Azure Blob Storage 論理削除設定の手順

このブログシリーズ 「クラウドセキュリティ 実践集」 では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」 というリスクの解説から、 「どうやって直すのか？」 という具体的な修復手順（コンソール、Azure CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、Azure Blob Storageの論理削除（ソフトデリート）機能について、セキュリティリスクと具体的な対策方法を詳しく解説します。誤削除やランサムウェア攻撃からデータを保護するための設定方法を、Azure Portal、Azure CLI、Terraformを使用して実装する手順を紹介します。

ポリシーの説明

Azure Blob Storageの論理削除（ソフトデリート）は、誤削除、悪意のある削除、ランサムウェア攻撃からデータを保護する重要なデータ保護機能です。この機能はコンテナレベルとBlobレベルの両方で利用可能で、削除されたオブジェクトは指定された保持期間（1～365日）中は「論理削除」状態として保持され、必要に応じて復元可能です。MicrosoftはCIS Azure Benchmarkに準拠し、最低7日以上の保持期間を推奨しています。

修復方法

コンソールでの修復手順

Azure コンソールを使用して、Blob Storageの論理削除を有効にします。

1. Azure Portalにサインイン
   • Azure Portalにアクセスしてログイン
2. ストレージアカウントへ移動
   • 左側のメニューから「ストレージアカウント」を選択
   • 対象のストレージアカウントをクリック
3. データ保護設定へアクセス
   • 左側のナビゲーションから「データ管理」セクションを展開
   • 「データ保護」を選択
4. 論理削除の有効化
   • 「復旧」セクションで以下を設定：
     • 「BLOBの論理削除を有効にする」にチェック
     • 保持期間を設定（最小7日、最大365日を推奨）
     • 「コンテナーの論理削除を有効にする」にチェック（コンテナレベルの保護）
     • コンテナーの保持期間も設定（BLOBと同じ期間を推奨）

5. 設定の保存
   • 「保存」ボタンをクリックして設定を適用
6. 論理削除されたデータの確認と復元
   • コンテナーに移動
   • 「削除されたBLOBを表示」トグルをオンにする
   • 復元したいBLOBを選択
   • 概要タブで「削除の取り消し」ボタンをクリック

重要な注意事項：

• 論理削除されたデータも通常のデータと同様に課金対象
• 保持期間は組織のデータ復旧要件とコストのバランスを考慮して設定
• バージョニングと組み合わせることで、より包括的なデータ保護を実現
• ストレージアカウントレベルでの設定は、すべてのコンテナに適用される

まとめ

この記事では、Azure Blob Storageの論理削除（ソフトデリート）機能について、セキュリティリスクと具体的な対策方法を解説しました。

論理削除は、Azure Blob Storageにおける最も基本的かつ重要なデータ保護機能です。特にランサムウェア攻撃が増加している現在、最低でも7日間の論理削除を有効化することは必須です。バージョニング、ポイントインタイムリストア、ライフサイクル管理と組み合わせることで、コストを最適化しながらエンタープライズレベルのデータ保護戦略を実現できます。

この問題の検出は弊社が提供するSecurifyのCSPM機能で簡単に検出及び管理する事が可能です。 運用が非常に楽に出来る製品になっていますので、ぜひ興味がある方はお問い合わせお待ちしております。 最後までお読みいただきありがとうございました。この記事が皆さんの役に立てば幸いです。

参考情報

• Azure Blob Storage の論理削除
• Blob バージョニング
• Azure Storage のライフサイクル管理ポリシー
• ポイントインタイムリストア (PITR)
• Azure Storage のデータ保護機能