はじめに
クラウド時代のセキュリティ対策として、AWS では GuardDuty が脅威検知の中心的存在といえる。GuardDuty は、AWS 環境のログ（VPC Flow Logs、CloudTrail、DNS ログ、S3 イベントなど）を機械学習や外部の脅威インテリジェンスと組み合わせることで、自動的に不審な振る舞いを検知してくれるシンプルかつ強力なサービスだ。多くの AWS 利用企業にとって、GuardDuty を有効化することは、手軽にセキュリティ基盤を整備できる近道となっている。
では、Azure 環境において同等の機能を備えたセキュリティ構成を組みたい場合、どのようなサービスを選定すればよいのだろうか。Azure はクラウドとしてのサービス領域が広範囲であり、複数のセキュリティソリューションが提供されている。その中でも特に GuardDuty に近い観点で脅威検知を担ってくれるのが、Microsoft Defender for Cloud（旧称 Azure Security Center） である。
Azure Sentinel の位置づけ
一方で、Azure のセキュリティサービスを語るうえで外せないのが Azure Sentinel だ。Sentinel は、SIEM/SOAR（Security Information and Event Management/Security Orchestration Automated Response）機能を備えた総合的なプラットフォームで、ログ相関分析や自動対応を含む高度な運用を実現できる。しかしながら、その分コストも上昇しやすく、運用も複雑になりがちだ。AWS であれば GuardDuty と比較されることが多いが、実は Sentinel は GuardDuty 単体というよりも、Security Hub + GuardDuty + Detective + Macie といった複数サービスを横断的に統合したような機能を提供するイメージに近い。
そのため、「まずは GuardDuty と同等の脅威検知を Azure 側でも実装したい」という場合には、Azure Sentinel まで導入する必要は必ずしもない。より簡潔に Azure リソースを監視し、不審な振る舞いを見つけるなら、Microsoft Defender for Cloud を活用するほうがスムーズなケースが多い。
Microsoft Defender for Cloud（旧称 Azure Security Center）の機能
Defender for Cloud は、Azure リソース全体のセキュリティ態勢を一元管理し、脆弱性評価から脅威検知までをカバーしている。具体的には、VM（Windows/Linux）、コンテナ、Azure App Service、Azure Storage、SQL Database など、さまざまなワークロードに対して以下のような機能を提供する。
セキュリティ評価と推奨事項
- どのリソースがセキュリティ的に弱点を抱えているかを可視化し、改善策（推奨事項）を提示する。AWS でいうと Security Hub におけるベストプラクティス評価や、Inspector に近いイメージ。
脅威検知
- Microsoft が持つ膨大な脅威インテリジェンスや機械学習モデルを活用して、VM やコンテナ、データベースなどの異常挙動を見つけ、アラートを上げる。
- これは GuardDuty のようにスイッチを入れれば一通り不審な挙動を監視してくれる仕組みに近いが、AWS の場合よりも保護対象が細分化されている（Defender for Servers、Defender for Storage、Defender for SQL など）。
コスト面での調整が可能
- 監視したいワークロード単位でプランを選ぶことで、導入範囲とコストをコントロールしやすい。
- GuardDuty は基本的にロギングするイベント量に応じた従量課金だが、Defender for Cloud はモジュールごとの固定料金・従量課金の組み合わせで、料金体系がやや異なる。適切に導入範囲を絞ることで、過剰なコストを防ぐことができる。
GuardDuty と Defender for Cloud を比較する
こうした Microsoft Defender for Cloud の特徴を踏まえると、AWS の GuardDuty と比較すると次のような共通点や相違点が見えてくる。
共通点
- クラウドのログや挙動を自動で監視し、不審なパターンを検知してアラートを発行する。
- 専門的な脅威インテリジェンスや機械学習がバックエンドで動いているため、利用者はスイッチを入れるだけで大まかな検知機能をすぐに利用できる。
- 料金は従量課金形式をベースとし、導入範囲やログ量に応じて変動する。
相違点
- GuardDuty は AWS 向けに特化しており、設定が非常にシンプル。その代わり、詳細な脅威調査には Detective を使ったり、脆弱性評価には Inspector を利用したりといった補完が必要になる。
- Defender for Cloud は、構成としては一つのダッシュボードから脆弱性評価から脅威検知までを網羅しているが、実際にはプランごとに有効化が必要。各ワークロードに最適化されている分、初期の選定やチューニングがやや煩雑になりやすい。
- Azure のもう一つの選択肢である Sentinel は大規模 SIEM としての役割を担うため、GuardDuty と比較するにはややオーバースペックで、コスト面も上がりやすい。脅威検知だけなら Defender for Cloud を優先するケースが多い。
Sentinel を導入しない理由と役割分担
Azure Sentinel は、セキュリティログの相関分析や脅威ハンティング、自動対応（SOAR 機能）までをカバーする強力なサービスだが、GuardDuty のようなピンポイントの脅威検知とは異なる。AWS 全体の総合的な SIEM 機能と比べるのなら、Security Hub や Detective、Macie、さらには外部 SIEM 製品とも合わせた運用規模に近い。
そのため、まずは GuardDuty と同等の仕組みを実現したいだけなら、Sentinel まで導入するとオーバースペックになりやすいし、料金も高額になる可能性がある。Azure のみで運用し、かつログ分析や脅威ハンティングまで踏み込みたい場合には Sentinel が有効だが、「GuardDuty 相当の脅威検知」であれば Defender for Cloud の導入を検討すべきだろう。
結論：Azure で GuardDuty 相当を実装するために
AWS で GuardDuty を使う構成を Azure で再現したいなら、Microsoft Defender for Cloud（旧称 Azure Security Center）を中心に導入するのが定番のアプローチになる。特に VM やストレージ、コンテナなどの各ワークロードに対して Defender プランを有効化し、セキュリティ評価（Security Score） と 脅威検知 の仕組みを利用することで、GuardDuty に近い運用が可能となる。
もし、Azure 上の全リソースや Office 365、オンプレミス環境、さらに他クラウドとの統合的な監視や相関分析を行いたいのであれば、そこに Azure Sentinel を加えて一段階上のレベル（SIEM/SOAR）の運用を目指すこともできる。しかし、GuardDuty の単なる対比という観点では、Sentinel は必ずしも必要ではない。
こうした理由から、「AWS と Azure でほぼ同等の脅威検知の構成を組む」という比較を行う場合は、AWS 側では GuardDuty + Security Hub、Azure 側では Microsoft Defender for Cloud というセットで比較するとわかりやすい。導入のしやすさ、運用のシンプルさ、アラート対応のフロー、そしてコストの考え方などを対比しながら検証すると、それぞれのプラットフォームのメリット・デメリットが明確になるだろう。
おわりに
クラウドが普及し、マルチクラウド戦略を取る企業も増える中、AWS と Azure のセキュリティ機能を比較する場面は多くなっている。GuardDuty と Sentinel はよく引き合いに出されるものの、実際には Sentinel は SIEM/SOAR の領域に踏み込んでおり、GuardDuty とはやや用途が異なる。
そのため、GuardDuty と同等の脅威検知を Azure で行うのであれば、Microsoft Defender for Cloud の脅威検知機能を軸に置くのが最適解となる。この基本方針をもとに、それぞれの特徴やコスト、運用設計を丁寧にすり合わせることで、最適なクラウドセキュリティ環境を整備していくことができるだろう。
