Azure Backup × Microsoft Defender for Cloud の脅威検出。復旧ポイントが「脅威は報告されていません」と判定され、ランサムウェア対策が「予防・検知・復旧」で揃った状態。
はじめに
ランサムウェア対策では「データをバックアップしておく」だけでは不十分です。攻撃者はまずバックアップそのものを削除・暗号化しようとするため、バックアップ自体を守る（＝改ざん・削除させない、消しても復元できる）ことが欠かせません。
バックアップ自体を守る主な仕組みは次の3つです。本記事ではこれらを組み合わせてレベルを上げていきます。
- 論理的な削除（ソフト削除）: 削除しても一定期間（既定14日）は復元できる。
- 不変コンテナー（イミュータブル）: 保持期間中の改ざん・削除を禁止する。
- マルチユーザー認可（MUA: Multi-User Authorization）: バックアップ無効化・論理削除の無効化・保持期間短縮などの重要操作に第三者（セキュリティ管理者）の承認を必須にし、単独犯・乗っ取られた管理者による破壊を防ぐ。
Azure Backup は、この「バックアップを保護する」ための機能をコンテナー（Recovery Services コンテナー）単位で備えており、その充足度を セキュリティ レベル（悪い／普通／良い／非常に良い）として可視化してくれます。さらに最近では、Microsoft Defender for Cloud と統合した脅威検出（プレビュー） により、復旧ポイントがランサムウェアに感染していないかを判定できるようになりました。
本記事では、実際の Azure ポータル画面を使って次の流れを追います。
- セキュリティ レベルの定義（悪い→普通→良い→非常に良い）と、各レベルの達成条件
- 「悪い」状態から不変性・論理削除・MUA を有効化してレベルを上げていく流れ
- Defender for Cloud 連携による**脅威検出（ソース スキャン統合）**を有効化し、復旧ポイントの健全性が判定されるまで
本記事の情報は Microsoft Learn の公開情報（2026年7月時点）に基づきます。脅威検出（ソース スキャン統合）は執筆時点でプレビュー機能です。GA 状況は各公式ドキュメントをご確認ください。
TL;DR（先に結論）
- Azure Backup の セキュリティ レベル（悪い／普通／良い／非常に良い）は、MUA と 不変性／論理削除 の組み合わせで決まる。
- MUA・不変コンテナー・論理削除は追加料金なし。これらを有効化すれば、最高の 「非常に良い」 に到達できる（論理削除は secure by default で既定オン。東日本など一部は現在プレビューだが、今後すべてのリージョンで標準化される）。
- 仕上げに Defender for Cloud 連携の脅威検出（Defender for Servers Plan 1/2 が前提）を足すと「検知」が加わり、ランサムウェア対策が 「予防・検知・復旧」 で揃う。
1. Azure Backupのセキュリティ レベルとは（悪い→普通→良い→非常に良い）
Azure Backup は、コンテナーのセキュリティ設定とその中の保護対象データに基づいて、セキュリティ レベルを 4 段階で評価します。本記事では Azure ポータルの表示（悪い／普通／良い／非常に良い）を用います。達成条件は次のとおりです。
| レベル | 位置づけ | 達成条件 |
|---|---|---|
| 悪い | データ保護が不十分 | 要件なし |
| 普通 | 標準的な保護要件向けの基本レベル | マルチユーザー認可 (MUA) を有効化 |
| 良い | 信頼できるデータ保護。既存バックアップを意図しない削除から保護 | 論理的な削除 または 不変コンテナー を有効化 |
| 非常に良い | 包括的な保護。ランサムウェア攻撃からの防御を保証 | 不変性または論理削除がロック/常時オン（解除不可）、かつ MUA が有効 |
補足: レベルは「不変性／論理削除（＝消させない・消えても戻せる）」と「MUA（＝重要操作に二重承認）」という予防と復旧の軸で決まります。後述の Defender 連携による脅威検出はレベルの判定要素ではなく、別軸の「検知」を足す機能です。
2. セキュリティ レベルを上げるには
ここからは、セキュリティ レベルを 「悪い」から「非常に良い」へ引き上げる流れを機能ごとに見ていきます。追加コストのかからない MUA・不変コンテナー・論理削除 を先に実施し、最後に 脅威検出（Defender for Cloud 統合） で「検知」を足します（脅威検出は Defender for Servers Plan 1/2 が前提）。
本検証の環境は次のとおりです。
| 項目 | 内容 |
|---|---|
| 保護対象 | Azure VM（test）1 台 |
| コンテナー | Recovery Services コンテナー（vault557） |
| バックアップ ポリシー | 拡張ポリシー（Enhanced policy） |
| 確認画面 | コンテナーの「プロパティ」／VM バックアップ項目の「概要」 |
