0
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@555hamano(Akr)

徹底比較！ AWS vs Azure 〜30の観点から考える最適なクラウド選び〜 - Day13: セキュリティサービス：セキュリティサービス一覧とそれぞれの違い

0
Posted at

Day13: セキュリティサービス：AWS vs Azure セキュリティサービス徹底比較

皆さん、こんにちは。エンジニアのAkrです。

「徹底比較！ AWS vs Azure」シリーズ、Day13へようこそ。

今回は、クラウドのセキュリティサービスに焦点を当てます。クラウドセキュリティは「責任共有モデル」に基づいており、この理解が適切なセキュリティ戦略の出発点となります。

責任共有モデル：基本理解

クラウドプロバイダーの責任（Security "OF" the Cloud）

  • 物理的なデータセンターのセキュリティ
  • ネットワークインフラストラクチャの保護
  • ハイパーバイザーとホストOSの管理
  • ハードウェアの維持・更新

利用者の責任（Security "IN" the Cloud）

  • ゲストOSの更新・パッチ適用
  • アプリケーションのセキュリティ設定
  • IAM（Identity and Access Management）
  • データの暗号化
  • ネットワークファイアウォール設定

セキュリティサービス分野別比較

1. アイデンティティ・アクセス管理（IAM）

観点 AWS IAM Azure Active Directory
基本アーキテクチャ JSONベースのポリシー設定 グラフィカルUIとルールベース
主要サービス IAM、Organizations、SSO、Cognito Azure AD、B2B/B2C、Conditional Access、PIM
クロスアカウント/テナント クロスアカウントロールで柔軟対応 B2Bコラボレーションで外部組織連携
シングルサインオン AWS SSO (Identity Center) Azure AD統合SSO（Office 365ネイティブ）
多要素認証 MFA デバイス・アプリ対応 豊富な認証方法（SMS、アプリ、FIDO2等）
特権アクセス管理 IAM Roles + 一時的な権限昇格 Privileged Identity Management (PIM)
オンプレミス統合 AD Connector、SAML連携 Azure AD Connect でネイティブ統合
デベロッパー向け Cognito で外部ユーザー管理 Azure AD B2C でカスタマー向けID

AWS IAM 設定例

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": ["arn:aws:s3:::my-bucket/logs/*"],
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": ["203.0.113.0/24"]
        }
      }
    }
  ]
}

Azure AD Conditional Access 設定例

  • 特定の地域からのアクセスのみ許可
  • 多要素認証の強制
  • 危険な兆候検出時の自動ブロック

2. ネットワークセキュリティ

項目 AWS Azure
Web Application Firewall AWS WAF Azure WAF
統合サービス CloudFront、ALB、API Gateway Application Gateway、Front Door
ルール設定 カスタム + マネージドルール カスタム + マネージドルール
料金（基本） Web ACL: $5/月、ルール: $1/月 Policy: $5/月、ルール: $1/月
DDoS保護 AWS Shield Azure DDoS Protection
無料プラン Shield Standard（全リソース対象） DDoS Protection Basic
有料プラン Shield Advanced（$3,000/月） DDoS Protection Standard（$2,944/月）
対象攻撃 Layer 3-7 DDoS攻撃 Layer 3-4 DDoS攻撃
サポート DDoS Response Team 24/7 DDoS専門家による支援
SLA コスト保護保証 攻撃時のクレジット提供
ネットワーク制御 AWS Azure
インスタンスレベル Security Groups（ステートフル） Network Security Groups
サブネットレベル NACLs（ステートレス） Network Security Groups
設定方式 ルールベース 優先度ベース
ログ VPC Flow Logs NSG Flow Logs

