DoD Zero Trust戦略とロードマップでは、国防総省のコンポーネントと防衛産業基盤 (DIB) パートナーがZero Trust原則に基づいて新しいサイバーセキュリティ フレームワークを採用するための道筋が示されています。 Zero Trustは、従来の境界と信頼の前提を排除し、セキュリティ、ユーザー エクスペリエンス、ミッション パフォーマンスを強化する、より効率的なアーキテクチャを実現します。
このガイドには、DoD Zero Trust Capability Execution ロードマップの 152 Zero Trust アクティビティに関する推奨事項があります。 セクションは、DoD Zero Trust モデルの 7 つの柱に対応しています。
ガイドの各セクションに移動するには次のリンクを使用してください。
- Introduction
- User
- デバイス
- アプリケーションとワークロード
- データ
- Network
- 自動化とオーケストレーション
- 可視性と分析
6 オートメーションとオーケストレーション
このセクションには、自動化とオーケストレーションの柱における DoD Zero Trust アクティビティに関する Microsoft のガイダンスと推奨事項が記載されています。 詳細については、「可視性、自動化、オーケストレーション with Zero Trust」を参照。
6.1 ポリシー決定ポイント (PDP) とポリシー オーケストレーション
Microsoft Sentinelには、クラウドベースのリソースを介したセキュリティ オーケストレーション、自動化、応答 (SOAR) があります。 サイバー攻撃の検出と対応を自動化します。 Sentinel は、Microsoft Entra ID、Microsoft Defender XDR、Microsoft 365、Azure、および Microsoft 以外のプラットフォームと統合されます。 これらの拡張可能な統合により、Sentinel はプラットフォーム間でサイバーセキュリティの検出と対応のアクションを調整し、セキュリティ オペレーションの効果と効率を高めます。
| DoD アクティビティの説明と結果 | Microsoft ガイダンスと推奨事項 |
|---|---|
Target
6.1.1 ポリシーインベントリと開発DoD 企業は、組織と連携して、既存のサイバー セキュリティ ポリシーと標準をカタログ化し、インベントリを作成します。 ポリシーは、重要な ZT ターゲット機能を満たすために必要に応じて、柱をまたがるアクティビティの中で更新および作成されます。 結果: - 適用可能なコンプライアンスとリスク (RMF、NIST など) を参照してポリシーが収集されました (例: RMF、NIST) - ポリシーは、ZTRA に従って不足している柱と機能についてレビューされています - ZTRA ごとの機能を満たすようにポリシーの不足領域が更新されます |
Microsoft Purview Compliance Manager Microsoft Purview Compliance Manager を使用して、マルチクラウド環境でコンプライアンスを評価および管理します。 - Compliance Manager - Azure、Dynamics 365、Microsoft Purview - マルチクラウド サポート Microsoft Defender for Cloud Microsoft Defender for Cloud の規制コンプライアンス機能を使用して、マルチクラウド環境における Azure Policy イニシアチブのコンプライアンスを表示および向上させます。 - 規制コンプライアンスの向上 - FedRAMP 高度な規制コンプライアンス - NIST SP 800-53 規制コンプライアンス - CMMC 規制コンプライアンス Microsoft Sentinel Sentinel コンテンツ ハブには、ドメイン固有のセキュリティ要件を使用して進行状況を視覚化および測定するためのソリューションがあります。 - Sentinel コンテンツ ハブ カタログ - DoD ZT Sentinel ワークブック - NIST SP 800-53 ソリューション |
Target
6.1.2 組織アクセスプロファイルDoD 組織は、ユーザー、データ、ネットワーク、およびデバイスの柱からのデータを使用して、ミッション/タスクおよび非ミッション/タスク DAAS アクセスの基本的なアクセス プロファイルを開発します。 DoD エンタープライズは組織と連携して、既存の組織セキュリティ プロファイルを使用してエンタープライズ セキュリティ プロファイルを開発し、DAAS に対する一般的なアクセス アプローチを作成します。 組織では段階的なアプローチを使用して、セキュリティ プロファイルの作成後に、ミッション/タスクの重要な DAAS アクセスに対するリスクを制限できます。 結果: - 組織スコープ プロファイルは、ユーザー、データ、ネットワーク、およびデバイスの柱からの機能を使用して DAAS へのアクセスを決定するために作成されます - DAAS へのアクセスに関する初期エンタープライズ プロファイル アクセス標準が開発されています - 可能であれば、組織のプロファイルは、ユーザー、データ、ネットワーク、およびデバイスの柱でエンタープライズで利用可能なサービスを利用します |