2-1. 事前確認（悪い）
まずはコンテナーの [プロパティ] で現状のセキュリティ レベルを確認します。今回の初期状態は セキュリティ レベル「悪い」、不変コンテナーは「無効」、脅威検出（プレビュー）は「Not configured」です。この画面の右側ペインは、後述の脅威検出（ソース スキャン統合）の有効化パネルです。
コンテナー プロパティ。セキュリティ レベル「悪い」＝高度な保護が未設定の状態。
2-2. MUA（マルチユーザー認証）
マルチユーザー認可（MUA） は、バックアップ無効化・論理削除の無効化・保持期間短縮などの重要操作に第三者（セキュリティ管理者）の承認を必須にする機能です。追加料金なしで有効化でき、セキュリティ レベルとは別に必ず実施を推奨します。手順は ① Resource Guard を作成 → ② コンテナーに関連付け です。
① Resource Guard の作成（保護対象の操作）
MUA は Resource Guard というリソースで保護対象の操作を定義します。作成時の [保護された操作] タブで、承認を必須にしたい操作を選べます（既定で主要な操作が保護対象）。なお、「MUA 保護の削除」「論理的な削除またはセキュリティ機能を無効にする」は常に保護され、無効化できません。
Resource Guard で保護する操作の一覧。バックアップ削除・ポリシー変更・保持期間短縮などが承認必須になる。
補足: 本番では分離のため Resource Guard を別サブスクリプション/別テナント（コンテナーと同一リージョン）に置き、バックアップ管理者に Resource Guard への強い権限（Contributor / Backup MUA Admin / Backup MUA Operator）を与えないのが推奨です（本検証は同一サブスクリプション）。
出典: Resource Guard による MUA の構成（Recovery Services コンテナー） / チュートリアル: Resource Guard の作成と MUA の有効化
② MUA の関連付け（Resource Guard）
vault557 の [プロパティ] > [マルチユーザー認可] > [更新] を開き、[リソース ガードで保護する] にチェックして、事前に作成した Resource Guard（コンテナーと同一リージョン）を選択します。関連付け後は、バックアップ無効化・論理削除の無効化・保持期間短縮などの重要操作に第三者の承認が必要になります。
vault557 に Resource Guard を関連付けて MUA を有効化する画面。
2-3. 不変コンテナー
不変コンテナー（イミュータブル） は、保持期間中の復旧ポイントの改ざん・削除を禁止します。[プロパティ] の [不変コンテナー] > [設定] から有効化でき、さらに設定を**ロック（解除不可）**にすると、悪意ある操作による不変性の無効化を防げます。追加料金なしで利用できます。
[不変コンテナー] の設定ペイン。不変性を有効化し、[ロック] で解除不可にできる。論理削除と並ぶ「良い」到達手段で、ロック＋MUA で最高レベルに達する。
不変性の状態は「無効／有効／有効かつロック」の3つです。[ロック（Enabled and locked）] にすると、バックアップに WORM（Write Once, Read Many）ストレージが使われ、設定自体が**不可逆（解除不可）**になります。これにより、悪意あるアクターが不変性を無効化してバックアップを削除することを防げ、コンプライアンス要件にも対応できます。
補足: WORM ストレージの利用は Recovery Services コンテナーで一部リージョンで GA です。東日本（Japan East）・西日本（Japan West） も対応しています。まだ GA でないリージョンでも、ロック済みの不変性バックアップは機能提供後に自動で WORM 対応ストレージへ移行されます（ユーザー操作・データ移動は不要）。
2-4. 論理的な削除
論理的な削除（ソフト削除） は、削除しても一定期間（既定14日）はデータを保持して復元できる機能です。14日までの保持は無料です。secure by default により新規コンテナーで既定オンのため、実際にはコンテナーを作った時点で「良い」から始まります（本検証で新規作成した vault-level-demo も作成直後から「良い」でした）。
新規コンテナー vault-level-demo のプロパティ。論理削除が既定で有効なため、作成直後からセキュリティ レベルは「良い」（不変コンテナーは無効のまま）。
論理削除の設定は [プロパティ] > [セキュリティ設定] > [論理的な削除] から開けます。ここで保持期間（既定 14 日）を調整したり、論理削除を**「常にオン（解除不可）」にロック**したりできます（常時オン＋MUA でさらに上のレベルへ）。
[論理的な削除の設定] ペイン。保持期間の変更や「常にオン」へのロックはここから行う（画面は MUA 有効化後のため、セキュリティ レベルは「非常に良い」）。
