無料会員登録
Azureで身に覚えのないサインインや権限変更、不審なVMの作成などが確認された場合、攻撃者が現在も環境へアクセスできる可能性があります。まず必要なのは、攻撃者のアクセスを止めながら、後から侵入経路や被害範囲を確認できる記録を残すことです。
一方、慌ててユーザーやVM、サービスプリンシパルなどをすべて削除すると、調査に必要なログや状態まで失う場合があります。AzureではMicrosoft Entraのサインインログや監査ログ、Azure Activity Log、Defender for Cloudなど複数の記録を組み合わせて状況を確認するため、証拠消失の恐れを避けながら封じ込めを進めることが重要です。
特に、管理者アカウントが侵害された場合や、見覚えのないサービスプリンシパル・VM・ストレージなどが作成されている場合は、単純なパスワード変更だけではアクセス経路を閉じられない可能性があります。
そこで本記事では、Azureへの不正アクセスが疑われた際に最初に行う封じ込め、侵入経路と被害範囲を確認するためのログ、再侵入を防ぐための対策、専門調査を検討する判断基準まで解説します。
Azureへの不正アクセスが疑われたら最初に行うこと
Azureへの不正アクセスが疑われる場合は、攻撃者のアクセスを止める「封じ込め」と、原因調査に必要な情報を残す「証拠保全」を並行して進めます。削除や初期化を優先するのではなく、アカウント、セッション、VM、サービスプリンシパル、ログの順に状況を整理してください。
侵害されたアカウントのサインインを停止する
不審なサインインが確認されたユーザーや、侵害された可能性が高い管理者アカウントについては、攻撃者が追加操作を行えないようサインインを止めることを優先します。
特にGlobal Administratorなど高い権限を持つアカウントが侵害されると、新たなユーザーやアプリケーションを追加されたり、ロールを変更されたりする可能性があります。そのため、対象アカウントだけでなく、同じ時間帯に不審な操作を行ったアカウントがないかも確認してください。
- 不審なサインインが確認されたユーザーを特定します。
- 業務影響を確認したうえで対象アカウントのサインインを停止します。
- 同時刻に不審な管理操作を行ったアカウントがないか確認します。
アクティブなサインインセッションを取り消す
パスワードを変更しても、すでに発行されたセッションやトークンが一定時間利用できる場合があります。そのため、侵害が疑われるアカウントではアクティブなサインインセッションの取り消しも検討します。
Microsoft Entra IDでは、ユーザーの既存セッションを失効させるための機能が用意されています。攻撃者が有効なセッションを保持している可能性がある場合は、パスワード変更だけで対応を終わらせないことが重要です。
- 侵害が疑われるユーザーをMicrosoft Entra IDで確認します。
- 対象ユーザーの既存セッションを取り消します。
- その後、新たな不審サインインが発生していないか監視します。
侵害されたアカウントのパスワードを変更する
認証情報が盗まれた可能性がある場合は、安全な管理端末からパスワードを変更します。攻撃者がパスワードを把握している状態では、セッションを失効させても再度ログインされる可能性があります。
ただし、パスワード変更は不正アクセス対応の一部にすぎません。サービスプリンシパルやアプリケーションの認証情報が悪用されている場合、ユーザーのパスワードを変えてもアクセスが継続する可能性があります。
- 信頼できる端末から対象ユーザーのパスワードを変更します。
- 同じ認証情報を利用している別のアカウントがないか確認します。
- ユーザー以外のアプリ認証情報やサービスプリンシパルも確認します。
侵害されたVMをネットワークから隔離する
Azure VMで不審なプロセスや外部通信、マルウェア感染などが確認された場合は、ほかのシステムへの横展開を防ぐため、ネットワークから隔離することを検討します。
このとき、すぐにVMを削除したりディスクを初期化したりすると、侵入時のファイルやログ、メモリ上の情報などを確認できなくなる場合があります。可能であれば状態を記録し、必要なスナップショットやログを確保したうえで封じ込めます。
- 対象VMと関連するネットワーク・業務影響を確認します。
- NSGなどを利用し、不必要な外部・内部通信を制限します。
