Data/Locales/checks/ja/EntraTenantChecks.json
|
{ "_family": "EntraTenantChecks.json", "EIDTNT-001": { "name": { "value": "テナント全体の設定のエクスポート", "status": "machine-draft" }, "description": { "value": "テナント全体のすべての構成設定を網羅したエクスポートは、変更検出と災害復旧のための既知の正常なベースラインを確立します。文書化されたベースラインがなければ、現在の設定が意図した状態から逸脱しているかどうか、あるいは攻撃者がセキュリティコントロールを弱めるためにテナント構成を変更したかどうかを判断することは不可能です。このベースラインは初期構成時に取得し、承認された変更が行われるたびに更新すべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "テナント構成の完全なベースラインがエクスポートされ、定期的なスナップショットとともにバージョン管理されたリポジトリに保管されている", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Graph API を使用して、承認ポリシー、認証方法ポリシー、同意ポリシー、クロステナントアクセス設定、ディレクトリ設定を含むテナント全体のすべての設定をエクスポートします。エクスポートを安全でバージョン管理されたリポジトリに保管し、定期的なスナップショットを取得するスケジュール化されたプロセスを確立します。現在の設定をベースラインと定期的に比較して、不正または意図しない構成のドリフトを検出します。", "status": "machine-draft" } }, "EIDTNT-002": { "name": { "value": "ユーザー設定のレビュー", "status": "machine-draft" }, "description": { "value": "テナント全体のユーザー設定は、標準ユーザーがアプリケーションを登録できるか、会社データにアクセスするアプリケーションに同意できるか、セキュリティグループを作成できるか、他のユーザーのディレクトリ情報を読み取れるかを制御します。過度に緩いユーザー設定は、シャドー IT、不正なアプリケーション統合、攻撃対象領域を拡大するグループの氾濫を招きます。これらの設定は、標準ユーザーが管理者の監督を要すべきアクションを実行できないよう制限すべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "ユーザーはアプリケーションを登録できず、ユーザー同意は検証済み発行元に制限され、グループ作成が承認されたユーザーに限定されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > ユーザー設定に移動し、各設定を確認します。制御されないアプリ登録の氾濫を防ぐため、「ユーザーはアプリケーションを登録できる」を無効にします。低リスクの権限を持つ検証済み発行元のアプリのみに同意を許可するよう、ユーザー同意設定を制限します。Microsoft 365 グループおよびセキュリティグループを作成できる対象を、指定された管理者またはグループ所有者に限定します。", "status": "machine-draft" } }, "EIDTNT-003": { "name": { "value": "ゲストユーザーのアクセス制限", "status": "machine-draft" }, "description": { "value": "ゲストユーザーは、組織とのコラボレーションのために招待された外部 ID です。既定では、ゲストユーザーはユーザー、グループ、アプリケーションを列挙する能力を含め、ディレクトリを過度に広く可視化できる場合があります。制限のないゲストアクセスは、外部の関係者が組織の ID 構造をマッピングし、価値の高い標的を特定し、後続の攻撃のための情報を収集することを可能にします。ゲストの権限は、コラボレーションに必要な最小限に制限すべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "ゲストユーザーのアクセスが、自身のディレクトリオブジェクトのプロパティおよびメンバーシップのみに制限されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > 外部 ID > 外部コラボレーション設定に移動し、ゲストユーザーのアクセス制限を確認します。ゲストを自身のディレクトリオブジェクトのプロパティおよびメンバーシップに限定する、最も制限の厳しいオプションにゲストユーザーのアクセスを設定します。ゲストアカウントでテストして、ゲストが完全なユーザー一覧、グループメンバーシップ、アプリケーション登録を列挙できないことを確認します。", "status": "machine-draft" } }, "EIDTNT-004": { "name": { "value": "ゲスト招待の制限", "status": "machine-draft" }, "description": { "value": "ゲスト招待設定は、テナントに外部ユーザーを招待できる対象を制御し、任意のユーザーがゲストを招待できる状態から、招待を管理者のみに制限する状態までの範囲があります。緩い招待設定は、標準ユーザーが監督なしに外部の関係者を招待できるようにし、組織リソースへのアクセスを持つ未検証の外部 ID を招き入れる可能性があります。