条件付きアクセス 条件付きアクセスを使用して標準化された DoD ポリシー セットを定義します。 認証の強度、デバイスのコンプライアンス、ユーザーとサインインのリスクコントロールを含めます。 - 条件付きアクセス |
Target
6.1.3 エンタープライズセキュリティプロファイルPt1エンタープライズ セキュリティ プロファイルは、最初はユーザー、データ、ネットワーク、デバイスの柱を対象とします。 既存の組織セキュリティ プロファイルは、ミッション/タスク以外の DAAS アクセス用に統合されています 結果: - エンタープライズ プロファイルは、ユーザー、データ、ネットワーク、およびデバイスの柱からの機能を使用して DAAS にアクセスするために作成されます - ミッション/タスク以外の重要な組織プロファイルは、標準化されたアプローチを使用してエンタープライズ プロファイルと統合されます |
Complete アクティビティ 6.1.2. Microsoft Graph API Microsoft Graph APIを使用して、条件付きアクセス ポリシー、クロステナント アクセス設定、およびその他のMicrosoft Entra構成設定を管理および展開します。 - プログラムによるアクセス - テナント間アクセス設定 API - グラフの機能とサービス |
Advanced
6.1.4 エンタープライズセキュリティプロファイルPt2DoD 組織内の柱全体で最も広い範囲の DAAS へのアクセスを許可するエンタープライズ セキュリティ プロファイルの最小数が存在します。 ミッション/タスク組織プロファイルはエンタープライズ セキュリティ プロファイルと統合され、例外はリスクベースの方法論的なアプローチで管理されます。 結果: - エンタープライズ プロファイルは、DAAS への幅広いアクセスをサポートするように削減および簡素化されました - 適切な Mission/Task Critical プロファイルが統合され、サポートされている組織プロファイルが例外と見なされる場合 |
条件付きアクセス 条件付きアクセスの分析情報とレポート ブックを使用して、条件付きアクセス ポリシーが組織にどのように影響するかを確認します。 可能であれば、ポリシーを組み合わせます。 簡略化されたポリシー セットを使用すると、新しい条件付きアクセス機能の管理、トラブルシューティング、パイロット運用が簡単になります。 条件付きアクセス テンプレートを使用して、よりシンプルなポリシーを作成できます。 - 分析情報とレポート - テンプレート What If ツールとレポート専用モードを使用して、新しいポリシーのトラブルシューティングと評価を行います。 - 条件付きアクセスのトラブルシューティング - レポート専用モード 信頼できるネットワークの場所に対する組織の依存を減らします。 GPS 座標または IP アドレスで決定される国/地域の場所を使用して、条件付きアクセス ポリシーの場所に関する条件を簡素化します。 - 場所の条件 カスタム セキュリティ属性 条件付きアクセス ポリシーでカスタム セキュリティ属性とアプリケーション フィルターを使用し、アプリケーション オブジェクトに割り当てられたセキュリティ属性の承認範囲を設定します（例えば、機密性など）。 - カスタム セキュリティ属性 - アプリのフィルター |
6.2 クリティカル プロセス オートメーション
Microsoft Sentinel自動化は、通常、Tier-1 セキュリティ アナリストによって実行されるタスクを実行します。 自動化ルールでは、Azure Logic Appsを使用して、セキュリティ操作を強化する詳細で自動化されたワークフローを開発できます。 例: インシデント エンリッチメント: 外部データ ソースにリンクして悪意のあるアクティビティを検出します。
| DoD アクティビティの説明と結果 | Microsoft ガイダンスと推奨事項 |
|---|---|
Target
6.2.1 タスク自動化分析DoD 組織は、手動と自動の両方で実行できるすべてのタスク アクティビティを識別して列挙します。 タスク アクティビティは、自動化カテゴリと手動カテゴリに分類されます。 手作業は廃止の可能性について分析されます。 結果: - 自動化可能なタスクが識別されます - タスクが列挙されます - ポリシー インベントリと開発 |
