WEB問題集
組織のセキュリティ管理者が、Exchange Online のメールや Microsoft Teams を標的とするフィッシングや悪意のある添付ファイルからの保護を強化したいと考えています。図に示す Microsoft Defender XDR のワークロードのうち、この用途に最も適したものはどれですか。
解説
【正解: A】の理由
Microsoft Defender for Office 365 は、Exchange Online のメールや Microsoft Teams、SharePoint、OneDrive といったコラボレーション ワークロードを標的とする脅威からの保護に特化したワークロードです。フィッシングやなりすまし、悪意のある添付ファイルやリンクを、安全な添付ファイルや安全なリンクなどの機能で検出して無害化し、配信の前後で脅威を継続的に評価します。Defender XDR では各ワークロードの検出シグナルが統合インシデントとして相関分析されるため、メール起点の攻撃が他の資産へ広がる経路も単一のポータルで追跡できます。したがってメールと Teams の保護にはこのワークロードが最適です。
【他選択肢が違う理由】
- B: Defender for Endpoint はサーバーやクライアントなどのデバイスを対象とする EDR であり、メール本体の脅威保護は担いません。
- C: Defender for Cloud Apps は SaaS アプリの利用可視化と制御(CASB)が目的で、メールの脅威保護は対象外です。
- D: Defender for Identity はオンプレミスの Active Directory を狙う ID 攻撃の検出が目的で、メールの保護とは役割が異なります。
【参考】
ある組織で、特定の部署の全員へ一斉にメールを送れるように配布グループを新規作成する必要があります。管理者がこの作業を行うのに最も適した管理センターはどれですか。
解説
【正解: D】の理由
配布グループ(配布リスト)は、メールの宛先として複数の受信者をまとめて扱うための Exchange のオブジェクトであり、Exchange 管理センター(EAC)の受信者の管理画面から作成・編集します。EAC ではメールボックスや共有メールボックス、メール対応グループ、メール フローのルールなど、メッセージングに関するオブジェクトを一元的に構成できます。配布グループの作成はメッセージング管理の基本タスクであり、対象の管理センターを正しく選べることが、AB-900 で問われる管理者の運用知識です。したがって Exchange 管理センターが適切です。
【他選択肢が違う理由】
- A: Teams 管理センターはチームやチャネル、会議ポリシーの管理が対象で、メール配布グループの作成場所ではありません。
- B: SharePoint 管理センターはサイトやストレージの管理を担い、メールの配布グループは扱いません。
- C: Microsoft Purview ポータルはデータ保護やコンプライアンスの管理が目的で、配布グループの作成には使いません。
【参考】
各管理タスクを行う適切な管理センターを、ドロップダウンから選択してください。
| ステートメント | 選択 |
|---|---|
|
共有メールボックスを作成する
|
|
|
サイト コレクションのストレージ上限を設定する
|
|
|
会議ポリシーを構成する
|
解説
【正解マッチング】
| 判定対象 | 正解 |
|---|---|
| 共有メールボックスを作成する | Exchange 管理センター |
| サイト コレクションのストレージ上限を設定する | SharePoint 管理センター |
| 会議ポリシーを構成する | Teams 管理センター |
【ポイント】
Microsoft 365 は専門領域ごとに管理センターが分かれており、扱う対象がどのワークロードのオブジェクトかを見極めるのが選択の基本です。共有メールボックスはメールを送受信するメッセージング オブジェクトなので Exchange 管理センターで作成し、サイト コレクションやそのストレージ クォータといった SharePoint 資産の設定は SharePoint 管理センターで行います。会議ポリシーは Teams の通話・会議機能の利用制御にあたるため Teams 管理センターで構成します。対象がメール・サイト・会議のいずれに属するかでポータルが一意に決まり、Microsoft 365 管理センターは全体の入口として各専門センターへ誘導する役割を担います。
【参考】
ある組織では、グローバル管理者などの特権ロールを常時割り当てるのではなく、必要なときだけ一定時間有効化し、承認と監査を伴う運用にしたいと考えています。この要件を満たす Microsoft Entra の機能はどれですか。
解説
【正解: B】の理由
Microsoft Entra Privileged Identity Management(PIM)は、特権ロールを常時割り当てる代わりに、必要なときだけ期限付きで有効化(Just-In-Time のロール昇格)できるようにする機能です。有効化の際には理由の入力や承認、多要素認証を要求でき、すべての昇格操作が監査ログに記録されるため、最小特権の原則を実践しながら特権アクセスのリスクを抑えられます。常時付与された管理者アカウントが侵害されると影響が大きいため、PIM による期限付き・承認付きの昇格は特権アクセス管理の中心的な仕組みです。したがって PIM が要件を満たします。
【他選択肢が違う理由】
- A: SSPR は利用者が自分でパスワードを再設定する機能で、特権ロールの期限付き昇格とは目的が異なります。
- C: Microsoft Entra Connect はオンプレミスと Entra の ID 同期を行うツールで、特権ロールの管理機能ではありません。
- D: 条件付きアクセスはサインイン時の条件に応じてアクセスを制御しますが、ロールの期限付き有効化や承認は提供しません。
【参考】
ある組織が、フィッシングに強い認証方法を導入してパスワードへの依存を減らそうとしています。フィッシング耐性のあるパスワードレス認証として適切なものを2つ選択してください。
解説
【正解: A / E】の理由
フィッシング耐性のあるパスワードレス認証は、利用者が入力した資格情報を攻撃者が盗んで再利用することを困難にする方式です。FIDO2 セキュリティ キーは公開キー暗号方式を用い、対象のサイトに結び付いた資格情報を使うため、偽サイトへ誘導されても認証情報が悪用されにくい構成です。Windows Hello for Business も、デバイスに保護された生体認証や PIN と公開キー暗号を組み合わせ、パスワードを使わずに本人確認を行います。いずれもパスワードや共有シークレットに依存しないため、フィッシングや資格情報の使い回しに強く、最新の認証強化策として推奨されます。
【他選択肢が違う理由】
- B: セキュリティの質問は推測や調査で答えを得られることがあり、強力な認証方法とは言えません。
- C: 通常のパスワードは盗用や使い回しのリスクがあり、パスワードレスでもフィッシング耐性でもありません。
- D: SMS のワンタイム コードはリアルタイムのフィッシングや SIM スワップで盗まれる恐れがあり、フィッシング耐性は高くありません。