招待の制限は、組織の外部コラボレーションガバナンス要件に沿うべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "ゲスト招待が特定の管理者ロールまたはゲスト招待者ロールを持つユーザーに制限され、セルフサービスのゲストアクセスが有効化されていない", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > 外部 ID > 外部コラボレーション設定に移動し、ゲスト招待設定を確認します。すべてのメンバーが招待できるようにするのではなく、ゲスト招待をゲスト招待者ロールまたは特定の管理者ロールが割り当てられたユーザーに制限します。制御されない招待の連鎖を防ぐためゲストが他のゲストを招待するオプションを無効にし、ゲスト招待要求の承認ワークフローを確立します。", "status": "machine-draft" } }, "EIDTNT-005": { "name": { "value": "外部コラボレーション設定", "status": "machine-draft" }, "description": { "value": "外部コラボレーション設定は、ゲストユーザーを招待できるドメインの範囲と、テナントとコラボレーションできる外部組織を定義します。ドメイン制限がなければ、競合他社、制裁対象エンティティ、攻撃者が管理するテナントを含む任意の外部組織からゲストを招待できます。承認されたパートナー組織にコラボレーションを限定し、不正な外部アクセスを防ぐため、ドメインの許可リストまたはブロックリストを構成すべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "外部コラボレーションが特定の許可ドメインに制限され、既知のリスクの高いドメインの拒否リストが設けられている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > 外部 ID > 外部コラボレーション設定に移動し、コラボレーションの制限を構成します。組織のコラボレーションモデルに基づいて、承認されたパートナードメインの許可リスト、または既知のリスクの高いドメインおよび競合他社ドメインのブロックリストのいずれかを実装します。パートナー関係の変化を反映するためドメインリストを四半期ごとに確認して更新し、コラボレーションの制限がデータ分類および情報共有ポリシーに沿っていることを確認します。", "status": "machine-draft" } }, "EIDTNT-006": { "name": { "value": "Azure B2B クロステナントアクセスポリシー", "status": "machine-draft" }, "description": { "value": "クロステナントアクセスポリシーは、外部の Entra ID テナントとコラボレーションする際にユーザーがどのように認証しリソースにアクセスするかについて、きめ細かい制御を提供します。既定のクロステナントアクセス設定は、組織のセキュリティ要件に沿わない広範な受信および送信アクセスを許可する場合があります。適切に構成されたクロステナントアクセスポリシーは、信頼できるテナントからの不正アクセスを防ぎ、どのユーザーが外部リソースにアクセスできるかを制御しながら、信頼できる B2B コラボレーションを可能にします。", "status": "machine-draft" }, "recommendedValue": { "value": "既定のクロステナントアクセスポリシーがブロックに設定され、承認されたパートナーテナントのみに明示的な許可ルールが設けられている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > 外部 ID > クロステナントアクセス設定に移動し、既定の受信および送信アクセス設定を確認します。既定のポリシーを受信と送信の両方のアクセスを制限するように構成し、その後、適切なアクセスコントロールを備えた承認済みパートナーテナント向けの組織固有のポリシーを作成します。適切な場合はパートナーテナントの MFA クレームとデバイスコンプライアンスを受け入れる信頼設定を有効にし、信頼できるコラボレーションでの認証の手間を軽減します。", "status": "machine-draft" } }, "EIDTNT-007": { "name": { "value": "セキュリティ既定値の有効/無効の状態", "status": "machine-draft" }, "description": { "value": "セキュリティ既定値は、MFA 登録要件、管理者への MFA チャレンジ、レガシー認証のブロックを含む、基本的な一連の ID セキュリティメカニズムを提供します。条件付きアクセスポリシーを使用する組織は、競合を避けるためセキュリティ既定値を無効にすべきですが、条件付きアクセスがなく、かつセキュリティ既定値も無効なテナントは、一般的な ID 攻撃に対する基本的な保護を持ちません。このチェックは、セキュリティ既定値または同等の条件付きアクセスポリシーのいずれかがテナントを能動的に保護していることを検証します。", "status": "machine-draft" }, "recommendedValue": { "value": "条件付きアクセスのないテナントではセキュリティ既定値が有効化されている。条件付きアクセスのあるテナントでは、同等以上の強力な条件付きアクセスポリシーを備えたうえでセキュリティ既定値が無効化されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > プロパティ > セキュリティ既定値の管理で、セキュリティ既定値が有効かどうかを確認します。セキュリティ既定値が無効の場合は、すべてのユーザーへの MFA、レガシー認証のブロック、管理操作への MFA を含む同等以上の保護を条件付きアクセスポリシーが提供していることを確認します。