アクティビティ 6.1.1 を完成させます。 Azure Resource Manager ARM テンプレートとAzure Blueprintsを使って、インフラストラクチャーをコードとして扱う (IaC) によってデプロイを自動化します。 - ARM テンプレート - Azure Blueprints Azure Policy イニシアティブ定義を使ってAzure Policyの割り当てを整理します。 - Azure Policy - イニシアティブ定義 Microsoft Defender for Cloud Microsoft Defender for Cloudの規制標準とベンチマークをデプロイします。 - セキュリティ標準を設定 Microsoft Entra ID Governance アクセス パッケージ カタログを定義し、割り当てとレビューの基準を設定します。 Azure Logic Appsを使用して、入職者、異動者、退職者、その他の自動化可能なタスクのライフサイクルワークフローを開発します。 - 権限管理リソース - 外部ユーザーアクセス - アクセスレビューの展開 - ライフサイクルワークフローの作成 |
Target
6.2.2 エンタープライズ統合とワークフロープロビジョニングPt1DoD エンタープライズは、ターゲット レベルの ZTA 機能を有効にするために必要なセキュリティ オーケストレーション、自動化、応答ソリューション (SOAR) 内でベースライン統合を確立します。 DoD 組織は、DoD エンタープライズ ベースラインに従って統合ポイントを特定し、主要なものに優先順位を付けます。 重要な統合が行われ、回復と保護の機能を有効にする主要なサービスを満たします。 結果: - 完全なエンタープライズ統合を実装する - 主要な統合を特定する - 復旧と保護の要件を特定する |
Microsoft Sentinel 関連するデータ ソースを Sentinel に接続して分析ルールを有効にします。 ``` Microsoft 365、Microsoft Defender XDR、Microsoft Entra ID、Microsoft Entra ID Protection、Microsoft Defender for Cloud、Azure Firewall、Azure Resource Manager、セキュリティ イベント（Azure Monitor エージェント (AMA) を使用）、およびその他の API、Syslog、または Common Event Format (CEF) データ ソースに対応するコネクタを含めます。 - Sentinel データ コネクタ - Sentinel の UEBA Microsoft Defender XDR デプロイされた Microsoft Defender XDR コンポーネントの統合を構成し、Microsoft Defender XDR を Sentinel に接続します。 - Defender XDR から Sentinel にデータを接続する Microsoft guidance 2.7.2 を参照してください。Device Defender XDR を使用して、脅威を探索、調査、アラートし、対応します。 - 自動調査と対応 ``` |
Advanced
6.2.3 Enterprise Integration and Workflow Provisioning Pt2DoD 組織は、環境ごとに必要に応じて、ベースライン要件と高度な ZTA 機能要件を満たすために残りのサービスを統合します。 サービス プロビジョニングは、必要な場合にワークフローに統合および自動化され、ZTA ターゲット機能を満たします。 結果: - 識別されたサービス - サービス プロビジョニングが実装されている |
Microsoft Defender XDR Microsoft Defender XDR は、ID、デバイス、データ、アプリケーションを保護します。 Defender XDR を使用して、コンポーネント統合の構成を行います。 - XDR ツールのセットアップ - Defender XDR修復の実施 Microsoft Sentinel Sentinel に新しいデータ ソースを接続し、標準およびカスタム分析ルールを有効にします。 - Sentinel の SOAR |
6.3 機械学習
Microsoft Defender XDRとMicrosoft Sentinelは、人工知能 (AI)、機械学習 (ML)、脅威インテリジェンスを使用して、高度な脅威を検出して対応します。 Microsoft Defender XDR、Microsoft Intune、Microsoft Entra ID Protection、条件付きアクセスの統合を使用して、リスク シグナルを使用してアダプティブ アクセス ポリシーを適用します。
Microsoft のセキュリティ スタックと ML、米国政府機関向けクラウドでのセキュリティ Copilotの準備について説明します。
| DoD アクティビティの説明と結果 | Microsoft ガイダンスと推奨事項 |
|---|---|
Target
