しています。
インターネットに接続するアプリケーションは、北朝鮮からの接続を防止しなければならない。
- InfraSec という名前のグループのメンバーのみが、ネットワーク セキュリティ グループ (NSG) と Azure Firewall、VJM、および Sub1 の Front Door のインスタンスを構成できるようにする必要があります。
管理者は、仮想マシンのリモート管理を行うには、セキュアなホストに接続する必要があります。セキュアなホストは、カスタムオペレーティングシステムイメージからプロビジョニングされている必要があります。
AWSの要件
Fabrikamは、ContosoAWSVでホストされるデータに関して、以下のセキュリティ要件を特定しています。
- AWS EC2インスタンスがセキュリティスコアの推奨事項に準拠していない場合は、Fabrikamのセキュリティ管理者に通知してください。
セキュリティ管理者がAzure環境から直接AWSサービスログを照会できることを確認してください。
Contoso開発者の要件
Fabrikamは、Contosoの開発者に対して以下の要件を提示しています。
- 毎月、ContosoDevelopersグループのメンバーシップを確認する必要があります。
- Contoso の開発者は、Sub1 のリソースにアクセスするために、既存の contoso.onmicrosoft.com の認証情報を使用する必要があります。
- コモロの開発者が、ClaimDetailsテーブルのMedicalHistoryという名前の列のデータを閲覧できないようにする必要があります。
コンプライアンス要件
Fabrikam社は、Sub1内の仮想マシンをHIPAA HITRUST規格に準拠させるために、自動的に修復処理を行いたいと考えています。TestRG内の仮想マシンは、この準拠性評価から除外する必要があります。
ホットスポットに関する質問
あなたはClaimsAppのセキュリティを評価しています。
以下の各記述について、正しい場合は「はい」を選択してください。そうでない場合は「いいえ」を選択してください。
注：正解ごとに1ポイントが加算されます。
概要
ファブリカム社は、ニューヨークに本社、パリに支店を持つ保険会社です。
既存の環境
オンプレミス環境
オンプレミスネットワークには、corp.fabrikam.comという名前の単一のActive Directoryドメインサービス（AD DS）ドメインが含まれています。
Azure環境
Fabrikamには以下のAzureリソースがあります。
- fabrikam.onmicrosoft.com という名前の Microsoft Entra テナントが corp.fabrikam.com と同期しています。
- Sub1 という名前の単一の Azure サブスクリプション
- 米国東部AzureリージョンにあるVnet1という名前の仮想ネットワーク
- 西ヨーロッパAzureリージョンにあるVnet2という名前の仮想ネットワーク
- Azure Web Application Firewall (WAF) が有効になっている、FD1 という名前の Azure Front Door インスタンス
- Microsoft Sentinelワークスペース
- ClaimDetails という名前のテーブルを含む、ClaimsDB という名前の Azure SQL データベース
- アプリケーションサーバーとして構成されているものの、Microsoft Defender for Cloud にオンボーディングされていない仮想マシンが 20 台
- テスト目的のみに使用される、TestRGという名前のリソースグループ
- 個人に割り当てられたセッションホストを含む Azure Virtual Desktop ホストプール
- Sub1にあるすべての資源は、米国東部地域か西ヨーロッパ地域のいずれかに存在します。
パートナー
Fabrikamは、アプリケーション開発をContoso, Ltd.という会社に委託しました。Contosoは以下のインフラストラクチャを備えています。
- contoso.onmicrosoft.com という名前の Microsoft Entra
- ContosoAWS1 という名前の Amazon Web Services (AWS) 実装には、Fabrikam のアプリケーションのテストワークロードをホストするために使用される AWS EC2 インスタンスが含まれています。Contoso の開発者は、Fabrikam のリソースに接続してアプリケーションをテストまたは更新します。