- 削除や再構築の前に必要なログやスナップショットを保全します。
見覚えのないサービスプリンシパルを確認する
Azureでは、人のユーザーだけでなく、アプリケーションや自動処理に利用されるサービスプリンシパルも重要な認証主体です。
攻撃者が管理権限を取得した後に新しいサービスプリンシパルを作成したり、既存のアプリへ認証情報を追加したりすると、ユーザーアカウントを停止しても別の経路からアクセスされる可能性があります。
見覚えのないアプリケーション、サービスプリンシパル、シークレット、証明書などが存在しないかを確認し、作成時刻や権限付与履歴も監査ログと照合してください。
- 利用中のアプリケーションとサービスプリンシパルを一覧化します。
- 社内で承認されていないものがないか確認します。
- 不審な主体について作成日時、認証情報、権限付与履歴を確認します。
不審なリソースを削除する前に証拠を保全する
侵害後には、見覚えのないVM、ストレージ、ネットワーク設定、アカウント、アプリケーションなどが作成される場合があります。身に覚えがないからといってすぐに削除すると、攻撃者がどの権限を使って何を行ったのかを確認する手がかりまで失う可能性があります。
まず、リソース名、作成日時、サブスクリプション、リソースグループ、関連するロール、作成者などを記録します。必要に応じてスナップショットや関連ログも保存してください。
- 不審なリソースの名称・ID・作成日時・設定を記録します。
- Activity Logや関連ログを退避します。
- 必要な証跡を確保した後に、隔離・無効化・削除を判断します。
封じ込めだけで対応を終わらせない
パスワード変更やVM隔離によって攻撃者の活動を止められても、侵入経路が残っていれば再度アクセスされる可能性があります。また、侵害前にデータへアクセスされていた場合は、封じ込め後も情報漏洩への対応が必要です。
そのため初動後は、Microsoft Entra IDやAzureのログを利用し、侵入した時刻、利用されたアカウント、権限変更、作成されたリソース、アクセスされたデータなどを時系列で整理してください。
Azureで侵入経路と被害範囲を確認する方法
不正アクセスの全体像を確認するには、単一のログだけでは不十分な場合があります。Microsoft Entraサインインログ、監査ログ、Azure Activity Log、Defender for Cloudなどを組み合わせて、「誰が・いつ・どこから・何をしたのか」を追跡します。
Microsoft Entraサインインログから不審なログインを確認する
Microsoft Entraサインインログは、不正アクセスの入口を確認する重要な情報源です。対象アカウントについて、普段利用していないIPアドレスや地域、端末、認証方法などが記録されていないか確認します。
ただし、IPアドレスや位置情報だけで攻撃と断定することはできません。VPNやクラウドプロキシなどによって通常とは異なる地域として記録される場合があるため、ログイン後の操作まで合わせて確認してください。
- 侵害が疑われるユーザーと対象期間を絞り込みます。
- IPアドレス、場所、端末、認証状況などを確認します。
- 不審なサインイン直後の監査ログやActivity Logと照合します。
Microsoft Entra監査ログからアカウント変更を確認する
Microsoft Entra監査ログでは、ユーザーやグループ、アプリケーションなどに対する変更を確認できます。
侵害が疑われる時間帯に、管理者ロールの追加、ユーザーの変更、アプリケーション登録、サービスプリンシパルの作成などが行われていないかを確認してください。
不審なサインイン後に高い権限が付与されている場合は、攻撃者がアクセスを維持するための経路を追加した可能性も考える必要があります。
- 侵害が疑われる時間帯の変更イベントを抽出します。
- 変更した主体と対象オブジェクトを確認します。
- ロール付与やアプリ追加など不審な変更を時系列で整理します。
Azure Activity Logからリソース操作を確認する
Azure Activity Logでは、Azureリソースに対して行われた管理操作を確認できます。VMやネットワーク、ストレージなどの作成・変更・削除について、実行された操作と主体を追跡する際に役立ちます。
不正アクセス後に新しいVMが作成された、NSGが変更された、リソースが削除されたなどの事象がある場合は、Activity Logを時系列で確認してください。
