[GSA: Internet] 脅威インテリジェンスで悪意のあるサイトへのアクセスを防止する

Last updated at 2026-03-02Posted at 2026-03-01

はじめに

GSA の脅威インテリジェンス (Threat Intelligence) は、GSA を利用しているデバイスが、重大度の高い既知の悪意のあるインターネットの宛先（フィッシングや、マルウェアを拡散している、その他悪意のあることが確認されているようなサイト）にアクセスすることをブロックできます。

脅威インテリジェンスを利用するためには、前提として GSA のインターネットアクセスが動作していることが必要となります。

インターネットアクセス (Microsoft Entra Internet Access) は、下図のような Microsoft Entra Global Secure Access (略：GSA) を実現するための一部の構成要素です。

下図の赤枠部分が「Internet Access」であり、クライアントからインターネットに出る全トラフィックがここを経由します。脅威インテリジェンスはこの経路上で有効になります。

GSA インターネットアクセスについて
以下の記事が GSA インターネットアクセスについてのサマリーとさらに GSA の全体像へジャンプできるようになっています。

[GSA:Internet] Microsoft Entra インターネットアクセスを構成する
https://qiita.com/carol0226/items/ae2bfdb209170fb41bae

本記事のポイント
本記事で紹介する内容は、以下の公開情報の内容をもとに、画面キャプチャ付きで手順を案内しています。

構成に必要となる前提条件も、運用を意識した形でサポートしていますので、安心して導入いただけるような記事になるように努めています。

公開情報：グローバルセキュリティで保護されたアクセスの脅威インテリジェンスを構成する方法
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-threat-intelligence?wt.mc_id=MVP_407731

この記事を読むとわかること：

脅威インテリジェンスが何をブロックするか
脅威インテリジェンスの具体的な動作イメージ
前提条件（TLS インスペクション）の必要性と構成方法
脅威インテリジェンスの設定手順（ポリシー作成〜プロファイル適用）
トラフィックログでの確認方法

脅威インテリジェンスとは？

冒頭で紹介した GSA インターネットアクセスの構成を行うと、デバイスがどこに居ても、インターネット通信は必ず GSA を経由するようになります。必ず通る通過点に関所を設けて悪意のあるサイトへの通信であればその時点でブロックしてしまおうという考え方になっています。

ポイント
脅威インテリジェンスは、GSA インターネットアクセスを導入した環境で、まず最初に有効化を勧めたい機能です。

その他の機能（Web サイトフィルタリング、ファイルポリシー、AI プロンプトポリシーなど）は、業務要件に応じてカスタマイズが必要になりますが、脅威インテリジェンスは業種・規模を問わず、あらゆる環境で適用が推奨されます。

また、Copilot Studio と連携した AI Gateway（エージェント／ユーザー双方の AI 通信を保護）の構成と組み合わせることも可能です。その場合は、エージェントが悪意のあるサイトにアクセスすることも防止できます。

[GSA: Internet] 許可された Copilot Studio エージェントだけが通信できる世界を作る
https://qiita.com/carol0226/items/98e00dc2ee4526315f67

1. 動作イメージ

以下は、悪意のあるサイト（テスト用）に対して実際にアクセスを行った際の画面キャプチャです。
まずは、どのような動きになるのかを見てみましょう。

テストに使用したサイト
https://entratestthreat.com
https://smartscreentestratings2.net

上記の２つのサイトは、以下の公開情報で紹介されているテスト用のサイトを用いています。

公開情報：エンドユーザーポリシーの適用を確認する
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-threat-intelligence?wt.mc_id=MVP_407731#verify-end-user-policy-enforcement

1-1. 実行例

脅威インテリジェンス "なし"

脅威インテリジェンスが無効の場合は、そのままサイトが閲覧できています。

entratestthreat.com：脅威インテリジェンス "なし"

smartscreentestratings2.net：脅威インテリジェンス "なし"

脅威インテリジェンス "あり"

脅威インテリジェンスが有効の場合は、以下のように悪意のあるサイトへアクセスする手前の段階で GSA によってブロックされます。

entratestthreat.com：脅威インテリジェンス "あり"

smartscreentestratings2.net：脅威インテリジェンス "あり"

※URL バーの左の赤色の「危険」は、脅威インテリジェンスではなく、ブラウザの SmartScreen によって表示されています。

なお、脅威インテリジェンスが適用される前にクライアント側でブラウザの機能でブロックされる場合があります。
例えば、以下の画面は Edge の SmartScreen の機能によってブロックされた際の画面です。
このような場合は、黄色枠の箇所「安全でないサイトへの移動を続ける（推奨されません）」を押して先へ進むと、脅威インテリジェンスでブロックされることを確認できます。

