Microsoft Defender for Cloud入門｜セキュリティスコア・Defenderプラン選定・コンプライアンス管理をAzureで実装する実践ガイド

オンプレのデータセンターでセキュリティ管理をしていたころは、ファイアウォールのログを毎朝確認して、脆弱性スキャンのレポートを読んで、という作業が日課だった。それがAzureに移行したとたん、リソースが増えるたびに「このVMのセキュリティ設定、ちゃんとなってるか？」「インターネットに意図せず公開してないか？」という不安が膨らむ。

そこで力を発揮するのが Microsoft Defender for Cloud（旧称 Azure Security Center）だ。Azureのリソースを横断してセキュリティ状態を可視化し、問題を優先順位付きで提示してくれる。さらに有料の「Defenderプラン」を有効にすれば、脅威検知・自動応答まで対応できる。

この記事では、Defender for Cloudの全体像から、セキュリティスコアの読み方、Defenderプランの選定基準、コンプライアンス管理ダッシュボードの設計、AWS Security Hubとの比較まで、Azureを実運用するインフラエンジニア向けに体系的に解説する。

なぜ「Microsoft Defender for Cloud」なのか？オンプレとの違いと登場背景

オンプレ時代のセキュリティ管理は「境界防御」が前提だった。DMZを設けて、ファイアウォールで内外を分離して、内部は「安全」として扱う。管理対象のリソースは物理的に固定されているので、設定の棚卸しは年に1回の定期監査で間に合った。

Azureに移行すると状況が変わる。

・リソースが動的に増える: 開発者がVMをポチッと立てる、ストレージアカウントを量産する、APIを公開する——これが毎日起きる
・設定ミスが頻繁に起きる: ストレージアカウントの匿名アクセス、NSGの穴あきルール、MFAが未設定の管理者アカウント
・責任範囲が変わる: クラウドの責任共有モデルでは、OS・アプリ・データは利用者側の責任

こうした環境で「毎朝ログを確認する」では追いつかない。Defender for Cloudは、これらの問題を 継続的・自動的に 発見して優先順位をつけてくれるサービスだ。

Microsoft Defender for Cloudの変遷

Microsoftのセキュリティサービスの名称は変わりやすいので整理しておく。

2021年に名称が統一され、現在は「Microsoft Defender for Cloud」という1つのサービスの中に、無料のFoundational CSPMと有料のDefenderプランが共存する構造になっている。

Microsoft Defender for Cloudの全体像

Defender for Cloudは大きく3つの機能柱で構成される。

・CSPM（Cloud Security Posture Management）: Azureリソースの設定ミスや危険な構成を継続的に検査し、セキュリティスコアで可視化する
・CWP（Cloud Workload Protection）: 有料Defenderプランで提供。VM・SQL・コンテナ等への脅威検知・応答
・コンプライアンス管理: PCI DSS・ISO 27001・SOC 2等のフレームワークへの準拠状況をダッシュボードで管理

Foundational CSPMはすべてのAzureサブスクリプションに無料で有効化されている。Azureポータルを開いて「Microsoft Defender for Cloud」を検索すれば、今日からセキュリティスコアを確認できる。

有料のDefenderプランは、保護対象のリソース種類によって個別に有効化する方式を取る（後述）。

セキュリティスコアの読み方と改善手順

Defender for Cloudを開いてまず目に入るのが「セキュリティスコア」だ。0～100点のスコアで、Azureリソース全体のセキュリティ状態を1つの数字で表す。

1. スコアの仕組みを理解する

スコアは「推奨事項をどれだけ対処したか」で算出される。各推奨事項には「最大スコア（Max Score）」が設定されており、それを満たすとスコアが上がる仕組みだ。

たとえば：

スコアの計算式は「対処済みリソースのポイント合計 ÷ 全体のポイント合計 × 100」。全リソースで推奨事項を満たせば100点になる。

2. 推奨事項の優先度設定

推奨事項は数十～数百件になることもある。全部一度に対処しようとすると身動きが取れなくなる。実務ではこう絞り込む。

・最大スコアが高い（8点以上）かつ重要度「高」のものから着手する
・影響リソース数が多い推奨事項を優先する（1件対処で多くのVMが改善される）
・「クイックフィックス」マークが付いた推奨事項はポータル上のボタン1つで修正できる

