Overe Assess スキャナーの仕組み
原文タイトル: Overe Assess Scanner
Overe Scanner は、MSP や企業に対して、自社の SaaS 環境に潜在する潜在的なセキュリティリスクの包括的な概要を提供するために設計された強力なツールです。本記事では、Overe Assess Scanner が提供する機能と情報についてご案内し、その機能を最大限に活用していただけるようサポートします。
1. クイックスキャンの概要
セキュリティコントロール評価（クイックスキャン）機能では、SaaS 環境のセキュリティ態勢を迅速に評価できます。このスキャンは、現在お使いの Microsoft ライセンスでは組織が満たせない主要なセキュリティコントロールを特定し、それらすべてのコントロールの包括的なリストと、有効化する方法に関する詳細を項目別に示します。
クイックスキャンの詳細については、こちらをご覧ください: /knowledge-base/free-assess-purpose
2. ディープスキャン（ベータ版）
ディープスキャン機能は現在ベータ版ですが、SaaS 環境をより詳細に検査します。このスキャンは表面的な部分にとどまらず、IT 環境のさまざまな側面に関連するリスクを特定します。
- 主要リスクの特定: ディープスキャンは、次の領域における脆弱性をチェックします:
- スキャンステータスと結果: ディープスキャンを実行すると、リクエストのステータスがリアルタイムで更新されます。
- 実行可能なインサイト: ディープスキャンは潜在的な脆弱性の概要を素早く提供し、セキュリティ態勢を強化するための迅速な対応を支援します。
スキャンのすべてのセクション、特にユーザーリスクに関するセクションを機能させるには、MSFT SKU 上で AAD Premium が必要です。
Overe は、このデータにアクセスするために Azure Active Directory Premium P1 ライセンスを推奨しています（必須ではありません）。これはスタンドアロンのアドオンとして追加するか、Business Premium などのサブスクリプションに含めることができます。
3. 新規スキャンの実行
新しいスキャンを実行する必要がある場合は、「Run a new Scan」ボタンをクリックするだけです。これにより新しい評価が開始され、SaaS 環境のセキュリティ状況に関する最新情報が得られます。
- 注意: 現在、スキャンはオンデマンドで実行され、結果はまだ自動的に保存または送信されません。ただし、自動保存と通知の機能は開発中であり、まもなく利用可能になります。
4. リスクのある MFA 設定
リスクのある MFA 設定スキャンレポートは、セキュリティリスクが高い MFA 設定を持つユーザーアカウントを特定します。この分析は、アクティブな（無効化されていない）メンバーおよびゲスト管理者アカウント* に焦点を当てています。
当社は MFA の登録状況と適用設定の両方を評価します。MFA の適用については、次の項目を評価します:
- セキュリティ既定値の状態: テナントでセキュリティ既定値が有効になっているかどうか。
- ユーザー単位の MFA 適用: MFA がユーザー単位で適用されているかどうか。
- 条件付きアクセス（Conditional Access）ポリシー: 条件付きアクセス（Conditional Access）ポリシーの有無と構成。無条件の MFA アクセスポリシーのみが、アカウントを「MFA 適用済み」としてタグ付けするのに十分とみなされます（ポリシーで明示的に除外されている場合を除く）。
スキャン後、潜在的な MFA リスクを持つアカウントのリストが、次のように分類されて提供されます:
- 特権管理者（Priv. Admin）:
テナントに重大な変更を加えることができる特権管理者です。当社は、アカウントに関連するリスクレベルについてより適切なコンテキストを提供するため、管理者の種類を区別しています。当社が「特権」として扱うアカウントのリストは Microsoft に準拠しており、こちらで確認できます: https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference - MFA 登録済み:
このアカウントで多要素認証（MFA）が完全に有効化され、アクティブになっているかどうかを示します。これにより、ユーザーが MFA の登録を正常に完了しているかどうかを確認できます。 - MFA 適用済み:
アカウントに MFA ポリシーが割り当てられているかどうかを示します。これはユーザーが MFA に登録済みであることを確認するものではない点にご注意ください。その情報については「MFA 登録済み」のステータスをご参照ください。 - リスクレベル:
アカウントに関連する全体的なリスクは、次のロジックに基づいて決定されます:
| MFA 適用 アカウントに MFA を適用する設定があるか? | MFA 登録 ユーザーが MFA に完全に登録しており、それが有効/正常であるか? | リスク |
|---|---|---|
| 適用済み | 登録済み | 低（レポートには表示されません） |
| 適用済み | 未登録 | 中 |
| 適用済み | 不明 | 中 |
| 未適用 | 登録済み | 高（管理者の場合）、中（管理者でない場合） |
| 未適用 | 未登録 | 高 |
| 未適用 | 不明 | 高 |
(*) ベータ版の間、Scanner はすべての管理者アカウントの MFA 設定を評価しますが、管理者でないアカウントについては最初の 100 件のみを検証します。
5. アプリのリスクを理解する
このセクションでは、接続されたアプリケーションに付与された権限の詳細な概要を提供します。当社は各権限をそのリスクレベル（低から高まで）に応じて分類し、その分類の根拠を示します。これらはリスクのカテゴリであり、アプリによる特定の悪意ある活動を示すものではないことを理解することが重要です。ただし、各アプリの権限が意図された用途に沿っているか、またアプリが必要以上の権限を要求していないかを確認するため、慎重にレビューしてください。
この分析は、委任された権限（OAuth2PermissionGrants）とアプリケーション権限（AppRoleAssignments）の両方を対象としており、潜在的なリスクを特定し、環境に統合されたアプリについて十分な情報に基づいた意思決定を行うのに役立ちます。
最後に、リスクレベルに関するロジックは、次のお二方の多大なご尽力に基づいています:
Tony Redmond: https://office365itpros.com/2024/02/05/Export-MsIdAppConsentGrantReport/
Merril Fernando: https://github.com/AzureAD/MSIdentityTools/tree/main
6. Defender 連携
Overe Scanner は Microsoft Defender と連携し、アラートおよびインシデントのデータを取得します。この情報は、Microsoft が複数のプロバイダーから収集する集約データを含め、このスキャンセクションに要約されます。
この機能にアクセスするには、有効な Microsoft Defender ライセンスが必要です。具体的には、テナントからインシデントデータを取得するには Defender Plan 2 が必要です。
現在、必要な P2 ライセンスがない場合、Microsoft の API はあいまいなレスポンスを返すため、このセクションが完全に無効になります。当社は、こうした場合でもアラート情報が引き続き利用可能となるよう、回避策に取り組んでいます。