3.2セッションホストのセキュリティ

セッションホストは複数ユーザーが使う Windows VM であり、攻撃対象になりやすいため、多層防御（保護・検知・ネットワーク・管理アクセス・基盤の完全性）で守ります。

3.2.1保護と検知（Defender 系）

Microsoft Defender for Cloud はセッションホストの セキュリティ態勢（推奨事項/セキュアスコア） を評価し、脆弱な構成を是正します。Microsoft Defender ウイルス対策 はマルウェアのリアルタイム保護、Microsoft Defender for Endpoint（MDE） は EDR としてセッションホストを オンボーディング し、検知・調査・対応を提供します（マルチセッションでのオンボーディングとスキャン設定に注意）。「VM の構成リスクを可視化/是正」＝Defender for Cloud、「EDR で侵害を検知/対応」＝Defender for Endpoint、と区別します。

3.2.2ネットワーク・管理アクセス・基盤の完全性

ネットワークは NSG（サブネット/NIC のトラフィック制御）、UDR（強制トンネリングでファイアウォール経由に）、Azure Firewall（送信 FQDN フィルタリング・AVD 必須エンドポイント許可）で守ります。管理アクセスはセッションホストに公開 RDP を晒さず、Azure Bastion（ブラウザ経由のセキュアな RDP/SSH）や JIT（Just-In-Time）VM アクセス（必要な時だけポートを時限開放）を使います。基盤は Trusted Launch（セキュアブート＋vTPM でブートキット対策）と 機密 VM（使用中メモリの暗号化）で完全性を高めます。Windows 側は App Control for Business（許可アプリのみ実行）や Controlled Folder Access（ランサムウェア対策）を適用します。

3.2.3この節のまとめ

• Defender for Cloud＝態勢/推奨/セキュアスコア、Defender for Endpoint＝EDR の検知/対応(オンボーディング)
• 管理アクセスは Bastion(セキュア経路)/JIT(時限ポート)、ネットワークは NSG/UDR/Azure Firewall
• 基盤完全性は Trusted Launch(セキュアブート+vTPM)と機密 VM(使用中メモリ暗号化)