Microsoft Defender for Databases の包括的な有効化設定手順
このブログシリーズ 「クラウドセキュリティ 実践集」 では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」 というリスクの解説から、 「どうやって直すのか？」 という具体的な修復手順（コンソール、Azure CLI、Terraformなど）まで、分かりやすく解説します。
この記事では、Microsoft Defender for Databases が有効化されていない問題について、リスクと対策を徹底的に解説します。
ポリシーの説明
Microsoft Defender for Databasesは、組織のすべてのデータベースを包括的に保護する統合セキュリティプランです。Azure SQL Database、SQL Server（VM上、オンプレミス）、オープンソースデータベース（PostgreSQL、MySQL、MariaDB）、Azure Cosmos DBまで、単一のサブスクリプション設定で保護を有効化できます。
このソリューションは、個別のDefenderプランを管理する複雑さを排除し、新規作成されるデータベースも自動的に保護対象とすることで、エンタープライズ環境での包括的なデータベースセキュリティを実現します。
修復方法
Azure Portalでの修復手順
手順1: Microsoft Defender for Cloudへのアクセス
- Azure Portal にサインイン
- 上部の検索バーで「Microsoft Defender for Cloud」を検索
- サービス一覧から「Microsoft Defender for Cloud」を選択
手順2: 環境設定の確認と選択
- 左側のナビゲーションメニューから「環境設定」をクリック
- 階層構造で表示されるテナント > 管理グループ > サブスクリプションから、対象のサブスクリプションを選択
- 複数のサブスクリプションがある場合は、各サブスクリプションで同じ設定を適用することを推奨
手順3: Defender プランの設定
- 「Defender プラン」タブをクリック
- プラン一覧から「データベース」を探す（通常は一覧の中央付近に表示）
- 「データベース」行の状態を確認：
- 「オフ」と表示されている場合: トグルスイッチをクリックして「オン」に変更
- 既に「オン」の場合: 右端の「設定」（歯車アイコン）をクリックして詳細設定を確認
手順4: リソースタイプの選択と構成
- 「設定」をクリック後、以下のリソースタイプがすべて有効になっていることを確認：
- Azure SQL Database: Azure PaaSのSQL Databaseサービス
- Azure SQL Managed Instance: マネージドインスタンス
- SQL servers on machines: IaaS環境のSQL Server（Azure VM、オンプレミス、他クラウド）
- Open-source relational databases: PostgreSQL、MySQL、MariaDB
- Azure Cosmos DB: NoSQLデータベース
- 各リソースタイプについて、以下のオプションを設定：
- 自動検出: 「有効」に設定（新規リソースの自動保護）
- エージェントの自動プロビジョニング: 「有効」に設定（SQL on VMsの場合）
手順5: アラートとメール通知の設定
- 「メール通知」セクションで設定：
- セキュリティ担当者のメール:
- 追加の受信者:
- アラートの重要度フィルター: 高/中（低は任意）
- 「統合」セクションで設定：
- Microsoft Sentinel との統合: 有効
- Logic Apps/Event Hub への転送: 必要に応じて設定
- Webhook エンドポイント: SIEM統合用に設定
手順6: 設定の保存と確認
- すべての設定を確認後、「適用」ボタンをクリック
- 「保存」ボタンをクリックして変更を確定
- 「概要」タブに戻り、以下を確認：
- 保護ステータス: 「保護済み」
- カバレッジ: 100%
- 月額推定コスト: 表示される金額を確認
手順7: 初期評価の実行と確認
- 設定保存後、初回の評価が自動的に開始されます
- 「推奨事項」セクションで24時間後に結果を確認
- 「セキュリティアラート」セクションでリアルタイムアラートを監視
最後に
この記事では、Microsoft Defender for Databases が有効化されていない問題について、詳細なリスク分析と包括的な修復手順を解説しました。
Microsoft Defender for Databasesは、単なるセキュリティツールではなく、組織のデータ資産を保護するための包括的なセキュリティプラットフォームです。適切に実装することで、セキュリティインシデントのリスクを大幅に削減し、コンプライアンス要件を満たしながら、運用負荷を軽減できます。
この問題の検出と継続的な管理は、弊社が提供するSecurifyのCSPM機能で自動化できます。24時間365日の監視、コンプライアンスレポートの生成など、エンタープライズグレードの機能を提供しています。詳細については、お気軽にお問い合わせください。
最後までお読みいただきありがとうございました。この記事が皆さんのAzureデータベースセキュリティ強化の一助となれば幸いです。