ダッシュボードの「推奨事項」画面でフィルタリングすれば、重要度別・スコア影響度別で並べ替えられる。

3. Exempt（除外）設定の活用

推奨事項の中には「うちの環境では当てはまらない」ものもある。たとえば、インターネットに公開しない内部専用のStorageアカウントに「HTTPSのみ許可」以外の理由で設定が異なる場合など。

そういった場合は Exempt（除外） 設定を使う。適切な理由とともに除外設定することで、スコア計算から外れ、本当に重要な推奨事項に集中できる。

除外の種類は2つある。

・Mitigated（軽減済み）: 別のコントロールでリスクを低減しているため対象外とする
・Waiver（免除）: ビジネス上の理由で対応しない判断をしたもの

除外設定はAzure Policyとも連動するため、Azure Policyの理解があるとより細かい管理ができる。

Defenderプランの選び方（2026年時点の料金目安）

Defenderプランは保護対象リソースの種類ごとに個別有効化する。「全部入り」のプランはなく、必要なものだけを選択できる設計だ。

主なDefenderプランと料金概要（2026年10月時点）

料金は2026年10月時点の目安。Azureの料金は頻繁に改訂されるため、実際の導入前には必ず公式の料金ページで最新値を確認すること。

どのプランから始めるべきか

規模が大きくなくてもまず検討すべき順序はこうだ。

・まず無料のFoundational CSPMで現状把握: セキュリティスコアを確認し、設定ミスの全体像を掴む
・Defender for Servers Plan 2を本番VMから有効化: ファイル整合性監視と脆弱性評価は運用上の実務価値が高い
・Defender for SQL・Storageは個人情報・機密データを扱う環境に優先適用: コンプライアンス要件（個人情報保護法・PCI DSS）がある場合
・Defender for Containersはコンテナ本番環境に適用: AKSで本番ワークロードを動かしていれば必須に近い

コンプライアンス管理ダッシュボードの設計

Defender for Cloudのもう一つの強みが「コンプライアンスダッシュボード」だ。PCI DSS・ISO 27001・SOC 2など主要なセキュリティフレームワークへの準拠状況を、コントロール単位で確認できる。

1. 標準フレームワークの追加方法

デフォルトでは「Microsoft Cloud Security Benchmark（MCSB）」が有効化されている。ここにPCI DSSやISO 27001を追加する手順は次の通り。

# Azureポータルでの操作
# Defender for Cloud > 環境設定 > 対象サブスクリプション > セキュリティポリシー
# 「業界と規制標準」セクションから追加したいフレームワークをONにする

# Azure CLI でも確認可能（フレームワーク一覧）
az security regulatory-compliance-standards list   --subscription <サブスクリプションID>   --query "[].{Name:name, State:state}"   -o table

追加後は「コンプライアンス」タブに対象フレームワークが表示され、各コントロールの合否状況が確認できる。

2. カスタムポリシーの活用

標準フレームワークだけでは社内独自の要件をカバーできないことがある。Defender for CloudはAzure Policyと連携しているため、Azure Policyでカスタムポリシーを作成し、それをDefender for Cloudのコンプライアンスダッシュボードに組み込める。

たとえば「全リソースにCostCenterタグが必須」「本番環境のVMはD4sシリーズ以上のみ許可」といった社内ルールをポリシー化して、コンプライアンス状況に含められる。

3. 証拠のエクスポートと監査対応

PCI DSS認定審査やSOC 2監査では、「コントロールが正しく機能していた証拠」の提出を求められる。Defender for Cloudのコンプライアンスレポートはダウンロードでき（PDFまたはCSV）、審査員への提出資料として利用できる。

また「連続エクスポート」を設定することで、セキュリティスコアの推移・推奨事項の変更履歴をEvent Hub経由でSIEMに転送したり、Log Analytics Workspaceに蓄積できる。長期保管が必要な監査ログはAzure Log Analytics Workspaceの設計と合わせて計画すること。