開発者は、fabrikam.onmicrosoft.com 内の Contoso Developers という名前のセキュリティ グループに追加され、Sub1 で役割が割り当てられます。ContosoDevelopers グループには、ClaimsDB データベースの db.owner 役割が割り当てられます。
コンプライアンスイベント
Fabrikamは、以下のコンプライアンス環境を導入しています。
- Defender for Cloudは、Sub1内のすべてのリソースがHIPAA HITRUST標準に準拠しているかどうかを評価するように構成されています。
現在、HIPAA HITRUST基準に準拠していないリソースは手動で修正されています。
Qualysは、サーバーの脆弱性評価ツールとして標準的に使用されています。
問題提起
Defender for Cloudのセキュリティスコアによると、すべての仮想マシンで以下の推奨事項が示されています。仮想マシンには脆弱性評価ソリューションを導入する必要があります。すべての仮想マシンはDefender for Cloudに準拠している必要があります。
ClaimAppの導入
Fabrikamは、ClaimsAppというインターネットアクセス可能なアプリケーションを実装する予定で、その仕様は以下のとおりです。
- ClaimsAppは、Vnet1およびVnet2に接続するAzure App Serviceインスタンスにデプロイされます。
- ユーザーは、https://claims.fabrikam.com の URL を使用して ClaimsApp に接続します。
- ClaimsAppはClaimsDB内のデータにアクセスします。
- ClaimsDBにはAzure仮想ネットワークからのみアクセス可能である必要があります。
- ClaimsApp のアプリ サービス権限を ClaimsDB に割り当てる必要があります。
アプリケーション開発要件
Fabrikamは、アプリケーション開発に関して以下の要件を挙げています。
- Azure DevTest ラボは、開発者がテストを行うために使用されます。
- アプリケーションコードはすべてGitHub Enterpriseに保存する必要があります。
- アプリケーションのデプロイ管理には、Azure Pipelines が使用されます。
アプリケーションコードの変更はすべて、セキュリティ上の脆弱性がないかスキャンする必要があります。これには、平文で機密情報を含むアプリケーションコードや設定ファイルも含まれます。スキャンは、コードがリポジトリにプッシュされる時点で実施する必要があります。
セキュリティ要件
Fabrikamは、以下のセキュリティ要件を特定しています。
インターネットに接続するアプリケーションは、北朝鮮からの接続を防止しなければならない。
- InfraSec という名前のグループのメンバーのみが、ネットワーク セキュリティ グループ (NSG) と Azure Firewall、VJM、および Sub1 の Front Door のインスタンスを構成できるようにする必要があります。
管理者は、仮想マシンのリモート管理を行うには、セキュアなホストに接続する必要があります。セキュアなホストは、カスタムオペレーティングシステムイメージからプロビジョニングされている必要があります。
AWSの要件
Fabrikamは、ContosoAWSVでホストされるデータに関して、以下のセキュリティ要件を特定しています。
- AWS EC2インスタンスがセキュリティスコアの推奨事項に準拠していない場合は、Fabrikamのセキュリティ管理者に通知してください。
セキュリティ管理者がAzure環境から直接AWSサービスログを照会できることを確認してください。
Contoso開発者の要件
Fabrikamは、Contosoの開発者に対して以下の要件を提示しています。
- 毎月、ContosoDevelopersグループのメンバーシップを確認する必要があります。
- Contoso の開発者は、Sub1 のリソースにアクセスするために、既存の contoso.onmicrosoft.com の認証情報を使用する必要があります。
- コモロの開発者が、ClaimDetailsテーブルのMedicalHistoryという名前の列のデータを閲覧できないようにする必要があります。
コンプライアンス要件
Fabrikam社は、Sub1内の仮想マシンをHIPAA HITRUST規格に準拠させるために、自動的に修復処理を行いたいと考えています。TestRG内の仮想マシンは、この準拠性評価から除外する必要があります。
ホットスポットに関する質問
あなたはClaimsAppのセキュリティを評価しています。
以下の各記述について、正しい場合は「はい」を選択してください。そうでない場合は「いいえ」を選択してください。
注：正解ごとに1ポイントが加算されます。