セキュリティ既定値も同等の条件付きアクセスポリシーも整備されていない場合は、基本的な保護策として直ちにセキュリティ既定値を有効にします。", "status": "machine-draft" } }, "EIDTNT-008": { "name": { "value": "ライセンスのインベントリと利用状況", "status": "machine-draft" }, "description": { "value": "割り当てられたライセンスとその利用率を網羅したインベントリは、利用可能なセキュリティ機能を可視化し、ライセンスされた機能が使用されていない潜在的なギャップを特定します。組織は、完全にデプロイまたは構成されていない Entra ID P2、Microsoft Defender for Identity、Microsoft Sentinel などの高度なセキュリティ機能に料金を支払っている可能性があります。ライセンスの全体像を理解することで、購入したすべてのセキュリティ機能が有効化され活用されることを確実にします。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのライセンスがインベントリ化され利用状況が追跡されており、セキュリティ関連のライセンス機能がすべて完全にデプロイおよび構成されている", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft 365 管理センターまたは Entra ID > ライセンス > 概要でライセンス割り当ての概要を確認します。Entra ID P1/P2、Microsoft Defender for Identity、Microsoft 365 E5 Security などのセキュリティ関連ライセンスを特定します。各ライセンスに含まれる機能が実際に構成およびデプロイされていることを確認し、すでにライセンスされている未使用のセキュリティ機能を有効化する計画を作成します。", "status": "machine-draft" } }, "EIDTNT-009": { "name": { "value": "管理単位の構成", "status": "machine-draft" }, "description": { "value": "管理単位は、ユーザー、グループ、デバイスを論理的なコンテナーにグループ化し、それらのオブジェクトのみを管理する特定の管理者を割り当てることで、委任された管理スコープを提供します。管理単位がなければ、委任された管理者が意図した以上に広いアクセスを持ったり、管理境界が組織構造と一致しなかったりする可能性があります。適切に構成された管理単位は、最小権限の委任を強制し、管理の行き過ぎを防ぎます。", "status": "machine-draft" }, "recommendedValue": { "value": "管理単位が組織の委任モデルに沿って構成され、機密性の高いオブジェクトには制限付き管理の管理単位が使用されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > ロールと管理者 > 管理単位で既存の管理単位の構成を確認します。現在の構造が組織の委任要件に沿っているか、また特権アカウントなどの機密性の高いオブジェクトが制限付き管理の管理単位で保護されているかを評価します。管理者が指定されたスコープ内のオブジェクトのみを管理できるよう、必要に応じて管理単位を作成または変更します。", "status": "machine-draft" } }, "EIDTNT-010": { "name": { "value": "カスタムドメインの構成", "status": "machine-draft" }, "description": { "value": "テナントに登録されたカスタムドメインは、組織が使用するメールアドレスおよびサインインのサフィックスを定義します。検証されていない、または承認されていないドメインは、構成ミスや、テナント内に存在を確立しようとする攻撃者を示している可能性があります。各カスタムドメインは DNS レコードを通じて検証し、すべてのドメインが依然として組織の所有であり、DNS 検証レコードが無傷であることを確認するため定期的に見直すべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのカスタムドメインが検証され、能動的に管理され、DNS 検証レコードが無傷である", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > カスタムドメイン名に登録されているすべてのカスタムドメインを確認し、各ドメインが依然として組織の所有であり、DNS 検証レコードが適切に構成されていることを確認します。もはや使用されていない、または組織所有として検証できないドメインを削除します。意図しないドメインの喪失を防ぐため、ドメインの DNS 登録がレジストラーロックで保護され、ドメインの有効期限が監視されていることを確認します。", "status": "machine-draft" } }, "EIDTNT-011": { "name": { "value": "監査ログおよびサインインログの診断設定", "status": "machine-draft" }, "description": { "value": "Entra ID は、セキュリティ監視、インシデント調査、コンプライアンスレポートに不可欠な監査ログとサインインログを生成します。これらのログを Log Analytics ワークスペース、Azure ストレージアカウント、SIEM などの永続的な保管場所へエクスポートする診断設定が構成されていなければ、ログは Entra ID 内で限られた期間しか保持されず、インシデント調査時に利用できない可能性があります。攻撃者は、検出を無効化または回避するためログ構成を積極的に標的にします。