マルチクラウド対応：AWSとGCPの資産もDefender for Cloudで管理する

Defender for CloudはAzureだけでなく、AWSとGCPのリソースも監視できる。これがCSPM製品として評価されている点の一つだ。

AWSコネクターの仕組み

AWSアカウントをDefender for Cloudに接続すると、AWSリソースの設定ミスや脅威をAzureポータルから一元管理できる。

接続の仕組みは：

・AWS側にIAMロールを作成し、Defender for CloudからAssumeRoleできる権限を付与する
・Defender for Cloud側でAWSアカウントを登録する
・Defender for Cloudが定期的にAWS環境をスキャンし、推奨事項をAzureポータルに表示する

AWSのCSPM機能はFoundational CSPM（無料）の範囲で利用可能だ。AWSの脅威検知（GuardDuty相当の機能）はDefender for Serversの有効化が必要になる。

GCPコネクターの仕組み

GCPも同様に、サービスアカウントの認証情報を使ってDefender for Cloudに接続する。主要なGCPサービスの設定チェックが追加される。

マルチクラウドのCSPMを一元管理したいのであれば、Defender for Cloudは有力な選択肢だ。ただし、CSPMツールの比較記事で触れたとおり、Prisma Cloud・Wizといった専門CSPMツールと比べると機能の深さに差がある。Azureが主軸でありAWS/GCPもある程度管理したい、という場合にはDefender for Cloudで十分なことが多い。

AWS Security HubとMicrosoft Defender for Cloudの比較

クラウド主軸がAWSかAzureかによって選択は変わるが、両サービスの位置づけを理解しておくと設計の引き出しが増える。

AWSを主軸に使っているチームにはAWS Security Hubが向いている。Azureが中心であれば、Defender for Cloudの方がMicrosoft Entra ID・Microsoft Sentinelとの統合が自然で管理負荷が低い。

よくあるトラブルと対処法

「セキュリティスコアが上がらない」原因パターン

推奨事項を対処してもスコアが上がらないときは、以下を確認する。

・反映に時間がかかる: 推奨事項の評価は定期的に実行され、即時反映ではない。24時間以内に再確認する
・スコープの問題: Management Groupレベルで見ているのか、サブスクリプション単位で見ているのかを確認する
・別のリソースで同じ問題が残っている: 一部VMを修正しても、他のVMで同じ問題が残っているとスコアへの反映は限定的になる

「推奨事項の数が多すぎて何から手を付けるかわからない」

最初は圧倒される量の推奨事項に直面する。フィルタで「重要度：高」かつ「最大スコア：6以上」に絞り込んで10件程度に絞るところから始めること。全部一度に解決しようとしない。

「Defenderプランを有効にしたら予想以上のコストがかかった」

Defenderプランはリソース数に比例して課金される。検証環境や開発環境のVMも対象になる点を見落としがちだ。本番環境のサブスクリプションのみを対象に有効化する、または開発環境サブスクリプションはFoundational CSPMのまま運用するなど、サブスクリプションの環境分離と合わせて設計する。

「マルチクラウド（AWS）のリソースが正しく検出されない」

AWSコネクターの設定後、リソースが表示されるまで数時間かかることがある。また、IAMロールの権限が不足していると一部のリソースが見えないことがある。接続状態は「環境設定 > コネクター」から確認し、エラーが出ていれば権限の見直しを行う。

本記事のまとめ

Microsoft Defender for Cloudは、Azureを使うインフラエンジニアにとって「まず入れておくべき」セキュリティサービスだ。Foundational CSPMは無料で使えるため、今日からセキュリティスコアを確認して自環境の状態を把握するところから始められる。

・Foundational CSPMは無料: 全Azureサブスクリプションで有効。まずセキュリティスコアを確認する
・Defenderプランは保護対象リソースごとに選択: 本番VMにはPlan 2、機密データがあればSQL・Storageを追加
・コンプライアンスダッシュボード: PCI DSS・ISO 27001等の準拠状況を可視化し、監査証拠のエクスポートが可能
・マルチクラウド対応: AWS・GCPのリソースもAzureポータルから一元管理できる
・AWS Security Hubとの使い分け: Azure主軸ならDefender for Cloud、AWS主軸ならSecurity Hubが自然な選択

ゼロトラストセキュリティの導入を検討しているなら、Defender for CloudはMicrosoft Entra IDの条件付きアクセスポリシーと組み合わせて「信頼しない設計」を実装する基盤になる。セキュリティインシデントが発生した際の初動対応については、クラウドセキュリティインシデント対応設計も合わせて参照してほしい。