補足: secure by default（論理削除の既定有効化・無効化不可）は、Recovery Services コンテナーで一部リージョン（West Central US / East Asia / Australia East / North Europe / East US2）で GA、東日本（Japan East）を含む残りのリージョンはプレビューです。GA・プレビューいずれのリージョンでも論理削除は既定で有効化され、Azure ポータルからは無効化できません。
出典: Azure Backup の論理的な削除による既定でのセキュリティ保護 ― サポートされているリージョン / 拡張された論理的な削除
2-5. 脅威検出
ここまでは「予防・復旧」の強化でした。さらに Microsoft Defender for Cloud と統合した脅威検出 を加えると、復旧ポイントがランサムウェア／マルウェアに感染していないかを判定でき、攻撃時に「クリーンな復旧ポイント」を素早く選べるようになります。
仕組みとしては、Defender for Servers のセキュリティ シグナルとマルウェア スキャンを使い、Azure Backup がスナップショット作成時（＝バックアップで新しい復旧ポイントが作られるタイミング）に復旧ポイントの健全性を評価します。つまり、Defender for Cloud はソース VM を継続的にスキャンし、Azure Backup はその結果を復旧ポイント生成時に取り込んで各復旧ポイントの状態を判定します。
前提条件
- 対象サブスクリプションで Microsoft Defender for Servers Plan 1 または Plan 2 を有効化していること。
- Plan 1: VM で Microsoft Defender for Endpoint (MDE) を有効化。
- Plan 2: エージェントレス マルウェア スキャンを有効化。
- 有効化は Azure VM バックアップ向けのソース スキャン統合で、一度有効にすると無効化できません（一回限りのセットアップ）。
出典: Azure VM バックアップの脅威検出について（プレビュー） / チュートリアル: 脅威検出の構成と VM バックアップの正常性管理（プレビュー）
有効化前: ソース スキャンの統合は「未構成」
VM バックアップ項目の [概要] を見ると、ソース スキャンの統合「未構成」、各復旧ポイントの「最近のスキャンの状態」は 「使用不可」 です。まだ脅威検出が構成されていない状態です。
有効化前。ソース スキャンの統合は「未構成」で、復旧ポイントのスキャン状態は「使用不可（Unknown）」。
有効化操作
コンテナーの [プロパティ] > [セキュリティ設定] > [脅威検出 (プレビュー)] の Update から、事前確認で示したペインを開き、Enable source-scan integration をオンにします。「今後無効にできないことを理解しています」のチェックを入れて 更新 します（[レジリエンシー] の [脅威検出 (プレビュー)] タイルからも構成可能です）。
構成直後: 「構成済み」だが既存の復旧ポイントはまだ「使用不可」
有効化すると、ソース スキャンの統合が 「構成済み」（緑のチェック） になります。ただし、この時点では各復旧ポイントの「最近のスキャンの状態」はまだ 「使用不可」 のままです。
構成直後。統合は「構成済み」になったが、スキャンは有効化後に作成される新しい復旧ポイントに適用されるため、既存の復旧ポイントは「使用不可」のまま。
翌日: 新しい復旧ポイントが「脅威は報告されていません」に
翌日に確認すると、有効化後に作成された新しい復旧ポイントから 「最近のスキャンの状態」が「脅威は報告されていません」（緑） になり、ソース スキャンの概要も「脅威は報告されていません」と表示されました。これで復旧ポイントの健全性が継続的に判定される状態になりました。
翌日。新しい復旧ポイントに「脅威は報告されていません」が付与され、概要も健全（緑）になった。
スキャン状態の読み方
| 区分 | 状態 | 意味 |
|---|---|---|
| 構成 | Configured（構成済み） | ソース スキャン統合が正常に構成済み |
| 構成 | Not Configured（未構成） | まだ構成されていない |
| 構成 | Configuration Failed | 構成エラーで失敗 |
| 概要 | No Threats Reported（脅威は報告されていません） | 直近7日間のすべての復旧ポイントで脅威なし |
| 概要 | Suspicious RPs Found | 直近7日間に1つ以上の疑わしい復旧ポイントを検出 |
| 概要 | Unknown (-) | 未構成・失敗などで判定不能 |
2-6. 事後確認（非常に良い）
MUA を有効化すると、セキュリティ レベルが最高に達します。ポータル UI では最高レベルは「非常に良い」と表示されます（Microsoft Learn の「優秀（最高）」に相当）。本検証では、既に論理削除が有効（既定）な vault557 に MUA を有効化しただけで、論理削除は「有効」のまま（常時オンへのロックは未実施）でレベルが「非常に良い」になりました。