6.3.1 データのタグ付けと実装分類 ML ツールDoD 組織は、既存のデータ タグ付けと分類の標準と要件を利用して、必要に応じてMachine Learningソリューションを調達します。 Machine Learningソリューションは組織に実装され、既存のタグ付けおよび分類されたデータ リポジトリを使用してベースラインを確立します。 機械学習ソリューションは、監視対象のアプローチでデータ タグを適用して、分析を継続的に改善します。 結果: - 実装されたデータのタグ付けおよび分類ツールが ML ツールと統合される |
Microsoft Purview Microsoft Purviewでのサービス側 (Microsoft 365) とクライアント側 (Microsoft Office アプリ) の自動ラベル付けと、Microsoft Purview データ マップの構成。 - データ マップの感度データラベル データ内のMicrosoftガイダンス4.3.4および4.3.5を参照してください。 |
6.4 人工知能
Microsoft Defender XDRとMicrosoft Sentinelは、人工知能 (AI)、機械学習 (ML)、脅威インテリジェンスを使用して、高度な脅威を検出して対応します。 Microsoft Defender XDR、Microsoft Intune、Microsoft Entra ID Protection、条件付きアクセスの統合は、リスク シグナルを使用してアダプティブ アクセス ポリシーを適用するのに役立ちます。
Microsoft のセキュリティ スタックと AI、米国政府機関向けクラウドでのセキュリティ Copilotの準備について説明します。
| DoD アクティビティの説明と結果 | Microsoft ガイダンスと推奨事項 |
|---|---|
Advanced
6.4.1 AI 自動化ツールを実装するDoD 組織は、人工知能の既存の機械学習手法に基づいて、改善の領域を特定します。 AI ソリューションは、特定された領域を要件として使用して識別、調達、実装されます。 成果: - AI ツールの要件を開発する - AI ツールを調達して実装する |
Microsoft Sentinel - 高度な多段階攻撃検出 - カスタマイズ可能な異常 - 異常検出分析ルール Microsoft Entra ID 保護 ID保護では、機械学習 (ML) アルゴリズムを用いて、IDベースのリスクを検出し、対応します。 Microsoft Entra ID Protectionを有効化し、ユーザーとサインインのリスクに対する条件付きアクセス ポリシーを作成します。 - Microsoft Entra ID Protection - リスク ポリシーの構成と有効化 Azure DDoS Protection Azure DDoS Protection では、インテリジェント トラフィック プロファイリングを使用してアプリケーションのトラフィックを学習し、トラフィックの変化に応じてプロファイルを調整します。 - Azure DDoS Protection |
Advanced
6.4.2 分析によって駆動される AI は、A> の変更を決定します既存の機械学習関数を利用する DoD 組織は、ニューラル ネットワークなどの AI テクノロジを実装して使用し、自動化とオーケストレーションの決定を推進します。 意思決定は可能な限り AI に移行され、人間のスタッフは他の作業のために解放されます。 AI は、過去のパターンを利用して、リスクを軽減するために環境に先見的な変更を加えます。 結果: - AI は自動化されたワークフロー アクティビティに変更を加えることができる |
Microsoft Sentinel で Fusion と UEBA の異常を検出するために分析ルールを有効にし、高度なマルチステージ攻撃を捉える。 セキュリティ対応のための自動化ルールとプレイブックを設計する. 6.2.3 および 6.4.1 の Microsoft ガイダンスを参照してください。 |
6.5 セキュリティ オーケストレーション、オートメーション、応答 (SOAR)
Microsoft Defender XDRには、標準的でカスタマイズ可能な検出機能を備えた検出機能と応答機能があります。 Microsoft Sentinel分析ルールを使用して機能を拡張し、Azure Logic Appsを使用してセキュリティ オーケストレーション、自動化、および応答 (SOAR) アクションをトリガーします。
| DoD アクティビティの説明と結果 | Microsoft ガイダンスと推奨事項 |
|---|---|
Target
応答自動化分析DoD 組織は、手動と自動の両方で実行されるすべての応答アクティビティを識別して列挙します。 応答アクティビティは、自動化カテゴリと手動カテゴリに分類されます。 手作業は廃止の可能性について分析されます。 結果: - 自動化可能な応答アクティビティが識別されます - 応答アクティビティが列挙されます |
