ホーム ›
対応資格一覧 ›
AZ-500 Microsoft Azure Security Technologies 出題範囲 Manage security operations Manage identity and access Secure data and applications Implement platform protection 例題に挑戦 スキルサートのAIが生成した演習問題のサンプルです。アプリでは毎週新しい問題が追加されます。
例題1 開発チームが一時的に、Azure Storage アカウント内の特定のコンテナに対してのみアクセス権を必要としています。セキュリティを確保し、有効期限が経過した後にアクセス権が自動的に無効になるようにするための、最も適切な方法はどれですか？
ストレージアカウントに「ストレージ BLOB データ共同作成者」ロールを割り当てる コンテナのパブリックアクセスレベルを「BLOB」に変更する サービス共有アクセス署名 (SAS) を生成して提供する Azure 仮想ネットワークのサービスエンドポイントを構成する ストレージアカウントのアクセスキーを提供する 解答と解説を見る 正解: サービス共有アクセス署名 (SAS) を生成して提供する
正解は『サービス共有アクセス署名 (SAS) を生成して提供する』です。共有アクセス署名（SAS）を使用すると、特定のストレージリソース（この場合はコンテナ）への制限付きアクセス権を、特定の期間だけ付与できます。ストレージアカウントキーはアカウント全体への完全な権限を与えるため、最小特権の原則に反します。ロールの割り当ては永続的になりがちで、きめ細かな有効期限の設定には SAS が最適です。SAS を使用することで、キーを公開することなく安全にアクセスを制御できます。
例題2 Azure SQL Database に格納されている顧客データの「メールアドレス」列を、特定のサポート担当者には一部マスクして表示し、管理者には完全な値を表示させる必要があります。どの機能を構成すべきですか？
Azure SQL Auditing 脆弱性評価 (Vulnerability Assessment) 透過的データ暗号化 (TDE) 動的データマスク (DDM) Always Encrypted 解答と解説を見る 正解: 動的データマスク (DDM)
正解は『動的データマスク (DDM)』です。動的データマスク（DDM）は、権限のないユーザーに対して、データベース内の機密データをその場でマスクして表示する機能です。メールアドレスの一部をアスタリスクなどで隠す設定が可能で、アプリケーションレイヤーでの変更を最小限に抑えつつ、データの露出を制限できます。TDE は保存時の暗号化であり、Always Encrypted はクライアント側での暗号化を目的としているため、表示のみを制御する今回の要件には DDM が最適です。
重要用語
Microsoft Sentinel クラウドネイティブのSIEM（セキュリティ情報イベント管理）およびSOAR（セキュリティオーケストレーション自動応答）ソリューションです。Azureやサードパーティからのログを収集・分析し、高度な脅威検出、調査、自動応答を提供します。インシデント管理機能を通じてセキュリティ運用を統合し、効率化できるのが特徴です。
Microsoft Defender for Cloud クラウドセキュリティ態勢管理（CSPM）とクラウドワークロード保護プラットフォーム（CWPP）を統合したサービスです。Azureリソースの推奨設定を提示し、サーバーやコンテナーに対する脅威保護を提供します。セキュリティスコアを通じて、組織全体のセキュリティ状態を把握し改善するために利用されます。
Log Analytics ワークスペース Azure MonitorやMicrosoft Sentinelがログデータを格納し、クエリを実行するための基盤です。異なるソースからのログを一元管理し、KQLを用いた詳細な分析を可能にします。セキュリティ運用においては、ログの保持期間の設定や、アクセス制御（RBAC）によるデータの保護が重要な要素となります。
Kusto Query Language (KQL) Azure MonitorやMicrosoft Sentinelでログデータを検索・抽出するために使用されるクエリ言語です。SQLに似た直感的な構文を持ち、大量のデータから特定のセキュリティイベントを迅速に特定したり、集計したりする際に不可欠です。試験では、アラート条件を定義するためのクエリ作成能力が問われます。
プレイブック (Playbook) Azure Logic Appsをベースとした、セキュリティアラートに対する自動応答手順です。特定のアラートが発生した際に、管理者の承認を得てIPアドレスをブロックしたり、ITサービス管理ツールにチケットを作成したりするワークフローを自動化します。手動運用の負荷を軽減し、一貫したインシデント対応を実現します。
Just-In-Time (JIT) VM アクセス 仮想マシンのRDPやSSHなどの管理ポートを常時開放せず、必要なユーザーがリクエストした時のみ、期間限定でアクセスを許可する機能です。これにより、ネットワーク経由のブルートフォース攻撃などのリスクを大幅に削減できます。Microsoft Defender for Cloudの一部として提供される重要な防御機能です。
Azure Monitor Azureリソースのパフォーマンス、可用性、およびログを収集・分析する包括的な監視ソリューションです。セキュリティ運用では、診断設定を使用してアクティビティログやリソースログをLog Analyticsワークスペースへ送信し、異常検知やコンプライアンスの確認を行うためのデータソースを提供します。
セキュリティ スコア (Secure Score) Microsoft Defender for Cloudが提供する、組織のセキュリティの健全性を数値化した指標です。推奨されるセキュリティ設定の適用状況に基づき算出されます。スコアが高いほどリスクが低いことを示し、提示される推奨事項（コントロール）に従って設定を修正することで、効率的にセキュリティ態勢を強化できます。 AZ-500 Microsoft Azure Security Technologiesの対策はアプリで AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
