mcpField
A
azure-firewall

azure-firewall

github.com/vinayaklattheセキュリティ17976 回インストール1 日前に更新
リポジトリ

azure-firewall について

azure-firewall は、Azure ネットワークのセキュリティを設計するチーム向けのスキルです。SKU 選定、ポリシー規則、ルートによる経路制御、監視を扱います。

主な機能

  1. 01要件に応じた Firewall SKU の選定
  2. 02階層型 Firewall Policy の設計
  3. 03デフォルト拒否ルールの設計
  4. 04UDR によるファイアウォール経由の強制
  5. 05脅威インテリジェンスとログ監視の設定

活用シーン

  1. 01ハブ・スポーク網の送信トラフィック制御
  2. 02Azure Firewall の SKU 選定
  3. 03リージョン間のポリシーと規則の計画
  4. 04ファイアウォールを迂回する通信の調査

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill azure-firewall

インストール後、Claude Code で/azure-firewallを入力して読み込まれたか確認します。

詳細

Azure Firewall

Azure Firewall は、トラフィックを一元的に管理・ログ記録するために使用される、マネージドで可用性の高いクラウドネイティブなステートフル ネットワークファイアウォールです。通常、ハブ・アンド・スポークネットワークの ハブにデプロイされます。Azure 環境全体でデフォルト拒否のエグレスポリシーを適用する要となります。

使用する場面

Azure ネットワーク環境全体で、エグレス（および東西方向／イングレス）トラフィックの制御と検査を一元化する場合に使用します。このスキルを使って、SKU を選択し、ルールを設計して、ハブにデプロイします。

このスキルは使用しないでください。L7 Web アプリケーションの保護（Front Door／App Gateway の WAF）、サブネットのマイクロセグメンテーション（NSG。azure-network-security-design を参照）、またはサードパーティ製 NVA の設計には使用しません。

必要な機能に基づいて SKU を選択

要件SKU備考
SMB／開発／小規模環境、< 250 MbpsBasicコスト最適化。脅威インテリジェンスによる拒否には非対応
標準的なエグレスフィルタリング、FQDN、脅威インテリジェンスStandardほとんどのエンタープライズハブでのデフォルト
TLS 検査、IDPS シグネチャ、URL フィルタリング、Web カテゴリPremium規制対象／高保証環境向け
複数ハブのグローバルデプロイPremium + Firewall Manager + Virtual WAN大規模環境でのポリシー一元管理

経験則： 2026 年現在、ほとんどのエンタープライズハブでは Standard SKU が適しています。Premium に移行するのは、TLS 検査または IDPS の具体的な要件がある場合に限ってください。TLS 検査に伴う証明書／PKI の負担は大きく、一部のアプリが動作しなくなります。Basic は SMB またはサンドボックス環境に限って使用してください。

アプローチ

  1. ハブにデプロイする — ハブ VNet 内に、リージョンごとにファイアウォールを 1 つデプロイします（回復性のため、少なくとも 2 つの可用性ゾーンを使用）。すべてのスポークをハブとピアリングし、エグレスおよび東西方向のトラフィックがファイアウォールを経由するようにします。 確認：ファイアウォールにエグレス用のパブリック IP があり、2 つ以上の AZ にまたがってデプロイされ、容量のベースラインが確立されていること。

  2. クラシックルールではなく Firewall Policy を使用する — Azure Firewall Policy でルールを作成し、階層型の親ポリシーと子ポリシー（例：親 = エンタープライズベースライン、子 = リージョン固有）を使用します。ファイアウォールごとにルールを作成しないでください。 確認：ポリシー階層がマッピングされ、1 つの基本ポリシーがリージョンごとのファイアウォールで再利用されていること。

  3. デフォルト拒否と構造化されたルールコレクション — 順序は DNAT（インバウンド）→ ネットワークルール（IP／ポート／プロトコル）→ アプリケーションルール（FQDN／URL）です。各コレクショングループ内では、優先度によって評価順序が決まります。デフォルトのアクションは拒否です。 確認：スポークから許可されていない FQDN にプローブを送信すると、拒否としてログに記録されること。