Microsoft Defender XDR Microsoft Defender XDR には、ファイルインシデントとデバイス インシデントに対する自動および手動応答アクションがあります。 - Defender XDR のIncidents |
Target
6.5.2 SOAR ツールの実装組織と連携する DoD 企業は、ターゲット レベルの ZTA 機能を有効にするために、セキュリティ オーケストレーション、自動化、および応答 (SOAR) ツールの標準的な要件セットを開発します。 DoD 組織は、承認された要件を使用して SOAR ソリューションを調達し、実装します。 将来の SOAR 機能のための基本的なインフラストラクチャ統合が完了します。 成果: - SOAR ツールの要件の開発 - SOAR ツールの調達 |
Microsoft Defender XDR Microsoft Defender XDR の標準応答機能を使用します。 Microsoft ガイダンス 6.5.1 を参照してください。 Microsoft Sentinel Sentinel は SOAR 機能のために Azure Logic Apps を使用します。 Logic Apps を使用して、コードをほとんど、またはまったく使用せずに、自動化されたワークフローを作成し、実行します。 Logic Apps を使用して、Microsoft Sentinel外のリソースに接続して操作します。 - 自動化ルールを含むプレイブック - プレイブックを使用して脅威への対応を自動化する |
Advanced
6.5.3 プレイブックを実装するDoD 組織は、既存のすべてのプレイブックを確認して、将来の自動化を識別します。 プレイブックがない既存の手動および自動化プロセスでは、プレイブックが開発されます。 プレイブックは、自動化されるべく優先順位が付けられ、クリティカルプロセスをカバーする自動化ワークフローの活動と統合されます。 プレイブックのない手動プロセスは、リスクベースの方法的アプローチを使用して承認されます。 結果: - 可能な場合は、自動化されたワークフロー機能に基づいてプレイブックを自動化します - 手動プレイブックが開発および実装されます |
Microsoft Sentinel 現在のセキュリティ プロセスを確認し、Microsoft Cloud Adoption Framework (CAF) のベスト プラクティスを使用します。 SOAR 機能を拡張するには、プレイブックを作成してカスタマイズします。 Sentinel プレイブックテンプレートを使用します。 - セキュリティ運用 - SOCプロセスフレームワーク - テンプレートから作成されたプレイブック |
6.6 API の標準化
Microsoft Graph API には、Microsoft クラウド サービスと対話するための標準インターフェイスがあります。 Azure API Managementは、組織によってホストされている API を保護できます。
| DoD アクティビティの説明と結果 | Microsoft ガイダンスと推奨事項 |
|---|---|
Target
6.6.1 ツールコンプライアンス分析自動化とオーケストレーションのツールとソリューションは、DoD Enterprise プログラム インターフェイスの標準と要件に基づいて、コンプライアンスと機能について分析されます。 プログラマティック インターフェイスの標準と要件をサポートするために、追加のツールまたはソリューションが特定されます。 結果: - API の状態は、API 標準への準拠または非準拠が決定されます - 使用するツールが識別されます |
Microsoft Graph security API Microsoft Defender、Microsoft Sentinel、およびMicrosoft Entraには、API が文書化されています。 - Security API - Microsoft Graphを利用する - アイデンティティ保護API 自社で開発されたAPIのベストプラクティスに従ってください。 - アプリケーション プログラミング インターフェイス - RESTful Web API 設計のベスト プラクティスに従うこと |
Target
6.6.2 標準化された API 呼び出しとスキーマ Pt1DoD 企業は、組織と連携して、ターゲット ZTA 機能を有効にするために必要に応じて、プログラムによるインターフェイス (API など) の標準と要件を確立します。 DoD 組織は、プログラマティック インターフェイスを新しい標準に更新し、新しく取得/開発したツールに新しい標準への準拠を義務付けます。 標準を満たすことができないツールは、リスクベースの方法論的アプローチを使用して例外によって許可されます。 結果: - 初期呼び出しとスキーマが実装されます - 非準拠ツールが置き換えられます |
