Azure 上に構築した Web アプリケーションや業務システムのセキュリティを確かめる方法として、ペネトレーションテスト（侵入テスト）の実施を検討する企業が増えています。攻撃者と同じ視点で実際にシステムへ侵入を試み、設定の不備や権限の抜け道を洗い出す手法です。
一方で、クラウドは自社のデータセンターと違い、Microsoft の設備基盤を利用する前提のサービスです。そのため「自社のシステムとはいえ、勝手にテストして利用規約に触れないのか」「Microsoft への事前申請が要るのではないか」という不安から、着手をためらうケースも少なくありません。
結論から言えば、Azure の自社リソースに対するペネトレーションテストは、2017年6月以降 Microsoft への事前承認・通知が不要になっています。ただし、守るべきルール（交戦規則＝Rules of Engagement、ROE）と、テストしてよい範囲の線引きがあります。
本記事では、事前申請の要否・許可されるテストと禁止されるテストの違い・責任共有モデルで自社がテストできる範囲を整理します。あわせて、外部に委託する場合の頼み方と費用の目安、Entra ID（旧 Azure AD）で押さえておきたい観点、自社で対応が難しいときに頼れる診断サービスまで解説します。
目次
一括ダウンロードする
Azureのペネトレーションテストに Microsoftへの事前申請・通知は必要か
自社が所有する Azure リソースへのペネトレーションテストについて、Microsoft への事前承認・通知は必要ありません。ただし、通知が不要になった代わりに、公開されている交戦規則（Rules of Engagement、ROE）に従う必要があります。この点は、Microsoft 公式ドキュメントで次のように明記されています。
これを行うためにMicrosoftの事前承認は必要ありませんが、公開されたルールに従う必要があります。
2017 年 6 月 15 日時点で、Microsoft は Azure リソースに対する侵入テストを実施する際に事前承認を求めなくなりました。 このプロセスはMicrosoft Azureにのみ適用され、他のMicrosoft Cloud Serviceには適用されません。
出典：侵入テスト｜Microsoft Learn
ここで押さえたいのは、「事前承認が不要」とは「何をしてもよい」という意味ではないことです。次章で解説するとおり、許可される行為と禁止される行為が ROE で定められており、その範囲を守ることが着手の前提になります。この取り扱いは Azure にのみ適用され、ほかの Microsoft Cloud Service には当てはまりません。
許可されるテストと禁止されるテストの線引き
交戦規則（ROE）では、許可されるテストと禁止されるテストが明確に分かれています。それぞれ順に見ていきましょう。
許可されるテスト
自社がホストするアプリケーションやサービスに対しては、事前の承認なしに侵入テストを実行できます。Microsoft 公式ドキュメントでは、実行できる標準的なテストとして次のような手法が挙げられています。
- エンドポイントのテストによる、OWASP トップ10 の脆弱性の洗い出し
- Web アプリケーションや API に対する動的アプリケーションセキュリティテスト（DAST）
- エンドポイントのファズテスト（想定外の入力を与えて異常を探す手法）
- エンドポイントのポートスキャン
これらは代表例で、Microsoft 自身も「一覧は例示であり網羅的ではない」と明記しています。実施できる対象は、あくまで自社のテナントや、明示的な許可を得た資産に限られる点が前提です。
禁止されるテスト
一方、承認の有無に関係なく禁止される行為も明確に定められています。特に DDoS 攻撃は、あらゆる状況で厳しく禁止されています。
承認に関係なく、次のアクティビティは許可されません。
・DoS を決定、デモンストレーション、またはシミュレートするテストを含め、あらゆる種類のサービス拒否 (DoS) テスト。 DDoS 攻撃は、あらゆる状況で厳しく禁止されています。
・所有していない、またはテストする明示的な許可を得ていない Azure のテナント、システム、ログ、データ、またはストレージ アカウントにアクセスしたり、スキャンしたり、テストしたりすること。
・独自ではない資格情報またはその他のシークレットを使用、アクセス、または取得する。
・過剰なトラフィックを生成するネットワーク集中型のファジーまたは自動テスト。
・Microsoft従業員を対象とするフィッシング攻撃またはソーシャル エンジニアリング攻撃。
出典：侵入テスト｜Microsoft Learn
