https://docs.microsoft.com/en-us/security/benchmark/azure/security-controls-v3-privileged-access#pa-2-avoid-standing-access-for-user-accounts-and-permissions アダプティブネットワークの強化: https://docs.microsoft.com/en-us/security/benchmark/azure/security-controls-v3-network-security#ns-7-simplify-network-security-configuration
トピック 2、Fabrikam, Inc
オンプレミス環境
オンプレミス ネットワークには、corp.fabrikam.com という名前の単一の Active Directory ドメイン サービス (AD DS) ドメインが含まれています。
Azure環境
Fabrikam には次の Azure リソースがあります。
* corp.fabnkam.com と同期する fabrikam.onmicrosoft.com という名前の Azure Active Directory (Azure AD) テナント
* Sub1 という名前の単一の Azure サブスクリプション
* 米国東部 Azure リージョンの Vnet1 という名前の仮想ネットワーク
* 西ヨーロッパ Azure リージョンの Vnet2 という名前の仮想ネットワーク
* Azure Web アプリケーション ファイアウォール (WAR が有効) を備えた FD1 という名前の Azure Front Door のインスタンス
* Microsoft Sentinel ワークスペース
* ClaimDetails という名前のテーブルを含む ClaimsDB という名前の Azure SQL データベース
* アプリケーション サーバーとして構成され、Microsoft Defender for Cloud にオンボードされていない 20 台の仮想マシン
* テスト目的のみに使用される TestRG という名前のリソース グループ
* 個人に割り当てられたセッション ホストを含​​む Azure Virtual Desktop ホスト プール Sub1 のすべてのリソースは、米国東部または西ヨーロッパ リージョンのいずれかにあります。
パートナー
Fabrikam は、Contoso, Ltd. という会社とアプリケーションの開発契約を結んでいます。Contoso には次のインフラストラクチャがあります。
* contoso.onmicrosoft.com という名前の Azure AD テナント
* Contoso の Fabrikam 開発者のアプリケーションのテスト ワークロードをホストするために使用される AWS EC2 インスタンスを含む ContosoAWS1 という名前のアマゾン ウェブ サービス (AWS) 実装は、アプリケーションをテストまたは更新するために Fabrikam のリソースに接続します。開発者は、fabrikam.onmicrosoft.com の Contoso Developers という名前のセキュリティ グループに追加され、Sub1 のロールに割り当てられます。
ContosoDevelopers グループには、ClaimsDB データベースの db.owner ロールが割り当てられます。
コンプライアンスイベント
Fabrikam は次のコンプライアンス環境を展開します。
* Defender for Cloud は、Sub1 内のすべてのリソースが HIPAA HITRUST 標準に準拠しているかどうかを評価するように構成されています。
* 現在、HIPAA HITRUST 標準に準拠していないリソースは手動で修復されています。
※サーバーの標準脆弱性診断ツールとしてQualysを採用しています。
問題の声明
Defender for Cloud のセキュリティ スコアは、すべての仮想マシンが次の推奨事項を生成していることを示しています。マシンには脆弱性評価ソリューションが必要です。
すべての仮想マシンが Defender for Cloud に準拠している必要があります。
ClaimApp の導入
Fabrikam は、次の仕様を持つ、ClaimsApp という名前のインターネットにアクセス可能なアプリケーションを実装する予定です。
* ClaimsApp は、Vnetl および Vnet2 に接続する Azure App Service インスタンスにデプロイされます。
* ユーザーは、https://claims.fabrikam.com の URL を使用して ClaimsApp に接続します。
* ClaimsApp は ClaimsDB のデータにアクセスします。
* ClaimsDB は Azure 仮想ネットワークからのみアクセスできる必要があります。
* ClaimsApp のアプリ サービス権限を ClaimsDB に割り当てる必要があります。
アプリケーション開発要件
Fabrikam は、アプリケーション開発の次の要件を特定します。
* Azure DevTest ラボは、開発者がテストのために使用します。
* すべてのアプリケーション コードは GitHub Enterprise に保存する必要があります。
* Azure Pipelines はアプリケーションのデプロイメントの管理に使用されます。
* すべてのアプリケーション コードの変更は、クリア テキストのシークレットを含むアプリケーション コードや構成ファイルを含め、セキュリティの脆弱性をスキャンする必要があります。スキャンは、コードがリポジトリにプッシュされるときに実行する必要があります。
セキュリティ要件
Fabrikam は次のセキュリティ要件を特定します。
* インターネットにアクセスできるアプリケーションは、北朝鮮からの接続を防止する必要があります。
* InfraSec という名前のグループのメンバーのみが、ネットワーク セキュリティ グループ (NSG) と、Sub1 の Azure Firewall、VJM、Front Door のインスタンスを構成できる必要があります。
* 仮想マシンのリモート管理を実行するには、管理者は安全なホストに接続する必要があります。セキュア ホストは、カスタム オペレーティング システム イメージからプロビジョニングする必要があります。
AWSの要件
Fabrikam は、ContosoAWSV でホストされるデータに対する次のセキュリティ要件を特定します。
* AWS EC2 インスタンスがセキュア スコアの推奨事項に準拠していない場合は、Fabrikam のセキュリティ管理者に通知します。
* セキュリティ管理者が Azure 環境から AWS サービス ログを直接クエリできることを確認します。
Contoso 開発者の要件
Fabrikam は、Contoso 開発者に対する次の要件を特定します。
* 毎月、ContosoDevelopers グループのメンバーシップを確認する必要があります。
* Contoso 開発者は、Sub1 のリソースにアクセスするには、既存の contoso.onmicrosoft.com 資格情報を使用する必要があります。
* コモロの開発者は、ClaimDetails テーブルの MedicalHistory という名前の列のデータを表示できないようにする必要があります。
コンプライアンス要件
Fabrikam は、Sub1 の仮想マシンを HIPPA HITRUST 標準に準拠するように自動的に修復したいと考えています。TestRG 内の仮想マシンは、コンプライアンス評価から除外する必要があります。

https://docs.microsoft.com/en-us/azure/app-service/app-service-ip-restrictions#restrict-access-to-a-specific-azure-front-door-instance