このブログでは、Microsoftが従来のAzure Diagnostics AgentからAzure Monitor Agentへと移行したことにより、VMのロギング制御が根本的にどのように変化したかを解説します。また、セキュリティチームが監視アプローチを更新しない場合、この再設計によって検出の死角が生じる可能性がある点についても指摘しています。
この変更により、目立たない単一のAPI操作が、複数のシステムにわたるロギングを気付かれないうちに妨げる可能性があり、セキュリティイベントの見落としや誤った帰属のリスクが高まります。
どのような変更があったのか、そしてどのように対応すべきかをご説明します。
この動作についてマイクロソフトに報告したところ、同社はこれを認め、DCRアソシエーションの削除に関するVMレベルのログ記録を追加するなど、可視性を向上させるための変更を実施しています。これらの変更は4月21日までに適用される予定です。詳細が判明次第、本投稿を更新いたします。
VM拡張機能からDCRベースのロギングへの移行
2026年3月31日、マイクロソフトは従来のAzure Diagnostics Agent（WAD/LAD）の提供を終了し、Azure Monitor Agent（AMA）に置き換えました。これにより、VMのログ記録は、VMレベルの拡張機能から、一元化されたデータ収集ルール（DCR）およびDCRの関連付けへと移行しました。
この変更により、ロギングの管理がコントロールプレーンに移行し、Azure Activity Logs におけるロギングの変更や障害の表示方法が根本的に変わります。
ITおよびSecOpsへの影響
以前は、ロギングの変更はVM拡張機能の動作と密接に関連していました。ロギング関連の変更を示す一般的なシグナルは以下の通りでした：
Microsoft.Compute/virtualMachines/extensions/write
AMAでは、ロギングはDCRによって制御されるため、次のようなコントロールプレーン操作を通じて変更または削除することができます：
Microsoft.Insights/dataCollectionRuleAssociations/writeMicrosoft.Insights/dataCollectionRuleAssociations/deleteMicrosoft.Insights/データ収集ルール/書き込みMicrosoft.Insights/データ収集ルール/削除
テストの結果、DCRまたはその関連付けを削除すると、ログ記録は直ちに停止します。しかし、予想されるVM拡張シグナルは2～2.5時間遅れて届き、実行可能なアクターではなく、Microsoftが管理するIDに起因するものとして記録されます。
これにより、検知の遅延と原因の特定が困難になる という2つのリスクが生じ、既存の検知手法における前提が崩れてしまう。
実際のところどうなるのか
AMAがインストールされたAzure VMを使用し、複数のVMに関連付けられたDCRを作成することで、この動作を検証しました。ポータルとAPIの動作には、いくつかの重要な違いが見られました：
- Azure Portal では、アクティブな関連付けがある DCR を削除することはできません。
- このAPIを使用すると、1回の呼び出しでDCRとすべての関連付けを削除できます（
deleteAssociations=true).
伐採の観点から言えば：
- 影響を受けるすべてのVMにおいて、ログ記録が直ちに停止します。
- たった一つ
Microsoft.Insights/データ収集ルール/削除その現象が確認された。 - 個別のアソシエーション削除イベントは記録されません。
つまり、1回のAPI呼び出しで、複数のVMにわたるロギングを無効化しつつ、テレメトリの生成を最小限に抑えることができます。
検出の抜けが生じた
こうした行動は、検知の死角を生み出します：
- ポータルとAPIの操作では、異なるテレメトリが生成されます。
- たった1回のAPI呼び出しで、ログ記録を最小限の影響で無効化できます。
- VM拡張信号には遅延が生じ、その原因を特定できないため、信頼性の高い指標とは言えません。
その結果、拡張機能の動作のみに基づいて検知を行うと、ログ記録の障害を見逃したり、誤って解釈したりする可能性があります。
今後注視すべき点
少なくとも、ディフェンダーは以下の対象について守備範囲を広げるべきである：
Microsoft.Insights/dataCollectionRuleAssociations/delete（リソースレベルのロギング障害）Microsoft.Insights/データ収集ルール/削除（単一の行動による複数の資源への影響）Microsoft.Insights/データ収集ルール/書き込み（設定の改ざん）
強靭な報道体制の必要性
この変化は、脅威の状況や攻撃対象領域が変化しても効果を維持できる検知機能の必要性を浮き彫りにしている。
Vectra AI、この変更が適用される前に、検出範囲を更新し、VM拡張アクティビティよりもDCRおよびDCR関連イベントを優先するようにしました。これにより、ロギングの妨害を可視化し、関連する防御回避アクティビティについて具体的な原因を特定できるようになりました。
攻撃者の行動とプラットフォームの変化の両方を継続的に監視することで、基盤となるテレメトリや制御メカニズムが変化しても、お客様に最新かつ堅牢で信頼性の高い保護を提供できるよう、当社の防御範囲を先を見越して適応させています。
マイクロソフトとの連絡およびフォローアップ
マイクロソフトは、Azure Diagnostics Agent の提供終了および 2026 年 3 月 31 日までの AMA への移行に関連して、サービス状況に関するアドバイザリを通じてこの変更を通知しました。
マイクロソフトは、2026年3月31日のサポート終了期限に先立ち、AMA移行の一環として、サービス状況に関するアドバイザリを通じてこの変更を発表しました。弊社では、確認された動作およびテストで確認されたセキュリティ上の影響について、マイクロソフトにチケットを発行しました。この件はマイクロソフトによって受理され、現在調査が進められており、4月21日に最新情報が提供される予定です。今後の状況に応じて、本投稿を更新していきます。
結論
これは単なるエージェントの移行ではありません。これにより、ログの制御場所や障害の発生方法が変わります。改ざんの検知にAzure Activity Logsに依存しているチームは、防御回避行為を見逃さないよう、速やかに監視範囲を更新する必要があります。