このほか、Microsoft のオンラインサービスに対する侵害後・エクスプロイト後の行動も禁止されています。具体的には、内部ネットワークの探索やシークレットの抜き取り、横展開などが該当します。上記は代表例で、正式な権威ある情報源は ROE である点にも注意が必要です。委託先を選ぶ際は、これらのルールを理解している事業者かどうかも確認したい観点になります。
DDoS耐性テストは別ルート（Microsoft承認のシミュレーションパートナー経由）
DDoS テスト自体は禁止されていますが、DDoS への耐性を確かめたい場合には例外的な方法が用意されています。Microsoft が承認したシミュレーションパートナーを利用すれば、侵入テスト規則に違反しない、制御された DDoS シミュレーションを実施できます。
Microsoft 公式ドキュメントで案内されている承認パートナーは、MazeBolt・Red Button・RedWolf の3社です。自社で負荷をかけるのではなく、こうしたパートナー経由で実施する点が、通常のペネトレーションテストと異なる重要な分岐になります。
自社でテストしてよい範囲（責任共有モデル）
クラウドのセキュリティは、Microsoft と利用者が責任を分担する「責任共有モデル」で考えます。物理的な基盤は Microsoft が担い、利用者は自社で構成・運用する部分に責任を負います。ペネトレーションテストでも、自社が責任を持つ範囲が検査の対象になります。デプロイ形態（IaaS／PaaS／SaaS）によって、責任の境界は次のように変わります。
| 責任領域 | IaaS | PaaS | SaaS |
|---|---|---|---|
| 顧客データ | 利用者 | 利用者 | 利用者 |
| 構成と設定 | 利用者 | 利用者 | 利用者 |
| IDとユーザー | 利用者 | 利用者 | 利用者 |
| アプリケーション | 利用者 | 共有 | 共有 |
| ネットワーク制御 | 利用者 | 共有 | Microsoft |
| オペレーティングシステム | 利用者 | Microsoft | Microsoft |
| 物理ホスト／ネットワーク／データセンター | Microsoft | Microsoft | Microsoft |
出典・参考資料（1件）
Microsoft は、デプロイ形態に関わらず「顧客データ」「構成と設定」「ID とユーザー」「アクセス管理（RBAC＝役割ベースのアクセス制御・多要素認証・条件付きアクセスなど）」は常に利用者の責任だと示しています。この常に利用者が責任を負う範囲が、自社でペネトレーションテストや脆弱性診断の対象にできる中心的な領域です。
表で「共有」とある行（PaaS・SaaS のアプリケーションやネットワーク制御）は、自社が実装・設定したアプリケーション部分は自社のテスト対象にできる一方、プラットフォーム自体の実装は Microsoft の領域です。自社の構成が IaaS か PaaS かに当てはめて、どこまでをテスト範囲とするかを切り分けます。
ここでの「責任」は設定・運用・監視の役割分担を指すもので、法的な帰責や契約条件を定めるものではない点も、公式ドキュメントに明記されています。
自社がテスト対象にできる主な項目
責任共有モデルを踏まえると、自社で検査できる主な項目は次のように整理できます。
- 認証・アクセス管理： Entra ID の権限設定やアクセス制御（詳しくは後述の Entra ID の観点を参照）
- ネットワーク： ネットワークセキュリティグループ（NSG）やファイアウォールの設定、公開されているポート
- アプリケーション： 自社が開発・運用する Web アプリケーションや API の脆弱性
- 構成の不備： ストレージの公開範囲や仮想マシンの設定など、クラウド設定の誤り
逆に、ハイパーバイザーや物理基盤、PaaS／SaaS の OS・ミドルウェアといった Microsoft 側の責任範囲は、自社でのテスト対象にはできません。
一括ダウンロードする
外部に委託するときの頼み方と費用の目安
自社で責任を負う範囲なら自社でもテストできますが、攻撃者視点での深い検証には専門知識と工数がかかるため、外部の専門事業者に委託する企業も多くあります。自社で進める場合は、まず検証環境を用意するか影響の少ない時間帯を選び、テスト計画を立ててから実施するのが安全です。以下では、外部委託を前提に、頼み方・費用・ベンダーの見極め方を整理します。
委託時の扱い（契約・委託先の明示）
マネージドセキュリティサービスプロバイダーやコンサルティング会社など、第三者に委託する場合も、Microsoft への事前申請は不要です。ただし、委託にあたっては発注側が委託先に書面で承認を与え、その内容をサービス契約に明記する必要があります。
