トピック2、ファブリカム社
オンプレミス環境
オンプレミスネットワークには、corp.fabrikam.comという名前の単一のActive Directoryドメインサービス（AD DS）ドメインが含まれています。
Azure環境
Fabrikamには以下のAzureリソースがあります。
* corp.fabnkam.com と同期する fabrikam.onmicrosoft.com という名前の Azure Active Directory (Azure AD) テナント
* Sub1という名前の単一のAzureサブスクリプション
* 米国東部AzureリージョンにあるVnetlという名前の仮想ネットワーク
* 西ヨーロッパAzureリージョンにあるVnet2という名前の仮想ネットワーク
* Azure Web Application Firewall (WAR が有効になっている FD1 という名前の Azure Front Door インスタンス
* Microsoft Sentinelワークスペース
* ClaimDetailsという名前のテーブルを含む、ClaimsDBという名前のAzure SQLデータベース
* アプリケーションサーバーとして構成されているものの、Microsoft Defender for Cloud にオンボーディングされていない仮想マシン 20 台
* テスト目的のみに使用される、TestRGという名前のリソースグループ
* 個人に割り当てられたセッションホストを含​​む Azure Virtual Desktop ホストプール
Sub1にある資源はすべて、米国東部地域か西ヨーロッパ地域のいずれかに存在します。
パートナー
Fabrikamは、アプリケーション開発をContoso, Ltd.という会社に委託しました。Contosoは以下のインフラストラクチャを備えています。
* contoso.onmicrosoft.com という名前の Azure AD テナント
* ContosoAWS1 という名前の Amazon Web Services (AWS) 実装。この実装には、Fabrikam のアプリケーションのテストワークロードをホストするために使用される AWS EC2 インスタンスが含まれています。
Contosoの開発者は、アプリケーションのテストや更新を行うためにFabrikamのリソースに接続します。開発者はfabrikam.onmicrosoft.com内の「Contoso Developers」という名前のセキュリティグループに追加され、Sub1で役割が割り当てられます。
ContosoDevelopersグループには、ClaimsDBデータベースのdb.ownerロールが割り当てられています。
コンプライアンスイベント
Fabrikamは、以下のコンプライアンス環境を導入しています。
* Defender for Cloudは、Sub1内のすべてのリソースがHIPAA HITRUST標準に準拠しているかどうかを評価するように構成されています。
* 現在、HIPAA HITRUST基準に準拠していないリソースは手動で修正されています。
* Qualysは、サーバーの標準的な脆弱性評価ツールとして使用されています。
問題提起
Defender for Cloud のセキュリティスコアによると、すべての仮想マシンで次の推奨事項が生成されています。マシンには脆弱性評価ソリューションを導入する必要があります。
すべての仮想マシンは、Defender for Cloudに準拠している必要があります。
ClaimAppの導入
Fabrikamは、ClaimsAppというインターネットアクセス可能なアプリケーションを実装する予定で、その仕様は以下のとおりです。
* ClaimsAppは、Vnet1およびVnet2に接続するAzure App Serviceインスタンスにデプロイされます。
* ユーザーは、https://claims.fabrikam.com の URL を使用して ClaimsApp に接続します。
* ClaimsAppはClaimsDB内のデータにアクセスします。
* ClaimsDBにはAzure仮想ネットワークからのみアクセス可能である必要があります。
* ClaimsApp のアプリ サービス権限は ClaimsDB に割り当てられている必要があります。
アプリケーション開発要件
Fabrikamは、アプリケーション開発に関して以下の要件を挙げています。
* Azure DevTest ラボは、開発者がテストを行うために使用されます。
* アプリケーションコードはすべてGitHub Enterpriseに保存する必要があります。
* アプリケーションのデプロイ管理にはAzure Pipelinesが使用されます。
* アプリケーションコードの変更はすべて、セキュリティ上の脆弱性がないかスキャンする必要があります。これには、平文で機密情報を含むアプリケーションコードや設定ファイルも含まれます。スキャンは、コードがリポジトリにプッシュされる時点で実施する必要があります。
セキュリティ要件
Fabrikamは、以下のセキュリティ要件を特定しています。
* インターネットに接続するアプリケーションは、北朝鮮からの接続を防止しなければならない。
* InfraSec という名前のグループのメンバーのみが、ネットワーク セキュリティ グループ (NSG) と Azure Firewall、VJM、および Sub1 の Front Door のインスタンスを構成できるようにする必要があります。
管理者は、仮想マシンのリモート管理を行うには、セキュアなホストに接続する必要があります。セキュアなホストは、カスタムオペレーティングシステムイメージからプロビジョニングされている必要があります。
AWSの要件
Fabrikamは、ContosoAWSVでホストされるデータに関して、以下のセキュリティ要件を特定しています。
* AWS EC2インスタンスがセキュリティスコアの推奨事項に準拠していない場合は、Fabrikamのセキュリティ管理者に通知してください。
* セキュリティ管理者がAzure環境から直接AWSサービスログを照会できることを確認してください。
Contoso開発者の要件
Fabrikamは、Contosoの開発者に対して以下の要件を提示しています。
* 毎月、ContosoDevelopersグループのメンバーシップを確認する必要があります。
* Contoso の開発者は、Sub1 のリソースにアクセスするために、既存の contoso.onmicrosoft.com の認証情報を使用する必要があります。
* コモロの開発者が、ClaimDetails テーブルの MedicalHistory という名前の列のデータを閲覧できないようにする必要があります。
コンプライアンス要件
Fabrikam社は、Sub1内の仮想マシンをHIPAA HITRUST規格に準拠させるために、自動的に修復処理を行いたいと考えています。TestRG内の仮想マシンは、この準拠性評価から除外する必要があります。