3. 脅威検出・分析

機能 AWS Azure
統合脅威検出 Amazon GuardDuty Microsoft Defender for Cloud
分析データソース CloudTrail、DNS ログ、VPC Flow Logs Activity Log、VM ログ、ネットワークログ
機械学習活用 異常検出、脅威インテリジェンス照合 行動分析、異常検出
検出脅威例 暗号通貨マイニング、C&C通信、API異常 マルウェア、ブルートフォース、権限昇格
料金 $4.00/100万イベント サーバー: $15/ノード/月
データ保護・分類 Amazon Macie Microsoft Purview
対象データ S3内の機密データ Azure + オンプレミス + SaaS
検出対象 PII、金融情報、医療情報 PII、機密文書、規制対象データ
分類方法 自動分類 + カスタムパターン 自動分類 + 機密ラベル
統合 Security Hub連携 Microsoft 365統合
SIEM・SOAR AWS Azure
メインサービス パートナーソリューション（Splunk等） Microsoft Sentinel
ネイティブ統合 Security Hub（ダッシュボード） Azure Monitor + Log Analytics
データ収集 CloudTrail、Config、GuardDuty Activity Log、Security Log、Custom
自動対応 Lambda + SNS Logic Apps + Playbooks
料金モデル サービス別従量課金 データ取り込み: $2.76/GB/月

4. データ暗号化・保護

暗号化・キー管理 AWS Azure
キー管理サービス AWS KMS Azure Key Vault
ハードウェアセキュリティ AWS CloudHSM Azure Dedicated HSM
証明書管理 AWS Certificate Manager Key Vault Certificates
シークレット管理 AWS Secrets Manager Key Vault Secrets
料金（KMS/Key Vault） $1.00/キー/月 + $0.03/10,000リクエスト $0.03/10,000オペレーション
HSM料金 $1.60/時間 $3.50/時間
データ分類・ガバナンス AWS Azure
データカタログ AWS Glue Data Catalog Microsoft Purview Data Catalog
データ分類 Amazon Macie Azure Information Protection
ポリシー管理 AWS Config Azure Policy
コンプライアンス追跡 AWS Artifact Service Trust Portal + Compliance Manager
データ系譜 AWS DataBrew（部分的） Microsoft Purview Data Lineage

5. 脆弱性管理・コンプライアンス

脆弱性スキャン AWS Azure
主要サービス Amazon Inspector Microsoft Defender for Cloud
スキャン対象 EC2、ECR、Lambda VM、Container Registry、App Service
スキャン方式 エージェントレス + エージェント エージェント型
脆弱性DB National Vulnerability Database Common Vulnerabilities and Exposures
レポート形式 詳細なJSON/CSV 統合ダッシュボード
料金 $0.15/インスタンス/月 Defender for Serversに含まれる
セキュリティ統合管理 AWS Security Hub Microsoft Defender for Cloud
統合対象 GuardDuty、Config、Inspector等 Defender各種、Sentinel
標準フレームワーク CIS、PCI DSS、AWS Foundational CIS、NIST、Azure Security Benchmark
検出結果形式 ASFF（AWS Security Finding Format） セキュアスコア
サードパーティ統合 100+ セキュリティパートナー Microsoft セキュリティエコシステム
自動修復 Custom Actions Security Playbooks
料金 $0.0030/検出結果 プランに含まれる
コンプライアンス管理 AWS Azure
設定監査 AWS Config Azure Policy
コンプライアンス文書 AWS Artifact Service Trust Portal
認証取得状況 SOC、PCI DSS、ISO 27001、FedRAMP SOC、PCI DSS、ISO 27001、FedRAMP
自動コンプライアンス Config Rules Policy Definitions
違反時の対応 CloudWatch Events → Lambda Policy Effects（拒否・監査・修正）

実践的なセキュリティアーキテクチャ例

AWS セキュリティアーキテクチャ例

Internet Gateway
↓ (AWS WAF + Shield)
Application Load Balancer
↓ (Security Groups)
EC2 Instances (Private Subnet)
↓ (VPC Endpoints)
S3 (Bucket Policies + Macie)
↓
CloudTrail → GuardDuty → Security Hub
↓
SNS → Lambda (自動対応)