脅威インテリジェンスを導入する利点
上記のようにブラウザ側の機能でも脅威のあるサイトへのアクセスを抑止する仕組みが実装されていますが、制御はアプリケーションに依存した状態です。

GSA では、アプリに依存することなくクライアント上のあらゆるアプリに対して悪意のあるサイトへの通信をブロックすることが可能になっている点が特長です。

例えば、セキュリティが脆弱なアプリケーションを PC に導入してしまった場合でも、そのアプリケーションが悪意のあるサイトへ接続しようとしたときに、ブロックすることができます。

2. 前提事項

脅威インテリジェンスを動作させるためには、複雑で多くの前提条件を満たす必要があります。
テスト導入だけでなく、運用展開向けのアイデアも含めた記事にしてありますので、以下の私の記事をぜひ参考にしてみてください。

公開情報：[前提条件]
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-threat-intelligence?wt.mc_id=MVP_407731#prerequisites

2-1. 必須：GSA インターネットアクセスの構成

以下の記事の内容は、脅威インテリジェンスを最低限利用するための必須要件です。
GSA インターネットアクセスが構成されていると、対象となるクライアントデバイスからの通信を制御できるようになります。

[GSA:Internet] Microsoft Entra インターネットアクセスを構成する
https://qiita.com/carol0226/items/ae2bfdb209170fb41bae

2-2. 必須：DoH 無効化・QUIC 無効化・IPv4 優先

以下の記事の内容は、脅威インテリジェンスを最低限利用するための必須要件です。
GSA インターネットアクセスの構成に加えて、DoH 無効化・QUIC 無効化・IPv4 優先を構成する必要があります。

[GSA : Internet] 前提条件のすべてを満たす構成
https://qiita.com/carol0226/items/613214a52fdc2aff77cf

2-3. 強く推奨：TLS インスペクション

公開情報では、「省略可能」と書かれていますが、私としては導入を強く推奨します。
脅威インテリジェンスによる、悪性 URL / C2 通信の検知精度を向上させることができます。

[GSA : Internet] TLS インスペクションを構成する完全ガイド（AD CS 対応）
https://qiita.com/carol0226/items/9cda8cfa8c6b437f1161

注意
上記の前提条件の構成を行っていないと、後述する脅威インテリジェンスを構成しても機能せずに、サイトがブロックされずにすり抜けてしまいます。必ず実施してください。

3. 作業の概要

脅威インテリジェンスは、ルール作成とプロファイルへのリンクによって動作します。

3-1. 脅威インテリジェンスのルール作成
3-2. プロファイルへルールをリンクする
3-3. 脅威インテリジェンスの動作確認
3-4. 例外サイトの追加

3-1. 脅威インテリジェンスのルール作成

本章は以下の公開情報の内容をもとに、画面キャプチャ付きで手順を案内しています。

公開情報：脅威インテリジェンスポリシーを作成する
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-threat-intelligence?wt.mc_id=MVP_407731#create-a-threat-intelligence-policy

1．グローバルセキュアアクセス管理者として Microsoft Entra 管理センターにログインします。
https://entra.microsoft.com

2．グローバルセキュアアクセス > 安全 > 脅威インテリジェンスポリシー の順に参照します。
＋ポリシーの作成 を選択します。

3．基本情報 タブで、ポリシーの名前と説明を入力します。
次へを選択します。

4．ポリシー設定 は、現時点（2026/3/1) では、カスタマイズできる項目がないため、このまま次へを押します。

5．レビュー タブで最終確認を行い、作成を選択します。

6．以下のように一覧に表示されれば OK です。

3-2. プロファイルへルールをリンクする

前章で作成したルールは、まだ機能する段階ではありません。
プロファイルへリンクすることで初めて機能するようになります。

プロファイルには、ベースラインプロファイルとセキュリティプロファイルの２通りがあります。

ベースラインプロファイルは、全ユーザー共通に適用されるルールですが、セキュリティプロファイルは条件付きアクセスを使って、適用するユーザー・場所・クラウドアプリなどを個別に指定することが可能です。

それぞれの設定が、階層構造で参照しあっているため、１つでも欠けてしまうと採用されないルールとなってしまうため注意してください。

具体的な手順は、以下の私の記事で説明しています。

[GSA : Internet] ポリシーを適用するためのプロファイル設定まとめ
https://qiita.com/carol0226/items/1d9fa23904947c8598fd

以下のキャプチャは、ベースラインプロファイルに適用した場合の画面なので、参考としてください。
既存の脅威インテリジェンスポリシー を選択します。

割り当てる脅威インテリジェンスのポリシーを、事前作成したものの中から選択します。

以下のように、プロファイルにポリシーがリンクされれば OK です。

3-3. 脅威インテリジェンスの動作確認

以下の通り、Internet アクセスが Connected になっているクライアントマシンでテストを行います。

このタイミングで、前提条件を満たした GSA クライアントから、１章（動作イメージ）で示したサイトへアクセスし、実行例で示した振る舞いが確認できれば OK です。

