1つは、XDR（Extended Detection and Response）とSIEM（Security Information and Event Management）を活用することだ。攻撃の相関を自動的に分析して攻撃をブロックする方策だ。これは脅威を検出して調査、対応するThreat Management（脅威対応・事故対応）に焦点を当てたものだ。

　もう1つは、攻撃される前に先手を打って攻撃経路を可視化する方策だ。これはエクスポージャー管理と呼ばれ、攻撃の予防と脆弱（ぜいじゃく）性管理を主目的として、自社のセキュリティの弱いところを発見、評価、改善する仕組みだ。近頃はSPM（Extensible Security Posture Management）、XSPM（Extensible SPM）として注目されるようになってきた。管理対象は企業のデータやアプリケーション、エンドポイント、アイデンティティー、ネットワーク、インフラと数々ある。Microsoftが注力するXSPMは全てのプラットフォームにおける状態を監視して、それぞれのリスクを識別し、保護できるという。

　これら2つの方策を両輪として脅威に対応していくのが昨今のセキュリティ運用のトレンドだ。Microsoftはこうした脅威のトレンドとセキュリティ運用のトレンドに対応するための、さまざまな製品群を提供しゼロトラストセキュリティの実現とエクスポージャー管理への道筋を示している。

IDを中心としたゼロトラストセキュリティとは

　ID（認証）、XDR、XSPMの順にどうすれば効果的に防御できるのかを紹介する。

　Microsoftは境界型セキュリティの構築に役立つディレクトリサービスとして「Active Directory」（AD）を提供してきた。2015年以降はアイデンティティーを1つのコントロールプレーンとして、ネットワークやアプリケーション、データなどさまざまなリスクをコントロールして、「アイデンティティー＝認証」を中心に脅威をブロックする方向にシフトした。これが現在のMicrosoftのゼロトラストセキュリティにつながっている。

　従来のシステムはアプリケーションごとにIDを認証するものが多く、IDを多重に管理しなければならなかった。そればかりでなく、パスワードの使い回しリスクや情報漏えいリスクも抱えていた。アプリケーションごとにユーザーのライフサイクルを考慮する必要もあった。

　ID管理ポイントを集中化し統合すれば、散在するリスクがなくなりセキュリティを強化できる。同時に ユーザーのライフサイクル管理の一元化やユーザー権限の一元管理も可能になる。アプリケーション個々に認証機能を実装する必要もなくなり開発側も効率化できる。

　ID管理を集中化、統合することでセキュリティを強化できるだけでなく、副次的な効果もある（図1）。

図1　認証を中心にすることによる効果（提供：日本マイクロソフト）

　Microsoftは「Microsoft Entra ID」を中心に据え、さまざまなリスク要素に対してアクセスを一つ一つ検証する動的なアクセス制御（アクセス許可／多要素認証の要求／制限付きアクセス許可／アクセスブロック）を実行しており、それがゼロトラストアーキテクチャを下支えしている。各種リスク要素を検証する製品は次のとおりだ。

　表に挙げた製品によりアクセスを動的に制御できることが、Microsoftのゼロトラストセキュリティの強みだという。

1日78兆のセキュリティシグナルを生かしたXDR

　Microsoftは同社のゼロトラストセキュリティを利用する世界のユーザーから1日に78兆という膨大なセキュリティシグナル情報を収集している。このビッグデータを基にセキュリティインシデントを自動的に相関分析し、危険な傾向を検知して不正アクセスを高精度にブロックできるという。これは「Microsoft 365」やWindows端末、Active DirectoryやEntra ID、「Microsoft Azure」「Windows Server」といった幅広い製品を多数のユーザーが利用しているプラットフォーマーならではの強みだ。

　分析結果をブロックにつなげるツールは「SIEM」から「EDR」、XDRと進化してきた。SIEMを利用するとログを収集してあらかじめ定めた検出ルールに従って脅威を発見できる。だが、攻撃側が戦術を変えるたびに検出ルールを更新しなければならず、運用負荷が高い。膨大なデータを収集するとユーザー課金に反映されてしまう。データ量が増えるとノイズも多くなり適切なインサイトが得られないこともある。AIを利用してユーザーの行動に似せた攻撃はほぼ検出できないという弱点もある。

　そこでEDRや、ネットワークも対象としたXDRが登場した。MicrosoftのXDRは、膨大なシグナルを利用し、アラートに対するインシデントの相関図を迅速に視覚化できる。さらにAIを活用したTITAN（適応型ネットワークによるインテリジェンス追跡）ベースの自動攻撃遮断が可能だ。

　典型的なランサムウェア攻撃でどのようにXDRが役立つのかを図2に示した。メールやデバイス、ID、クラウドワークロードの要素ごとのインシデントを線でつなぎ、その結果を統合的なダッシュボードでまとめて攻撃の全体像を把握可能だ。

図2　XDRを利用して明らかとなったランサムウェアの攻撃パターン例（提供：日本マイクロソフト）

　XDRのメリットは2つある。1つ目はセキュリティインシデントの初期対応が自動化でき、運用管理の工数削減につながることだ。2つ目は生成AIを利用する「Security Copilot」と組み合わせることでセキュリティレポートの自動作成やフォレンジックや検体の調査を自動化できることだ。こちらもセキュリティ運用の非属人化と工数削減につながる。

攻撃全体の見える化から推奨行動を提示するXSPM

　工数削減の次のステップは、XSPMによる攻撃経路の見える化とリスクの事前検知だという。SIEMやEDR、XDRによる攻撃検出と対応に関するデータを収集したのであれば、分析によって組織ネットワークにどのような攻撃経路があり得るのかを明らかにできるはずだ。

　攻撃可能性があり、かつリスクの高い（許容できない）部分について、あらかじめ適切に対処して攻撃を予防できる。事後対応よりも効果的な脅威対抗策を取れる。MicrosoftのXSPMはリスク軽減に向けた判断根拠を示し、推奨行動も提示する。

　事後対応で生まれたナレッジを次の事前対応に活かすことも可能になり、運用が高度化して、被害も最小化できるのが大きなポイントだ。

　Microsoftのセキュリティ製品群を利用すれば、それら製品群に対して攻撃を見える化できる。つまり、攻撃者側の視点で目標に到達するための流れが分かる。攻撃パスが複数あるとき、攻撃パスが重なる点（＝高リスク）がどこかといった分析によって、最も最優先しなければならない対処箇所を特定できる。攻撃されない、されても被害を最小化できる事前対処が可能なるのがXSPMだ。これがエクスポージャー管理の要になる。

図3　攻撃経路の見える化と事前対処のダッシュボード画面の一例（2点）（提供：日本マイクロソフト）

　なお、XSPMのカバー領域はデバイスや社内システム、認証システム、アクセス経路（ネットワーク機器）、パブリック／プライベートクラウド、外部公開サービスとIT全体環境に及ぶ。それぞれの要素に対してMicrosoftは対応製品を用意している。最終的なゴールとしては全領域をカバーしたエクスポージャー管理の実現だ。だが、できる範囲から取り組んでいくのがセキュリティの基本だ。どこから取り組んでもセキュリティ強化につながるからだ。

本記事は2025年3月13日に開催された「Microsoft Security Forum 2025 Online」の「マイクロソフトのセキュリティ戦略とExposure Management」（日本マイクロソフト クラウド＆AIソリューション事業部 セキュリティ技術本部 テクニカルスペシャリスト 岩本康男氏）の講演内容を編集部で要約・再構成したものです。