EASMをセキュリティスタックに統合する: Sentinel、Copilot、その先へ

By Mirko Peters · 2026-08-13

クラウドセキュリティとMicrosoft 365アーキテクチャの進化をめぐる、今回もまた深掘りの回へようこそ。私たちのポッドキャストシリーズでは、現代のセキュリティ運用にはデジタル環境全体を俯瞰する視点が欠かせないと繰り返し強調してきました。

Automatically translated with AI from the original post. Read the English original

クラウドセキュリティとMicrosoft 365アーキテクチャの進化をめぐる、今回もまた深掘りの回へようこそ。私たちのポッドキャストシリーズでは、現代のセキュリティ運用にはデジタル環境全体を俯瞰する視点が欠かせないと繰り返し強調してきました。先日のエピソードでは、外部資産の検出の基本を解説しました。まだお聴きでない方は、関連エピソードのMicrosoft Defender EASM - Simply Explainedもぜひご覧ください。このエピソードでは、組織が公開されているフットプリントの見方を根本から変える方法を取り上げています。

パブリックインターネット上に何があるかを把握することは大きな前進ですが、露出している資産の一覧があるだけでは不十分です。本当の価値は、External Attack Surface Management（EASM）のインテリジェンスを、より広いセキュリティスタックに統合したときに生まれます。この記事では、これらの概念をさらに掘り下げ、Microsoft Defender EASMがMicrosoft Sentinel、Log Analytics、Azure Data Explorer、そしてSecurity Copilotに重要なコンテキストをどのように提供し、組織全体のセキュリティ態勢を大きく引き上げるのかを解説します。

外部攻撃対象領域管理（EASM）の概要

統合の話に入る前に、まず中心的な課題を簡単に整理しておきましょう。従来のセキュリティフレームワークは、主に組織内部に焦点を当てています。セキュリティ情報およびイベント管理（SIEM）プラットフォーム、エンドポイント検出と対応（EDR）ツール、脆弱性スキャナーの多くは、管理対象デバイスにインストールされたエージェントや社内ネットワークのスキャンに依存しています。しかし攻撃者は、社内ネットワークからキャンペーンを開始するわけではありません。攻撃は公開インターネットから始まります。

Defender EASMは、ファイアウォールやアンチウイルスのようなインラインで強制力を行使するツールではなく、インテリジェンスを収集するツールとして機能することで、このギャップを埋めます。外側から内側を見る視点で、ドメイン、サブドメイン、SSL証明書、パブリックIPアドレス、開いているポートを継続的にマッピングします。ただし、資産を発見することは旅の始まりにすぎません。意味のある運用上の変化を生み出すには、この外部インテリジェンスを、セキュリティオペレーションセンター（SOC）のアナリストが日々使用するツールへ流し込む必要があります。

外部の視点と内部インベントリの違い

セキュリティチームが資産インベントリを作成する際は、通常、構成管理データベース（CMDB）、ITチケットの履歴、クラウドサブスクリプションのポータルからデータを取得します。しかし残念ながら、こうした内部インベントリは、シャドーIT、忘れられたマーケティングキャンペーン、監視されていないテスト環境、買収後に残ったインフラなどによって死角が生じがちです。

外部の視点は、組織内のサイロがもたらす雑音を取り除きます。どの部署がクラウドワークロードを立ち上げたのか、どのベンダーが公開ポータルを展開したのかは問いません。ブラウザーやIPスキャナーから公開Web上で到達できる資産であれば、EASMはそれを見つけ出します。この生の外部データを構造化された観察結果に変換することで、組織は「露出していると考えているもの」と「実際に外部から到達できるもの」を、ようやく比較できるようになります。

Microsoft Defender EASMが公開資産を検出する仕組み

このデータがセキュリティスタックの他の要素とどのように統合されるかを理解するには、検出エンジンの動作を知ると役立ちます。検出は、主要な企業ドメイン、自律システム番号（ASN）、既知のパブリックIPブロックといった単純なシードから始まります。そこからシステムは再帰的な検出を行います。

システムはデジタルの痕跡をたどります。ルートドメインが証明書を指し、証明書が別のサブドメインを参照し、そのサブドメインが特定のホストに解決され、そのホストが特定のWebサービスに紐づくパブリックIPアドレス上に存在する、という具合です。Defender EASMはこれらの関係性をマッピングしながら、豊富な資産グラフを作成します。この関係性を重視したマップを下流のセキュリティツールにエクスポートすることで、調査中のアナリストに、これまでにない文脈を提供できます。

EASMのインサイトをMicrosoft Sentinelに統合する

Microsoft Sentinelは、企業全体からログ、アラート、脅威インテリジェンスを取り込む、現代のセキュリティオペレーションの中枢神経系のような存在です。Defender EASMのインサイトをSentinelに統合すると、外部への露出と内部のテレメトリの間のギャップを埋めることができます。

Sentinelで、Web アプリケーションに対する異常な認証試行のアラートが発生した場面を想像してください。EASMのデータがSentinelワークスペースに取り込まれていれば、分析ルールや相関クエリにより、そのWeb アプリが正式に承認された本番システムなのか、外部の攻撃対象領域スキャンで見つかった、管理されていない忘れられたステージングサーバーなのかを即座に判断できます。このような即時のコンテキストの付加により、アナリストはインシデントをより迅速にトリアージでき、重要な資産に対する優先度の高い脅威を、古くなったシャドーITインフラストラクチャが発するノイズから切り分けられるようになります。