Azure Activity Logには標準の保持期間があるため、インシデント発生時には必要なログを早めに退避することも重要です。
- 対象サブスクリプションと期間を指定します。
- 作成・変更・削除など重要な操作を抽出します。
- 実行した主体とEntraのサインイン記録を照合します。
Defender for Cloudからセキュリティアラートを確認する
Microsoft Defender for Cloudを利用している環境では、VMやクラウドリソースに関するセキュリティアラートも確認します。
不審なプロセス、異常なネットワーク通信、認証に関する兆候などが検知されていれば、侵害の開始時刻や影響したリソースを絞り込む材料になります。
アラートだけで被害範囲を決めるのではなく、関連するEntraログやActivity Log、VM側のログなどと組み合わせて確認してください。
- 不正アクセスが疑われる期間のアラートを確認します。
- 対象となったリソースとアカウントを特定します。
- 関連ログと照合して攻撃の前後関係を整理します。
身に覚えのないAzureリソースが作成されていないか確認する
攻撃者がAzure環境へ侵入すると、新しいVMやストレージ、ネットワーク、アプリケーションなどを作成する場合があります。暗号資産のマイニングなどに悪用されれば、情報漏洩だけでなく想定外の課金につながる可能性もあります。
リソース一覧を確認し、作成した覚えのないものや通常とは異なるリージョンに存在するものがないか確認してください。
不審なリソースを見つけた場合も、即座に削除する前に作成者、作成時刻、設定、関連ログなどを記録することが重要です。
- サブスクリプション内のリソースを一覧化します。
- 所有部門や通常構成と照合し、不明なものを抽出します。
- Activity Logから作成者と作成時刻を確認します。
管理者権限が不正に付与されていないか確認する
アカウントが侵害された後、攻撃者が永続的なアクセスを確保するためにロールを追加する場合があります。そのため、Microsoft Entraのディレクトリロールだけでなく、Azure RBACによる権限付与も確認してください。
OwnerやContributorなど強い権限が、見覚えのないユーザーやサービスプリンシパルへ付与されていないかを確認します。
- サブスクリプションやリソースグループのロール割り当てを確認します。
- 高権限のユーザー・サービスプリンシパルを一覧化します。
- 不審なロール付与について監査ログとActivity Logを照合します。
複数のログを時系列で照合する
Azureの不正アクセス調査では、「不審なサインインがあった」という一点だけでは被害範囲を判断できません。
たとえば、不審なIPアドレスから管理者アカウントへログインした後、サービスプリンシパルを作成し、その主体へOwner権限を付与し、新しいVMやストレージへアクセスしていた場合、それぞれの操作は異なるログに記録される可能性があります。
サインイン、権限変更、リソース操作、VM内部の挙動などを時系列でつなげることで、侵入経路と影響範囲を判断しやすくなります。
Azureの再侵入を防ぐ対策と専門調査を検討するケース
初動で攻撃者のアクセスを止めた後は、同じ経路から再侵入されないよう認証と権限、サービスプリンシパル、ログ管理を見直します。ただし、すでに機密情報へアクセスされた可能性がある場合は、再発防止だけでなく被害範囲の調査も並行して進める必要があります。
多要素認証を有効にしてアカウントを保護する
パスワードだけでサインインできる状態では、認証情報が漏れた際に不正アクセスへつながりやすくなります。特に管理者アカウントについては、多要素認証を利用して認証を強化することが重要です。
また、MFAを導入していてもすべての攻撃を防げるわけではないため、認証方式だけでなくConditional Accessなどと組み合わせて利用してください。
Conditional Accessで不審なサインインを制御する
Conditional Accessを利用すると、ユーザー、端末、場所、リスクなどの条件に応じてサインインを制御できます。
管理者アカウントについてより厳しい条件を設定したり、管理されていない端末からのアクセスを制限したりすることで、不正利用のリスクを下げられます。
Azure RBACを必要最小限の権限に見直す