設定例

  1. Multi-AZ構成での高可用性
  2. GuardDutyによる24/7監視
  3. Config Rulesによる自動コンプライアンス
  4. Lambdaによる自動修復

Azure セキュリティアーキテクチャ例

Azure Front Door
↓ (WAF Policy)
Application Gateway
↓ (NSG Rules)
Virtual Machines (Private Subnet)
↓ (Service Endpoints)
Storage Account (RBAC + Defender)
↓
Activity Log → Sentinel → Logic Apps
↓
Action Groups (自動対応)

設定例

  1. Availability Setsでの冗長化
  2. Defender for Cloudによる統合管理
  3. Azure Policyによる自動ガバナンス
  4. Logic Appsによる自動化

コスト比較：セキュリティサービス料金

AWS 主要セキュリティサービス料金（東京リージョン）

サービス 基本料金 従量料金
GuardDuty なし イベント分析: $4.00/100万イベント
Inspector なし EC2スキャン: $0.15/インスタンス/月
WAF Web ACL: $5.00/月 ルール: $1.00/ルール/月
Shield Advanced $3,000/月 データ転送料金込み
Security Hub なし 検出結果: $0.0030/検出結果

Azure 主要セキュリティサービス料金（東日本リージョン）

サービス 基本料金 従量料金
Defender for Cloud サーバー: $15/ノード/月 機能により異なる
Sentinel なし データ取り込み: $2.76/GB/月
Azure Firewall $1.25/時間 データ処理: $0.016/GB
DDoS Protection Standard $2,944/月 保護対象リソースごと
Key Vault $0.03/10,000トランザクション キータイプにより異なる

セキュリティ運用のベストプラクティス

共通のベストプラクティス

1. ゼロトラストアーキテクチャ

  • 「信頼しない、常に検証する」原則
  • すべてのアクセスの認証・認可
  • 継続的な監視と評価

2. 多層防御（Defense in Depth）

  • 複数のセキュリティレイヤーの組み合わせ
  • 単一障害点の排除
  • 各レイヤーでの独立した保護

3. セキュリティ自動化

  • インシデント対応の自動化
  • コンプライアンス チェックの自動化
  • 脆弱性管理の自動化

AWS固有のベストプラクティス

Well-Architected Security Pillar

  1. ID基盤の強化: IAMの最小権限原則
  2. Detective Controls: CloudTrail + GuardDuty
  3. インフラ保護: VPC + Security Groups
  4. データ保護: 暗号化 + Key管理
  5. インシデント対応: 自動化されたプロセス

実装例

# GuardDutyの有効化
aws guardduty create-detector --enable

# Security Hubの有効化  
aws securityhub enable-security-hub \
  --enable-default-standards

Azure固有のベストプラクティス

Azure Security Benchmark

  1. ID・アクセス管理: Azure ADの活用
  2. ネットワークセキュリティ: NSG + Firewall
  3. ログ・監視: Sentinel + Monitor
  4. データ保護: Information Protection
  5. 資産管理: Resource Graph + Policy

実装例

# Defender for Cloudの有効化
Set-AzSecurityPricing -Name "VirtualMachines" -PricingTier "Standard"

# Azure Policyの適用
New-AzPolicyAssignment -Name "Require-Tags" -PolicyDefinition $policy

業界別セキュリティ要件への対応

業界 主な規制・標準 AWS 対応サービス Azure 対応サービス
金融業界 PCI DSS、SOX、Basel III Config Rules、CloudHSM、GuardDuty Policy、Key Vault HSM、Sentinel
医療業界 HIPAA、HITECH Macie、VPC、CloudTrail Information Protection、Private Link
政府・公共 FedRAMP、FISMA AWS GovCloud、Inspector Azure Government、Defender
小売業 PCI DSS、GDPR WAF、Shield、Config WAF、DDoS Protection、Policy
教育機関 FERPA、COPPA Cognito、Macie Azure AD B2C、Information Protection