第三者(マネージドセキュリティサービスプロバイダー、コンサルティング会社、レッドチームなど)も、リソース所有者からの明確な書面による承認があればテストできます。 テストを開始する前に、サービス契約でその承認を文書化します。 Microsoftは、顧客に代わって承認を付与しません。
出典：侵入テスト｜Microsoft Learn
Microsoft は顧客に代わって承認を付与しないため、委託先が誰のどのリソースをテストするのかを、発注側が責任を持って取り決める必要があります。契約書に対象範囲・実施期間・連絡体制を明記しておくと、トラブルを避けやすくなります。
費用の目安
ペネトレーションテストや脆弱性診断の費用は、対象のシステム規模・手法・診断の深さによって大きく変わります。料金を公開しているサービスの例では、診断の種類ごとに次のような水準が目安になります。
- ソースコードを読み取る静的診断：15万円程度から
- API などへの動的診断：対象のエンドポイント数に応じて30万円程度から
- Web アプリケーションのペネトレーションテスト：60万円程度から
- ネットワーク全体のペネトレーションテスト：100万円程度から
上記は、ある診断サービスの担当者インタビューで示された料金例です。事業者によってはより高めの水準を示すこともあり、Azure を対象にした別の診断事業者の公開例では、脆弱性診断が120万円程度から、ペネトレーションテストが150万円程度からとされています。
出典・参考資料（2件）
料金は手法の深さ・手動工程の比率・対象範囲で幅があります。高度なテストは料金を公開せず要見積もりとする事業者も多いため、1社の料金を相場と決めつけず、複数社から見積もりを取って対象範囲と単価の内訳を比較することが大切です。
対象システムの規模や診断手法ごとの費用感をさらに詳しく確かめたい場合は、料金の内訳や見積もりの取り方を整理した以下の記事が参考になります。
ペネトレーションテストの費用相場｜対象別・規模別の料金と見積もりの取り方
監査対応や取引先からのセキュリティ質問票、あるいは経営層からの一言をきっかけに、ペネトレーションテストの発注を検討することになった――そんなとき、まず知りたいのは「いくらぐらいかかるのか」の具体的な金額の当たりです。 ところが検索結果には「…
ベンダー選びの観点
委託先を選ぶときは、価格だけでなく診断の質を見極めたいところです。次の観点を確認しておくと、自社に合った事業者を選びやすくなります。
- Azure・Entra ID の知見： クラウド固有の設定や ID 周りの検査経験があるか。Azure の構成を理解していないと、クラウドならではのリスクを見落としやすくなります。
- 報告書の質： 検出した脆弱性のリスクレベル・再現手順・推奨対策まで記載されるか。社内の是正や稟議に使える粒度かを確認します。
- 再診断の有無： 対策後に修正が反映されたかを確かめる再診断が含まれるか。やりっぱなしにならない体制かが分かれ目です。
Entra ID（旧Azure AD）で委託前に押さえておきたい観点
Azure の認証基盤である Entra ID は、クラウド環境で標的になりやすい領域です。ID が乗っ取られると、ネットワークの防御を越えて内部へ侵入される恐れがあるため、診断でも重点的に確認したいポイントになります。攻撃手法そのものを追うのではなく、Microsoft が公式に提供する機能が適切に効いているか、という観点で押さえておくと委託時の論点を整理しやすくなります。
- 条件付きアクセス： 「特定の条件を満たす場合は多要素認証を求める」といった if-then 形式のポリシーで、アクセスを制御する機能です。想定したポリシーが実際に適用されているかを確認します。
- Microsoft Entra ID Protection： 匿名 IP アドレスの使用、パスワードスプレー攻撃、漏洩した資格情報といった ID に関するリスクを検出・調査・修復できる機能です。危険なサインインを検知できる状態になっているかを確認します。
あわせて、委託前に自社でも次のような設定を点検しておくと、診断で見るべき論点を委託先と共有しやすくなります。
- 不要になった強い権限（グローバル管理者など）が付与されたまま残っていないか
- 多要素認証を回避できる古い認証方式（レガシー認証）が無効化されているか
- 退職者やゲストユーザーのアカウント・権限が適切に整理されているか
Entra ID 参加端末のトークン（PRT＝Primary Refresh Token）の悪用といった高度な攻撃も、こうした検出の仕組みが機能しているかという観点で捉えると、委託前に確認すべき点が明確になります。委託先には、こうした Azure 固有の ID 周りの検査に対応できるかを事前に確認しておくとよいでしょう。