１章を見れば手順が分かるほどシンプルですので、本章での手順の掲載は割愛します。

続けて、次章では脅威インテリジェンスで出力されたログの確認方法を紹介しています。

3-4. 例外サイトの追加

問題がないことが確認できているサイトなのに、脅威インテリジェンスによってブロックされてしまう場合は、以下の方法で例外設定を行います。

1．前章で作成したポリシーを一覧から選び編集で開きます。

2．以下の表示になるので、＋ルールの追加 を押します。

3．以下の画面の通りに入力します。
この画面の設定では entratestthreat.com のサイトをブロック対象から外す構成になります。

4．ルールを追加すると、以下のように一覧に追加されます。

5．テストを行ってください。
以下の通り、例外に指定したサイトはブロックされなくなりました（左側）
同じタイミングで悪意のあるサイト（右側）はブロックされています。

公開情報：許可リストを構成する (省略可能)
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-threat-intelligence?wt.mc_id=MVP_407731#configure-your-allow-list-optional

4. 脅威インテリジェンスポリシーのログ

4-1. ログの参照方法

脅威インテリジェンスによってブロックされた場合には、トラフィックログ に出力されています。
以下の手順で、目的のログを表示させることができます。

ポイント
トラフィックログは、デフォルトの表示のままでただ眺めていても何だかわかりません。
目的のフィルタリングポリシー名でフィルタすると気づきが得られる表示に早変わりします。

1．左ペインのメニューから監視を開き トラフィックログ の画面を表示させます。
トランザクション のタブを選び、フィルターを追加する から フィルタリングポリシー名 を選択します。

2．以下の欄には作成したポリシー名（以下は "Threat Intelligence Policy" という名前を想定）と入力して適用を押します。

3．以下のように脅威インテリジェンスでブロックされた際のログが抽出されます。
これで、どのようなサイトが脅威インテリジェンスに引っかかったのかが一目瞭然となります。

4．上記の一覧から、任意の１行を選択すると、以下のような詳細画面が表示されます。

画面上に見えているのは、一部のため下スクロールするとさまざまな情報が記録されています。
大項目だけの表示にすると、以下のようになります。

ポイント
詳細表示の中で気になった項目があれば、トラフィックログの "列" を追加すればその値を一覧に加えることができます。これも便利な機能なので、覚えておきましょう。

おすすめ設定
脅威インテリジェンスの場合は、以下の列を追加すると見やすくなるのではないかと思います。
・TLS アクション
・ルール名のフィルター処理
・脅威の種類（この列を見ると、どのような脅威として判定されたのかが判ります）

※なお、ここで追加した列は、保持されないみたいなので、ログを見る都度設定が必要になります。ここは改善要望を出したいところですね。

4-2. ログの分析結果（Copilot 丸投げ）

ログ内容の分析でお勧めは、Copilot に内容を丸投げすることです。
詳細欄のテキストをすべてコピーします。それをそのまま Copilot に貼り付けると分析してくれます。

分析結果は、そのまま以下に貼り付けておきますね。

Copilot 分析結果

エグゼクティブサマリー

結論: ユーザー avdtest の端末（Windows 11、msedge.exe）から https://entratestthreat.com/ への HTTPS アクセスが、GSA の Threat intelligence Policy によりブロックされました（HTTP 403）。
このポリシーは、Microsoft と一部サードパーティの脅威インテリジェンスを用いて既知の高深刻度の悪性宛先を自動遮断する機能です。
検知種別: ThreatType = MaliciousUrl。
さらに TLS インスペクションが有効で、エッジで暗号化トラフィックを復号・検査後に再暗号化する Intercepted 動作が成功しています。
影響: 実通信は成立せず、受信 24.92KB / 送信 0B にとどまりました。ユーザー側はブロックページ/403 を受けたと推測され、感染や流出などの実害は未発生と判断します。
処理拠点: GSA の Japan East（東京）PoP で処理されています。Japan East は GSA の公式 PoP として公開されているロケーションです。