vault557 のプロパティ。MUA 有効化により、セキュリティ レベルが最高の「非常に良い」に到達（不変コンテナーは無効）。
| レベル | 論理削除／不変性 | MUA |
|---|---|---|
| 悪い | どちらも無効 | × |
| 普通 | どちらも無効 | ○ |
| 良い | いずれか有効 | × |
| 非常に良い | いずれかを解除不可でロック（論理削除=常にオン / 不変性=ロック） | ○ |
補足: Microsoft Learn では優秀（最高）の条件として「不変性または論理削除のロック（常時オン/解除不可）＋ MUA」が挙げられています。本検証では MUA の有効化で最高レベルに到達しましたが、より堅牢にするには論理削除の常時オン化や不変コンテナーのロックを併用することを推奨します。
3. コストの観点: 無料の対策から実施する
セキュリティ レベルを上げる各機能のコストは次のとおりです。追加料金がかからない対策から実施するのが効率的です。
| 対策 | コスト | 優先度 |
|---|---|---|
| マルチユーザー認可（MUA / Resource Guard） | 追加料金なし（Azure Backup の課金はバックアップ インスタンス＋ストレージが対象で、MUA・Resource Guard に個別課金なし） | 高（まず実施） |
| 不変コンテナー | 追加料金なし（コンテナーの設定機能） | 高（まず実施） |
| 論理的な削除 | 既定14日は無料、14日を超える保持は通常のバックアップ料金 | 高（既定14日のまま実施） |
| 脅威検出（Defender for Cloud 統合） | Microsoft Defender for Servers Plan 1/2 が前提（Defender for Cloud の有料プラン） | DfS 有効化済みなら実施推奨 |
- MUA・不変コンテナー・論理削除（14日）は無料で、これらだけでセキュリティ レベルを最高の「非常に良い」まで引き上げられます。まずここを固めるのがコスト最適です。
- 脅威検出は DfS（有料プラン）のコストが前提です。すでに Plan 1/2 を有効化している環境なら、少ない追加負担で「検知」レイヤーを足せるため実施を強く推奨します（未導入なら DfS のコストと効果を評価のうえ判断）。
出典: Secure by default（論理削除は14日無料） / Azure VM バックアップの脅威検出（前提: Defender for Servers） ― 料金の詳細は Azure Backup / Defender for Cloud の料金ページで最新をご確認ください。
4. 複数コンテナーを一元管理する（回復性）
セキュリティ レベルは、Azure ポータルの [回復性]（Resiliency） から、サブスクリプションやリソース グループをまたいですべてのコンテナーを横並びで一覧・管理できます。どのコンテナーがどのレベルかを俯瞰し、対策が必要なコンテナーを素早く見つけられます。
[回復性] > [コンテナー]。複数コンテナー（vault557 / vault-level-demo ほか）を横断して一覧・管理でき、各コンテナーのセキュリティ レベルもここから確認・比較できる。
補足: [回復性] の [セキュリティ態勢] では、保護対象データソースごとのセキュリティ レベルを一覧で確認できます。
まとめ
- ランサムウェア対策では、データのバックアップに加えてバックアップ自体を保護することが重要。Azure Backup はその充足度をセキュリティ レベルで可視化する。
- レベルは MUA と 不変性／論理削除で決まる。論理削除は既定で有効なため実際は「良い」から始まり、**MUA を足すと最高レベル「非常に良い」（Learn の「優秀」）**に到達できる。「悪い」「普通」は実環境では現れにくい。
- レベルは「予防・復旧」の軸。Defender for Cloud 連携の脅威検出（プレビュー） を足すと「検知」が加わり、ランサムウェア対策が「予防・検知・復旧」で揃う。
- 脅威検出は Defender for Servers が前提・有効化後は無効化不可・新しい復旧ポイントから適用という3点に注意。
参考リンク
- セキュリティ機能の概要 - Azure Backup
- レジリエンスのセキュリティ レベル
- Azure VM バックアップの脅威検出について（プレビュー）
- チュートリアル: 脅威検出の構成と VM バックアップの正常性管理（プレビュー）
- 不変コンテナーの概要
- 拡張された論理的な削除
- Azure Backup のマルチユーザー認可
- Azure のランサムウェア保護
本記事は GitHub Copilot および Microsoft Foundry を活用して作成されています。内容の正確性については各公式ドキュメントをご確認ください。