EASMデータのためのLog AnalyticsおよびAzure Data Explorerの活用

エンタープライズ組織は、数千のドメイン、証明書、IPレンジで構成される膨大な公開フットプリントを管理していることがよくあります。この規模の攻撃対象領域データを分析するには、堅牢なデータプラットフォームが必要です。ここで登場するのが Log Analytics と Azure Data Explorer です。

EASMのインベントリデータと観測データをLog Analyticsワークスペースにエクスポートすることで、セキュリティエンジニアリングチームはカスタムブックや監視ダッシュボードを構築できます。たとえば、今後30日以内に期限切れを迎えるSSL証明書の数、今週新たに出現した未分類のパブリックIPアドレスの数、あるいは高リスクの外部露出を最も多く抱えている事業部門などの指標を追跡できます。

複数の海外子会社をまたいで大規模に運用している組織にとって、Azure Data Explorerは、数百万件に上る過去の攻撃対象領域データポイントを対象に、複雑かつ非常に高速なクエリを実行するために必要な処理能力を提供します。セキュリティアーキテクトは、数か月から数年にわたるトレンド分析を実行し、企業の成長、合併、買収とともに外部のセキュリティ態勢がどのように変化してきたかを把握できます。

Security Copilotによる調査の迅速化

セキュリティツールが高度化するにつれ、SOCアナリストの認知負荷は高まり続けています。外部資産データと内部ログソースを相関させるために複雑なKusto Query Languageの構文を記述することは、進行中のインシデント対応を遅らせる要因になります。ここで Microsoft Security Copilot がワークフローを変革します。

Security Copilotは、EASMデータを含むセキュリティ環境全体に対する自然言語のインターフェイスとして機能します。進行中のインシデントを担当するアナリストは、「主要ブランドに関連する外部IPアドレスのうち、リモート管理ポートが開いており、Sentinelで最近ブルートフォースのアラートが発生しているものをすべて表示して」といった会話形式の質問をCopilotに投げかけることができます。

Copilotは、Defender EASMの外部の態勢データと内部の脅威テレメトリを統合し、数秒で包括的なインシデントのブリーフィングを生成します。最終的な判断と対応は引き続き人間のセキュリティ専門家が担い、検出結果の解釈や修復作業の実行を行います。Copilotにより、バラバラに存在する管理ポータル間を行き来する時間を大幅に削減できます。

EASMとMicrosoft Security Exposure Managementの組み合わせ

従来のSIEMや分析ツールに加えて、Defender EASMは Microsoft Security Exposure Management の中で重要な役割を果たします。EASMがパブリックインターネットから見える範囲を示すのに対し、Security Exposure Managementはクラウドセキュリティ、ID の態勢、エンドポイントのコンプライアンス、外部の攻撃対象領域など複数のワークロードにまたがるインサイトを統合し、単一のセキュリティスコアと優先順位付けのエンジンにまとめます。

EASMと内部の態勢管理ツールを組み合わせることで、セキュリティチームは推測ではなく実際のリスクに基づいて修復の優先順位を決めることができます。たとえば、EASMで検出された公開Webサーバーは、インターネットに公開されているというだけでなく、Defender for Cloudが重大な未修正の脆弱性を報告しており、Microsoft Entra ID が適切な多要素認証の制御を欠いていることを示している場合に、高リスクとしてフラグが立てられることがあります。このような多層的な視点により、修復作業を最も重要な箇所に確実に集中させることができます。

導入と対応を始めるためのベストプラクティス

EASMを広範なセキュリティスタックに統合することは、一度きりの導入プロジェクトではなく、継続的な運用戦略です。成功させるために、次の実践的なベストプラクティスに従ってください。

• 信頼できるシードから始める: 企業の中核となるドメイン、公式ブランド、検証済みのASN番号を使用して、最初の検出範囲を定義します。初日からすべてを一度に網羅しようとしないでください。
• 部門横断のチームを巻き込む: 外部資産にはマーケティング、クラウドエンジニアリング、開発、外部ベンダーが関わります。EASMのインサイトをこれらの事業部門と共有し、資産のオーナーシップを正確に割り当ててください。
• エクスポートパイプラインを自動化する: Defender EASM から Log Analytics と Microsoft Sentinel へのデータエクスポートを継続的に構成し、SOC アナリストが常に最新の攻撃対象領域マップを使って作業できるようにします。
• 定期的なレビューのサイクルを確立する: 定期的な運用レビューを設定し、新たな検出結果を評価して誤検知や自社で管理していない資産を除外するとともに、検出事項を具体的な修復チケットに落とし込みます。

まとめ

可視性は効果的な防御の基盤です。Microsoft Defender EASM は、組織が外部の攻撃者の視点で自社のインフラストラクチャを確認できるようにすることで、セキュリティの考え方を変えます。ただし、そのインテリジェンスを孤立させたままにしておくと、価値は限定的です。EASM のインサイトを Microsoft Sentinel、Log Analytics、Azure Data Explorer、Security Copilot に連携し、それらの検出結果を Microsoft Security Exposure Management に統合することで、一貫性のあるインテリジェントなセキュリティスタックを構築できます。

外部資産の検出の基本や、公開されているフットプリントをマッピングする最初の一歩については、関連エピソードの Microsoft Defender EASM - Simply Explained で詳しく解説しています。ぜひ全編をお聴きください。今日学んだことを活かして、組織に関連する公開ドメインを 3 つ選び、所有者、目的、修復について、今日から難しい問いを投げかけてみてください。