アクティビティ 6.6.1 を完了します。 Azure API Management Azure API Management を API ゲートウェイとして使用して API と通信し、さまざまな API の一貫性のあるアクセススキーマを作成します。 - Azure API Management Azure Automation ツール Azure Automation ツールを使用して Zero Trust アクションを編成します。 - Azure における統合と自動化 |
Target
6.6.3 標準化された API 呼び出しとスキーマ Pt2DoD 組織は、新しいプログラム インターフェイス標準への移行を完了します。 前のアクティビティで使用停止としてマークされたツールは廃止され、機能は最新化されたツールに移行されます。 承認されたスキーマは、DoD エンタープライズの標準/要件に基づいて採用されます。 結果: - すべての呼び出しとスキーマが実装されています |
Microsoft Sentinel このドキュメントに記載されているオートメーション ツールでアクションをトリガーおよび実行するオーケストレーション エンジンとして Sentinel を使用します。 - プレイブックを使用した自動脅威応答 |
6.7 セキュリティ オペレーション センター (SOC) とインシデント対応 (IR)
Microsoft Sentinelは、セキュリティ インシデントを調査および管理するためのケース管理ソリューションです。 セキュリティ対応アクションを自動化するには、脅威インテリジェンス ソリューションを接続し、Sentinel ソリューションをデプロイし、ユーザー エンティティ動作分析 (UEBA) を有効にして、Azure Logic Appsを使用してプレイブックを作成します。
SOC の成熟度を高める方法については、「 Sentinel インシデントの調査とケース管理」を参照してください。
| DoD アクティビティの説明と結果 | Microsoft ガイダンスと推奨事項 |
|---|---|
Target
6.7.1 ワークフローエンリッチメントPt1DoD エンタープライズは、組織と連携し、NIST などの業界のベスト プラクティスを使用して、サイバーセキュリティインシデント対応標準を確立します。 DoD 組織はエンタープライズ標準を利用して、インシデント対応ワークフローを決定します。 将来の統合のためにエンリッチメントの外部ソースが特定されます。 結果: - 脅威イベントが特定される - 脅威イベントのワークフローが開発される |
|
Target
6.7.2 ワークフローエンリッチメントPt2DoD 組織は、追加のインシデント対応の種類の拡張ワークフローを識別して確立します。 初期のエンリッチメント データ ソースは、既存のワークフローに使用されます。 追加のエンリッチメント ソースは、将来の統合のために特定されます。 結果: - Advanced Threat イベントのワークフローが開発されます - Advanced Threat イベントが識別されます |
|
Advanced
6.7.3 ワークフローエンリッチメントPt3DoD 組織は、基本的および拡張された脅威対応ワークフローで最終的なエンリッチメント データ ソースを使用します。 結果: - エンリッチメント データが特定されました - エンリッチメント データはワークフローに統合されます |
|
Advanced
6.7.4 自動化されたワークフローDoD 組織は、セキュリティ オーケストレーション、自動化、応答 (SOAR) の機能とプレイブックの自動化に重点を置いています。 セキュリティ オペレーション内の手動プロセスが特定され、可能な限り完全に自動化されます。 残りの手動プロセスは、可能な限り使用停止されるか、リスクベースのアプローチを使用して例外としてマークされます。 結果: - ワークフロー プロセスは完全に自動化されています - 手動プロセスが特定されました - 残りのプロセスは例外としてマークされ、文書化されています |
Microsoft Sentinel プレイブック エンタープライズ システム全体のタスクとワークフローをスケジュール、自動化、調整するクラウド サービスである Logic Apps に基づいています。 テンプレートを使用して応答プレイブックを構築し、Sentinel コンテンツ ハブからソリューションをデプロイします。 Azure Logic Appsを使用してカスタム分析ルールと応答アクションを構築します。 - テンプレートを使用したSentinelプレイブック - プレイブックで脅威を自動的に対応 - Sentinel コンテンツ ハブ カタログ - Azure Logic Apps |
次のステップ
DoD Zero Trust戦略用に Microsoft クラウド サービスを構成します。
- Introduction
- User
- デバイス
- アプリケーションとワークロード
- データ
- Network
- 自動化とオーケストレーション
- 可視性と分析