出典・参考資料（2件）
自社で対応が難しい場合に頼れる脆弱性診断・ペネトレーションテストサービス
Azure 環境のセキュリティ対策には、大きく2つのアプローチがあります。1つはクラウドの設定の誤りを継続的に検査する SaaS 型のツール、もう1つは専門家が実際に侵入を試みるペネトレーションテストです。本格的な侵入検証を求めるならペネトレーションテスト型、日々の設定ミスを継続的に潰したいなら SaaS 型と、目的に応じて使い分けると効果的です。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス |
|---|---|---|
| 提供形態 | SaaS型ツール （自動スキャンを継続実施） | 専門家による受託診断 （AI診断＋専門家確認） |
| 主な診断対象 | ソースコード／ クラウド設定（CSPM）／ 依存ミドルウェア／ Webアプリ（DAST） | Webアプリ・API／ ソースコード／ ネットワーク |
| Azure対応 | ●クラウド設定（CSPM）で Azureに対応 | ●Azure上のWeb・API等を 診断 |
| 料金の目安 | 月額サブスク型 月5万円台〜 （無料プランあり） | 手法別の公開料金 静的15万円〜／動的30万円〜 Webペネトレーションテスト60万円〜 ネットワーク100万円〜 |
| こんな企業・用途に向く | 内製開発でクラウド設定の 不備を継続的に検査したい企業 | 専門家に実際の侵入可否まで 確かめてほしい企業 |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
1. Aikido Security（株式会社AndGo）
Aikido Security は、ソースコード診断・クラウド設定の検査・依存ミドルウェアの脆弱性チェックをひとつの画面にまとめたオールインワンの脆弱性診断 SaaS です。開発会社・開発部門に向けて、分断しがちなセキュリティ診断を一元的に運用できるようにしています。
Azure 環境との関わりで特徴的なのが、クラウドセキュリティ態勢管理（CSPM）の機能です。AWS・Azure・GCP などのクラウド設定を検査し、外部から侵入されかねない設定の不備を見張ります。単発のペネトレーションテストでは拾いきれない、日々の設定変更にともなうリスクを継続的に潰したい場合に適しています。
検出した脆弱性に対しては、修正案のドラフトを作成してプルリクエストまで出せるオートフィックス機能を備え、発見から修正までをつなげやすい設計です。料金は診断1回ごとの課金ではなく、月額固定のサブスクリプション型で、無償のトライアル環境も用意されています。ベルギー発の製品ですが、株式会社AndGo が日本窓口として日本語での導入・運用を支援します。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
Web アプリケーションや API に対して、静的診断・動的診断・ペネトレーションテストの3つの手法を提供するのが CoWorker 脆弱性診断サービスです。実際のシステムに仮想的な攻撃を仕掛け、どこまで情報を取得できるかを確かめるペネトレーションテストまで、専門家が対応します。
特徴は、自社開発の AI 診断システム「Red Agent」を用いる点です。膨大な検査パターンを高速で処理することで、従来と比べて診断スピードを高め、その分の工数を専門家の確認に充てています。AI が判断に迷った箇所は明示し、最終的に人の目で承認するフローを取ることで、スピードと精度の両立をはかっています。
料金は手法ごとに示されており、ソースコードの静的診断から本格的なペネトレーションテストまで、費用の目安は前述の「費用の目安」で挙げた水準です。従来は年1回やリリース直後に限られがちだった診断を、四半期や月単位で定期的に実施したい企業にも向いています。
こうした定期的な診断が必要になってきた背景について、CoWorker株式会社の一ノ瀬氏は、攻撃側の変化を次のように述べています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
ここで取り上げたのは代表的な2サービスです。診断方法ごとの費用相場や、自社の目的に合う診断サービスの選び方まで含めて幅広く比較したい場合は、以下の記事もあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
Azure の自社リソースに対するペネトレーションテストは、2017年6月以降 Microsoft への事前承認・通知が不要です。ただし、交戦規則（Rules of Engagement、ROE）の遵守が前提で、DoS・DDoS をはじめとする禁止行為の線引きを守る必要があります。