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての Entra ID ログカテゴリ (監査、サインイン、非対話型サインイン、サービスプリンシパルサインイン、マネージド ID サインイン、プロビジョニング) が Log Analytics ワークスペースまたは SIEM にエクスポートされている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > 監視 > 診断設定に移動し、すべてのログカテゴリを Log Analytics ワークスペース、Azure ストレージアカウント、または SIEM 取り込み用の Event Hub へエクスポートする診断設定を作成または確認します。監査ログ、サインインログ、非対話型サインインログ、サービスプリンシパルサインインログ、マネージド ID サインインログ、プロビジョニングログを含む、利用可能なすべてのログカテゴリが選択されていることを確認します。宛先のストレージに適切な保持ポリシーとアクセスコントロールが構成されていることを確認します。", "status": "machine-draft" } }, "EIDTNT-012": { "name": { "value": "監査ログの保持設定", "status": "machine-draft" }, "description": { "value": "監査ログの保持は、履歴的なセキュリティイベントが調査、コンプライアンスレポート、フォレンジック分析に利用できる期間を決定します。保持期間が不十分だと、最初の侵害から数週間または数か月後に発見されたインシデントを調査する際に、重要な証拠が利用できなくなる可能性があります。組織は、インシデント対応のタイムラインをサポートし、一般的な規制要件を満たすため、監査ログを少なくとも 1 年間保持すべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "監査ログが不変のストレージ場所に最低 1 年間保持され、少なくとも 90 日分が即座にクエリ可能である", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID ログがエクスポートされる Log Analytics ワークスペース、Azure ストレージアカウント、または SIEM の宛先の保持設定を確認します。インシデント調査およびコンプライアンス要件をサポートするため、すべての Entra ID ログカテゴリについて少なくとも 365 日間の保持を構成します。復元操作なしで少なくとも 90 日分のログが即座にクエリ可能であることを確認し、履歴的なログデータの改ざんを防ぐため不変ストレージまたは追記のみのポリシーを実装します。", "status": "machine-draft" } }, "EIDTNT-013": { "name": { "value": "通知設定の監査", "status": "machine-draft" }, "description": { "value": "Entra ID の通知設定は、リスクのあるユーザー、週次ダイジェストレポート、管理通知などの重大なセキュリティイベントについて誰がアラートを受信するかを制御します。通知設定の構成ミスは、セキュリティアラートが非アクティブなメールボックスや退職者に送信されたり、まったく送信されなかったりする結果を招く可能性があります。適切な通知ルーティングは、セキュリティに関連するイベントがタイムリーな調査と対応のために適切な担当者へ届くことを確実にします。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのセキュリティ通知が、現在のセキュリティ運用担当者に属するアクティブで監視されているメールボックスへルーティングされている", "status": "machine-draft" }, "remediationSteps": { "value": "Identity Protection の通知受信者、パスワードリセット通知設定、技術通知の連絡先を含む Entra ID 全体の通知設定を確認します。すべての通知受信者が、能動的に監視されているメールボックスを持つ現在の従業員であることを確認し、退職者や非アクティブな配布リストへの参照を更新します。担当者の異動時にも継続性を確保するため、通知を個々のユーザーではなくセキュリティ運用の配布リストへ送信するよう構成します。", "status": "machine-draft" } }, "EIDTNT-014": { "name": { "value": "ユーザーパスワードの有効期限の無効化 (パスワードを無期限にする)", "status": "machine-draft" }, "description": { "value": "定期的なパスワードの強制ローテーションは、ユーザーを予測しやすく、脆弱で、再利用されたパスワードへと向かわせ、MFA や最新の資格情報保護が整備されている場合には防御的な価値をほとんど提供しません。NIST SP 800-63B および OMB M-22-09 のガイダンスに沿って、ユーザーパスワードは無期限に構成すべきです。Entra ID では、これは検証済みドメインごとに passwordValidityPeriodInDays プロパティによって管理されます。値 2147483647 はパスワードが無期限に設定されていることを示します。このチェックはすべての管理対象ドメインを検査し、有限のパスワード有効期限を依然として強制しているドメインをフラグ付けします。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての管理対象ドメインで passwordValidityPeriodInDays が 2147483647 (無期限) に設定されている", "status": "machine-draft" }, "remediationSteps": { "value": "SCuBA MS.AAD.6.1 を満たすため、パスワードが無期限になるようパスワード有効期限ポリシーを設定します。