説明/参照:
テストレット 1
概要
Fabrikam, Inc. は、パートナーの小売店を通じて製品を販売する製造会社です。ファブリカムは
5,000 人の従業員がヨーロッパ全土のオフィスに拠点を置いています。
既存の環境
ネットワークインフラストラクチャ
ネットワークには、fabrikam.com という名前の Active Directory フォレストが含まれています。Fabrikam には、ハイブリッド Microsoft Azure Active Directory (Azure AD) 環境があります。
同社は特定のアプリケーション用にいくつかのオンプレミス サーバーを維持していますが、ほとんどのエンド ユーザー アプリケーションは Microsoft 365 E5 サブスクリプションによって提供されています。
問題の声明
Fabrikam は次の問題を特定しています。
先週の金曜日以来、IT チームは「不健康」という内容の自動電子メール メッセージを受信して​​います。

件名に「ID 同期通知」と入力します。
最近、数人のユーザーがマルウェアを含む電子メールの添付ファイルを開いてしまいました。を削除するプロセスは、

マルウェアには時間がかかりました。
要件
計画された変更
Fabrikam は次の変更を実装する予定です。
Fabrikam は、Active Directory への不審なサインインを監視し、調査することを計画しています

Fabrikam は、パートナーが Microsoft 365 に保存されているデータの一部にアクセスできるようにする予定です。

アプリケーション管理
Fabrikam は、ワークロード アプリケーションを管理するための次のアプリケーション要件を特定します。
ユーザー管理者はさまざまな国から勤務します

ユーザー管理者は Azure Active Directory 管理センターを使用します。

Admin1 と Admin2 という名前の 2 人の新しい管理者が Microsoft の管理を担当します。

Exchange Online のみ
セキュリティ要件
Fabrikam は次のセキュリティ要件を特定します。
ユーザー管理者による Azure Active Directory 管理センターへのアクセスは、毎回確認する必要があります

七日間。管理者が 3 日以内にアクセス要求に応答しなかった場合は、アクセスを削除する必要があります。 Microsoft 365 ワークロードを管理するユーザーには、次の管理タスクの実行のみを許可する必要があります。

一度に最大3時間まで。グローバル管理者は、この要件を免除する必要があります。 ユーザーは、会社データを表示するために外部ユーザーを招待できないようにする必要があります。グローバル管理者のみ

User1 という名前のユーザーは招待状を送信できる必要があります
Azure Advanced Threat Protection (ATP) は、機密性の高いセキュリティ グループの変更をキャプチャする必要があります。

Active Directory のドメイン管理者などのグループ
ワークロード管理者は、サーバーからサインインするときに多要素認証 (MFA) を使用する必要があります。

匿名または見知らぬ場所
ユーザー管理者の場所は、管理者が Azure に認証するときに監査する必要があります

広告
マルウェアを含む添付ファイルを含む電子メール メッセージは、

アタッチメント
可能な限り最小特権の原則を使用する必要がある

テストレット 2
概要
Litware, Inc. は、シカゴの本社に 1,000 人のユーザー、サンフランシスコの支社に 100 人のユーザーを抱える金融会社です。
既存の環境
内部ネットワークインフラストラクチャ
ネットワークには単一のドメイン フォレストが含まれています。フォレストの機能レベルは Windows Server 2016 です。
ユーザーは、Active Directory で定義されているサインイン時間制限の対象となります。
ネットワークの IP アドレス範囲は次の表に示されています。

オフィスはマルチプロトコル ラベル スイッチング (MPLS) を使用して接続します。
ネットワークでは次のオペレーティング システムが使用されています。
Windowsサーバー2016

Windows 10 エンタープライズ

Windows 8.1 エンタープライズ

内部ネットワークには、次の表に示すシステムが含まれています。

Litware はサードパーティの電子メール システムを使用します。
クラウドインフラストラクチャ
Litware は最近、すべてのユーザーを対象とした Microsoft 365 サブスクリプション ライセンスを購入しました。
Microsoft Azure Active Directory (Azure AD) Connect がインストールされており、デフォルトの認証設定を使用します。ユーザー アカウントはまだ Azure AD に同期されていません。
次の表に示す Microsoft 365 ユーザーとグループがあります。

計画された変更
Litware は次の変更を実装する予定です。
電子メール システムを Microsoft Exchange Online に移行する

Azure AD Privileged Identity Management を実装する

セキュリティ要件
Litware では、次のセキュリティ要件が特定されています。
すべての Azure AD ユーザー アカウントを含む Group2 という名前のグループを作成します。Group2 は次のことに慣れます。

Windows Analytics への制限付きアクセスを提供する
Azure Information Protection ポリシーをパイロットに適用するために使用される Group3 という名前のグループを作成します。

ユーザー。Group3 にはユーザー アカウントのみを含める必要があります
Azure Advanced Threat Protection (ATP) を使用して、フォレストを標的とするセキュリティの脅威を検出します。

Active Directory からロックアウトされたユーザーが Azure AD および Active Directory にサインインできないようにする

User1 に対するコンプライアンス管理者ロールの永続的適格割り当てを実装します。

ドメインに参加しているサーバー上で Windows Defender と Windows Defender ATP を統合する

デフォルトでゲスト ユーザー アカウントの Azure リソースへのアクセスを禁止する

ドメインに参加しているすべてのコンピューターが Azure AD に登録されていることを確認する

多要素認証 (MFA) の要件
Microsoft Office 365 と Azure のセキュリティ機能は、パイロット Azure ユーザー アカウントを使用してテストされます。
MFA をテストするための次の要件を特定します。
パイロット ユーザーは、シカゴ オフィスの内部ネットワークからサインインしない限り、MFA を使用する必要があります。

MFA はシカゴ オフィスの内部ネットワークでは使用しないでください。
認証試行が疑わしい場合は、ユーザーの場所に関係なく、MFA を使用する必要があります。

正当な認証試行の中断は最小限に抑える必要があります

一般的な要件
Litware は、Active Directory フォレストへの追加のサーバーとサービスの展開を最小限に抑えたいと考えています。

参照：
https://docs.microsoft.com/en-us/office365/securitycompliance/search-the-audit-log-in-security-and-compliance

参照：
https://docs.microsoft.com/en-us/cloud-app-security/data-protection-policies