実施にあたっては、以下のポイントを押さえておくと安心です。
- ルールの確認： 事前承認は不要だが ROE に従う。DDoS 耐性テストは承認パートナー経由という別ルートで実施する。
- 範囲の見極め： 責任共有モデルで自社が責任を負う構成・設定・ID・アプリケーションがテスト対象。基盤は Microsoft の責任範囲。
- 委託の準備： 第三者に委託する場合は書面で承認し、契約に明記する。費用は対象や手法で幅があるため複数社で比較する。
自社だけでの実施が難しい場合は、クラウド設定を継続的に検査する SaaS や、専門家によるペネトレーションテストを組み合わせることで、Azure 環境のリスクを効率的に洗い出せます。自社の状況に合わせて、最適な手法を選択してください。
一括ダウンロードする
よくある質問（FAQ）
Q. Azureのペネトレーションテストとは何ですか？
A. Azureのペネトレーションテストとは、攻撃者と同じ視点でAzure上の自社システムに実際に侵入を試み、設定の不備や権限の抜け道を洗い出すセキュリティ検査です。Azureの物理基盤そのものではなく、利用者が構成・運用するWebアプリケーションや仮想マシン、Entra ID（旧Azure AD）の設定など、責任共有モデルで自社が責任を負う範囲が対象になります。
Q. Azureのペネトレーションテストに、本当にMicrosoftへの事前申請は不要ですか？
A. Azureの自社リソースへのペネトレーションテストは、2017年6月15日以降、Microsoftへの事前承認・通知が不要です。ただし、Microsoftが公開する交戦規則（Rules of Engagement、ROE）の遵守が条件です。この取り扱いはAzureにのみ適用され、ほかのMicrosoft Cloud Serviceには当てはまりません。
出典・参考資料（1件）
Q. Azureの本番環境でペネトレーションテストを実施できますか？
A. 本番環境でも実施できますが、サービスへの影響を抑えるため事前のヒアリングとテスト計画が欠かせません。負荷のかかる診断は、ステージング環境やアクセスの少ない時間帯を選ぶと安全です。外部に委託する場合は、本番での実施可否と影響範囲の抑え方を契約前に取り決めておきましょう。
Q. AzureでDDoS（負荷）テストはできますか？
A. DoS・DDoSテストはあらゆる状況で禁止されており、自社で負荷をかけて耐性を確かめることはできません。ただしDDoS耐性の確認自体は、Microsoftが承認したシミュレーションパートナー（MazeBolt・Red Button・RedWolf）経由なら、規則に違反しない制御されたシミュレーションとして実施できます。
出典・参考資料（1件）
Q. Entra ID（旧Azure AD）の権限昇格は診断の対象になりますか？
A. Entra ID（旧Azure AD）の権限昇格は、責任共有モデルで利用者が責任を負う範囲のため、診断の対象にできます。一般ユーザーからグローバル管理者への権限昇格につながる設定の不備や、条件付きアクセス・多要素認証が想定どおり効いているかが論点です。委託先がこの領域の検査に対応できるかを事前に確認しておくと安心です。
Q. Azureのペネトレーションテストの費用はどのくらいかかりますか？
A. 費用は対象システムの規模・手法・診断の深さによって大きく変わります。診断サービスの料金例では、静的診断が15万円程度から、動的診断が30万円程度から、Webアプリのペネトレーションテストが60万円程度から、ネットワーク全体では100万円程度からが目安です。
手動工程の多い高度なテストは要見積もりとする事業者も多いため、複数社から見積もりを取り、対象範囲と単価の内訳を比較することをおすすめします。
Q. Azureのペネトレーションテストは自社で実施すべきですか、外部に委託すべきですか？
A. 自社が責任を負う構成・設定・IDの範囲なら自社でも実施できますが、攻撃者視点での深い検証や報告書の作成には専門知識と工数が必要なため、多くの企業は専門事業者への委託を選びます。設定ミスを継続的に検査したいならSaaS型ツール、本格的な侵入検証なら専門家によるペネトレーションテストと、目的に応じて使い分けるのが現実的です。
脆弱性・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断・ペネトレーションテストサービスの最新資料を無料で一括請求できます。診断対象・手法・料金・サポート体制を比べて、自社に合う委託先を効率的に探せます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