Microsoft 365 管理センターで 設定 > 組織設定 > セキュリティとプライバシー > パスワードの有効期限ポリシーに移動し、「パスワードを無期限に設定する」を選択します。同様に、各管理対象ドメインについて passwordValidityPeriodInDays を 2147483647 (無期限) に設定します。強制された MFA、禁止パスワード保護、リスクベースの資格情報修復といった補完的コントロールが整備されたままであることを確認します。", "status": "machine-draft" } }, "EIDTNT-015": { "name": { "value": "特権的なパートナー委任管理アクセス (GDAP)", "status": "machine-draft" }, "description": { "value": "きめ細かい委任管理特権 (GDAP) は、CSP やマネージドサービスパートナーがテナント内で常設の管理ロールを保持できるようにします。この関係は、ほとんどの日常的な管理ビューでは見えず、めったに見直されず、Kaseya 型の伝播経路です。1 つのパートナーを侵害した攻撃者は、下流のすべての顧客テナントでの委任管理を一度に継承します。Tier-0 / 高影響のディレクトリロール (グローバル管理者、特権ロール管理者、特権/認証管理者、セキュリティ管理者、ユーザー/パスワード/アプリケーション/クラウドアプリケーション管理者) を持つパートナー関係は、実質的に王国への外部の鍵です。このチェックはアクティブな delegatedAdminRelationships をインベントリ化し、いずれかのアクティブな関係がこれらの特権ロールのいずれかを付与している場合に FAIL とします。特権のないパートナーアクセスが存在する場合は、確認とスコープ設定ができるよう警告し、アクティブなパートナー委任管理が存在しない場合のみパスとします。空の結果は、収集が成功した場合にのみ「関係なし」として扱われます。呼び出しに失敗した場合は Not Assessed として提示され、クリーンなパスとしては扱われません。", "status": "machine-draft" }, "recommendedValue": { "value": "アクティブな GDAP 関係が特権的なディレクトリロールを付与していない。パートナーアクセスは最小権限で、期限付きであり、見直されている", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Entra 管理センター > ID > 外部 ID > クロステナントアクセス (パートナー主導) および Microsoft 365 管理センター > 設定 > パートナー関係で、アクティブなすべてのパートナー委任管理 (GDAP) 関係を確認します。各関係について、文書化された期限付きの必要性がない限り、Tier-0 / 高影響のロール (グローバル管理者、特権ロール管理者、特権認証管理者、セキュリティ管理者、ユーザー/パスワード/アプリケーション/クラウドアプリケーション管理者) を削除します。常設の特権委任を最小権限のロールに置き換え、可能な場合はパートナー自身の PIM を通じてジャストインタイムの昇格を要求し、もはや必要のない関係を終了します。このアクセスを行使する管理者について、パートナー自身のテナントがフィッシング耐性のある MFA を強制していることを確認します。", "status": "machine-draft" } }, "EIDTNT-016": { "name": { "value": "パートナー委任管理付与の衛生 (長寿命の GDAP)", "status": "machine-draft" }, "description": { "value": "GDAP 関係の期間は、その自動延長ウィンドウです。失効すると、その期間だけ人間のレビューなしに自動更新されます。したがって、長い自動延長 (1 年超) は、パートナー管理アクセスの常設的で自己更新される付与であり、ジャストインタイムの対極です。これはまさに、それを生み出した業務委託よりも長く存続する、忘れ去られた関係の類です。このチェックはアクティブな delegatedAdminRelationships を検査し、いずれかの関係が 365 日を超えて自動延長する場合に警告します。期間を判断できない関係は、問題ないと仮定するのではなく、保守的に長寿命として扱います。すべてのアクティブな関係が 1 年以内に自動延長する場合のみパスとします。これは EIDTNT-015 (パートナーが保持する特権を評価する) を補完する衛生/ガバナンスのシグナルであり、ここでの懸念は付与が未レビューのままどれだけ長く存続するかです。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのアクティブな GDAP 関係が 365 日以内に自動延長し、各更新時に見直されている", "status": "machine-draft" }, "remediationSteps": { "value": "アクティブな各パートナー委任管理 (GDAP) 関係について、業務委託に合った最短の自動延長期間を設定し (複数年の常設付与は避ける)、各更新時にレビューをスケジュールします。Microsoft 365 管理センターの 設定 > パートナー関係で、各関係が依然として必要かどうかを確認し、古いものを終了します。パートナー管理が既定ではなく意図的に再承認されるよう、長寿命で自動延長するアクセスよりも、短く更新可能な委任を優先します。", "status": "machine-draft" } } } |