セキュリティインシデント対応

AWS でのインシデント対応フロー

GuardDuty 検出
↓
CloudWatch Events
↓
Lambda 関数 (自動分析)
↓
SNS 通知 (チームアラート)
↓
Systems Manager (自動修復)
↓
Security Hub (証跡記録)

自動化例

  • 不審なインスタンスの自動隔離
  • セキュリティグループの緊急変更
  • フォレンジック用スナップショット作成

Azure でのインシデント対応フロー

Defender/Sentinel 検出
↓
Logic Apps (自動分析)
↓
Action Groups (通知)
↓
Automation Runbook (修復)
↓
Activity Log (証跡記録)

自動化例

  • 感染したVMの自動隔離
  • NSGルールの緊急適用
  • セキュリティチケットの自動生成

新たなセキュリティトレンド対応

ゼロトラスト実装比較

項目 AWS Azure
ネットワークアクセス AWS Verified Access Azure Virtual WAN + Conditional Access
デバイス認証 WorkSpaces + Device Management Azure AD Joined Devices
アプリケーション保護 App Mesh + IAM Azure AD Application Proxy
データ保護 Macie + KMS Information Protection + Key Vault
継続的検証 GuardDuty + Detective Defender + Sentinel

AI・機械学習セキュリティ

AI Security AWS Azure
コードレビュー CodeGuru Reviewer GitHub Advanced Security
脅威調査 Detective（グラフ分析） Sentinel（KQL クエリ）
不正検出 Fraud Detector Cognitive Services Anomaly Detector
画像・動画解析 Rekognition Computer Vision
自然言語処理 Comprehend Text Analytics

セキュリティ成熟度別の選択指針

成熟度レベル 特徴 AWS推奨構成 Azure推奨構成
レベル1：基本 基本的なクラウド移行 GuardDuty + WAF + Security Groups Defender for Cloud + NSG
レベル2：標準 セキュリティ基盤確立 + Inspector + Config + CloudTrail + Sentinel + Policy + Monitor
レベル3：高度 統合セキュリティ運用 + Security Hub + Macie + Detective + Purview + Advanced Threat Protection
レベル4：最適化 ゼロトラスト・自動化 + Organizations + Custom Automation + Management Groups + Full Integration

まとめ：適切なセキュリティプラットフォームの選択

総合比較表

評価項目 AWS Azure 勝者
柔軟性・カスタマイズ性 ⭐⭐⭐⭐⭐ ⭐⭐⭐ AWS
統合性・シンプルさ ⭐⭐⭐ ⭐⭐⭐⭐⭐ Azure
サードパーティ連携 ⭐⭐⭐⭐⭐ ⭐⭐⭐ AWS
Microsoft環境統合 ⭐⭐ ⭐⭐⭐⭐⭐ Azure
オープンソース対応 ⭐⭐⭐⭐⭐ ⭐⭐⭐ AWS
エンタープライズ機能 ⭐⭐⭐⭐ ⭐⭐⭐⭐⭐ Azure
コスト効率 ⭐⭐⭐⭐ ⭐⭐⭐⭐ 引き分け
学習コスト ⭐⭐ ⭐⭐⭐⭐ Azure

選択基準別推奨

組織の特徴 推奨プラットフォーム 主な理由
スタートアップ・中小企業 AWS 柔軟性、無料枠、段階的拡張
Microsoft中心の企業 Azure AD統合、Office 365連携、ライセンス効率
金融・規制業界 AWS 詳細な設定、豊富な認証、カスタマイズ性
政府・公共機関 両方 専用環境（GovCloud/Government）を提供
マルチクラウド戦略 AWS + パートナー サードパーティツールとの親和性
シンプル運用重視 Azure 統合プラットフォーム、一元管理

重要なのは、組織のセキュリティ要件、技術力、予算を総合的に評価し、継続的な改善ができる体制を構築することです。

次回は、データベースサービスに焦点を当て、AWSとAzureのデータベースオプションを比較します。お楽しみに！

参考リンク

0
1
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
0
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?