事象の時系列とコンテキスト

時刻: 2026/03/01 18:00:17（JST）
ユーザー/端末: avdtest（UPN: avdtest@carol226.com）／Windows 11 Pro 10.0.26200／デバイス ID: f3b7…7543
プロセス: msedge.exe（UA: Edge/145）
トラフィック種別: Internet（HTTPS/TCP, IPv4）
宛先: FQDN entratestthreat.com、URL https://entratestthreat.com/（Webカテゴリ: ComputersAndTechnology）
ポリシー評価:
・フィルタリングポリシー: Threat intelligence Policy（プロファイル: GSA Security Profile）
・ルール: Default threat intel rule
・アクション: Block（操作ステータス: Success）
・ThreatType: MaliciousUrl
TLS: TLS policy TLS inspection policy により Intercepted / Success（復号・検査の成功）。
ネットワーク観測: 受信 24.92 KB、送信 0 B、HTTP ステータス 403（ブロックページや中間応答に起因する小サイズ受信と整合）。

補足: ログの「宛先ポート: 0」は、接続確立前や中間でブロックされたケースで 5-tuple の一部が確定しない/記録されない場合に見られることがあります（観測上の所見）。GSA のトラフィックログはセッション→コネクション→トランザクションの3層構造で、詳細は管理センターの [Global Secure Access > Monitor > Traffic logs] から確認できます。

技術的評価（なぜブロックされたか）

Threat Intelligence にヒット
GSA の Threat intelligence ポリシーは、Microsoft および第三者のインテリジェンスフィードに基づき、既知の高深刻度の悪性ドメイン/URLをブロックします。本件はデフォルトの TI ルールに一致し Block されています。
TLS インスペクションの有効化
ログの TLS Action: Intercepted から、組織で TLS インスペクションが有効であり、HTTPS のペイロード/URL 単位で評価が行われたことがわかります。TLS インスペクションを有効にしない場合、FQDN レベルでの一致に限定される点に注意が必要です。
PoP/リージョン
トラフィックは Japan East（東京）PoP で処理。GSA は各リージョンの PoP を経由して検査・制御を実施します。

リスク評価

脅威レベル: 中（試行あり / 防御成功）
実際の到達前にブロックされ、送信 0B かつ HTTP 403 で終了しているため、侵害の可能性は低いと評価します。ただし、悪性宛先へのアクセス試行が発生した事実は、ユーザー行動・誘導（フィッシング等）・誤クリック・テスト行為のいずれかを示唆します。
ユーザー影響: 低（アクセス不可・403 表示）

追加観点（監査・可視化）

ログの見方
管理センターの Traffic logs は、誰が・どこへ・どのポリシーで・どう処理されたかを時系列/詳細で確認できます（セッション/コネクション/トランザクション）。
PoP 一覧
Japan East（東京）は GSA の公式 PoP に含まれます。
TLS インスペクション
TLS インスペクションは、エッジで HTTPS を復号・検査し再暗号化することで、URL 単位の評価や高度な制御（コンテンツフィルタ、マルウェア検査等） を可能にします。

再発防止と運用推奨

ユーザー確認
当該アクセスが意図的なテストなのか、誤クリック/フィッシング誘導なのか、ユーザー (avdtest) にヒアリングしてください。必要に応じてセキュリティ教育を実施。
ポリシー/プロファイルの健全性確認
Threat intelligence ポリシーとセキュリティプロファイルのリンク（優先度・適用範囲）を点検。
TLS インスペクションの証明書配布・バイパス対象（金融/医療など）を定期レビュー。
例外ハンドリング
誤検知や業務上必要なドメインがブロックされた場合は、許可リスト（Allow ルール）　を上位プロファイルに編成し、優先度と適用範囲を厳格に管理します。
監視の強化
ダッシュボード/ログで「TI ブロック上位宛先」「ユーザー別ブロック回数」を可視化し、傾向把握・教育対象の抽出を行います。

5. まとめ

本記事では、Microsoft Entra Global Secure Access（GSA）の脅威インテリジェンスを利用して、デバイスから悪意のある宛先へ通信が行われる前にブロックする仕組みについて解説しました。

脅威インテリジェンスは、GSA インターネットアクセスの構成に加え、DoH/QUIC 無効化や IPv4 優先、さらに TLS インスペクションとプロファイルへのリンク設定が揃って初めて正しく機能します。

特に TLS インスペクションは検知精度を大きく向上させる重要な構成で、未設定の場合は URL レベルの評価が行えず、悪性判定がすり抜ける可能性があります。

実際の動作検証では、既知の悪性サイトへのアクセスが GSA によって確実にブロックされ、ブラウザやアプリケーションに依存しない保護が実現できることを確認しました。

また、トラフィックログを活用することで、どのアクセスがどのポリシーによって遮断されたのかを詳細に把握でき、運用上の可視化やインシデント対応にも大きく貢献します。

脅威インテリジェンスは、GSA による安全なインターネットアクセスを実現するうえで中心的な役割を担う機能です。今後、カスタマイズ性の強化や脅威分類の拡充が進むことで、より高度なネットワーク防御が可能になることが期待されます。

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up