Azure RBACでは、業務上必要な範囲だけアクセス権を付与する最小権限の考え方が重要です。
多くのユーザーへOwnerやContributorなど広い権限を与えていると、一つのアカウントが侵害された際の被害範囲も大きくなります。
サブスクリプション、リソースグループ、各リソース単位で必要な権限を整理し、不要なロール割り当てを定期的に見直してください。
サービスプリンシパルの認証情報を見直す
サービスプリンシパルへ長期間有効なシークレットを設定している場合、認証情報が漏洩すると長期的な不正アクセス経路として悪用される可能性があります。
利用していない認証情報を削除し、有効期限や利用用途を管理してください。また、どのサービスプリンシパルへどのロールが付与されているかも定期的に確認する必要があります。
Azureのログを長期間保存できるよう設定する
インシデントが発覚するまで時間がかかると、標準の保持期間を過ぎたログを確認できなくなる場合があります。
Azure Activity Logなど重要なログについては、診断設定を利用してLog AnalyticsワークスペースやAzure Storageなどへ転送し、自社のインシデント対応方針に合った期間保存できるよう設計します。
長期保存は、将来の調査だけでなく、過去の不審な操作と現在のアラートを照合する際にも役立ちます。
侵入経路や情報流出範囲が分からない場合は専門調査を検討する
パスワードを変更して不審なVMを停止できても、「最初にどこから侵入されたのか」「ほかのアカウントも侵害されていないか」「ストレージやデータベースから情報を取得されていないか」が分からない場合は、インシデントが解決したとは判断できません。
特に、管理者権限を奪われた、見覚えのないサービスプリンシパルが作成された、複数のリソースへ横断的にアクセスされた、重要データへのアクセスが疑われるといった場合は、調査範囲が広くなります。
Azureの不正アクセス調査をフォレンジック調査会社に相談する
Azure上のログだけで状況を確認できるケースもありますが、侵害されたVMや管理端末、認証基盤、ネットワークなど複数の環境が関係している場合は、自社だけで侵入経路と被害範囲を特定することが難しくなります。
原因を正確に確かめるには、クラウド上のログと端末・VMに残る記録を安全に保全し、時系列で照合する必要があります。その手法として有効なのがフォレンジック調査です。フォレンジック調査では、Microsoft EntraやAzureのログ、VMのディスクや各種記録などを分析し、不正アクセスの入口、攻撃者が行った操作、影響を受けたリソース、情報流出の可能性などを確認します。
侵害された環境を初期化したりログを削除したりすると、証拠消失の恐れがあります。侵入経路が不明な場合や、管理者権限・複数VM・機密情報が関係する場合は、復旧を急ぐだけでなく、必要な証跡を残した状態で専門調査を検討してください。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
Azureへの不正アクセスが疑われた場合は、最初に侵害アカウントのサインイン停止、セッション取り消し、パスワード変更などで攻撃者のアクセスを封じ込めます。VMが侵害されている場合は、削除を急がず、必要なログや状態を残したうえでネットワークから隔離することが重要です。
その後、Microsoft Entraサインインログ、監査ログ、Azure Activity Log、Defender for Cloudなどを確認し、不正ログインから権限変更、リソース操作までを時系列で整理します。サービスプリンシパルやAzure RBACについても確認し、攻撃者が別のアクセス経路を追加していないか調べてください。
再発防止では、多要素認証、Conditional Access、Azure RBACの最小権限化、サービスプリンシパルの認証情報管理、ログの長期保存が重要です。
管理者権限が奪われた場合や、侵入経路が分からない、複数のAzureリソースへ不審な操作が行われている、機密情報へのアクセスが疑われる場合は、単なる設定変更だけでは被害の全体像を判断できません。関連するログやVMの状態を保全し、必要に応じてフォレンジック調査によって侵入経路と影響範囲を事実ベースで確認してください。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