  4. FQDN タグを使用したアプリケーションルール — Microsoft サービスのエグレスには、手作業で管理するリストではなく、組み込みの FQDN タグ（WindowsUpdate、AzureKubernetesService、Office365）を使用します。サードパーティの SaaS にはカスタム FQDN を使用します。

  5. UDR を使ってスポークのエグレスをファイアウォール経由にする — スポークのサブネットにユーザー定義ルートを設定します。0.0.0.0/0 の次ホップはファイアウォールのプライベート IP にします。UDR がないと、トラフィックはファイアウォールを迂回します。 確認：スポーク NIC で Get-AzEffectiveRouteTable を実行し、次ホップがファイアウォールになっていること。

  6. 脅威インテリジェンスと IDPS を有効にする（Premium） — 既知の悪意ある IP／FQDN に対する脅威インテリジェンスベースのフィルタリングを Deny モードで有効にします。Premium では、高重大度のシグネチャに対して IDPS を Alert+Deny で有効にし、誤検知を調整します。

  7. ログをストリーミングし、容量を監視する — 構造化されたファイアウォールログを使用して、Log Analytics／Sentinel に送信します。ブックを使って、拒否されたフローの上位項目や容量／スループットを確認します。 確認：ファイアウォールのブックにデータが表示され、スループットが 80% を超えた状態が 15 分間続いた場合にアラートが発報されること。

ガードレール

  • Azure Firewall は、NSG（サブネット／NIC のマイクロセグメンテーション）や WAF（L7 Web）を置き換えるのではなく、補完するものです。 多層防御を実現します。それぞれ異なる役割を担います。
  • TLS インスペクション（Premium）には、証明書／PKI の計画が必要です。 クライアントが信頼する内部 CA の証明書チェーンが必要です。また、一部のアプリ（証明書ピニングや mTLS を使用するもの）は、インスペクションによって動作しなくなります。まずパイロット運用を行ってください。
  • 耐障害性の高いハブを構築するには、容量と可用性ゾーンを計画してください。 単一ゾーンの場合、そのゾーンで障害が発生するとハブも停止します。
  • 強制適用を担うのは UDR です。 スポークに 0.0.0.0/0 → firewall が設定されていなければ、トラフィックはファイアウォールを経由しません。ランディングゾーンの一環として UDR を監査してください。
  • Firewall Policy が階層構造になっているのには理由があります。 大規模環境でファイアウォールごとにルールを作成しないでください。設定にずれが生じます。
  • Premium の機能を見込みで有効にしないでください。 コストが大幅に高くなるため、ユースケースがある場合にのみ有効にしてください。

よくあるアンチパターン

  • 「最初は送信トラフィックを * で許可する」 - ファイアウォールの意味がなくなります。初日からデフォルト拒否と、名前を指定した FQDN ルールを使用してください。
  • 「全員に Premium SKU を使う」 - IDPS／TLS インスペクションを使用しないなら、コストに見合う価値はありません。
  • 「初日からすべてのトラフィックに TLS インスペクションを適用する」 - アプリの半分が動作しなくなります。ワークロードごとにパイロット運用してください。
  • 「UDR は不要。トラフィックはファイアウォールを経由すると想定している」 - 実際には経由しません。ルートが強制適用を担います。
  • 「単一ゾーンにファイアウォールを 1 つだけ配置する」 - AZ の障害でハブが停止します。初日から複数の AZ を使用してください。
  • 「ログはノイズが多いので記録しない」 - 最初のインシデントで、フォレンジック調査に必要な情報がなくなります。構造化ログと Sentinel を常に使用してください。

プロンプトの例

  • Design Azure Firewall egress filtering with FQDN and application rules in a hub-spoke topology.
  • When should I choose Firewall Premium with IDPS and TLS inspection?
  • Set up Firewall Policy hierarchy and force spoke egress through UDRs.
  • How do I protect Azure Virtual Desktop traffic with Azure Firewall?
  • Build a Sentinel workbook for top denied flows from Azure Firewall logs.
  • Plan capacity, availability zones, and DNS proxy for the hub firewall.

Microsoft Learn

コメント

Markdown 対応