mcpField
A
azure-network-security-design

azure-network-security-design

github.com/vinayaklattheセキュリティ17876 回インストール19 週間前に更新
リポジトリ

azure-network-security-design について

Azure のランディングゾーンやワークロード向けに、安全なネットワーク構成と制御を設計するスキルです。環境の規模に応じたトポロジー選定、セグメント化、プライベート接続、出口の集約を扱います。

主な機能

  1. 01hub-spoke または Virtual WAN の選定
  2. 02アドレス範囲とセグメントの計画
  3. 03NSG と ASG によるマイクロセグメント化
  4. 04Private Endpoint による PaaS 接続
  5. 05出口、DNS、管理アクセスの集約

活用シーン

  1. 01Azure ランディングゾーンのネットワーク設計
  2. 02複数リージョンや拠点のネットワーク計画
  3. 03PaaS のプライベート接続設定
  4. 04ワークロードの出口制限と公開 RDP/SSH の遮断

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill azure-network-security-design

インストール後、Claude Code で/azure-network-security-designを入力して読み込まれたか確認します。

詳細

Azure Network Security Design

セキュアな Azure ネットワークでは、ゼロトラストをネットワークの柱に適用します。ネットワークをセグメント化し、トラフィックを明示的に制御し、プライベート接続を優先して、送信トラフィックを検査・フィルタリングします。ネットワークは信頼できないものとして扱います。成果物は、NSG によるマイクロセグメンテーション、プライベートエンドポイント、単一の制御された送信経路を備えたハブアンドスポーク（または Virtual WAN）トポロジです。

使用する場面

Azure ランディングゾーンまたはワークロードのネットワークトポロジと制御を設計する場合に使用します。このスキルを使って、トポロジを選択し、セグメンテーションを設計して、制御を配置します。

このスキルは、ファイアウォール製品そのもの（azure-firewall）、VM の強化（defender-for-cloud-hardening）、単一サービスのネットワーク（azure-key-vault）には使用しないでください。

トポロジを選択する

環境の規模トポロジ備考
単一リージョン、サブスクリプションが少数ハブアンドスポーク（単一リージョン）多くの場合のデフォルト
複数リージョン、多数のスポーク／ブランチサイトVirtual WANMicrosoft が管理するトランジット
グリーンフィールドのエンタープライズ規模Azure Landing Zones (CAF) - VWAN or hub-spokeCAF ブループリントを使用
オンプレミスと Azure の利用が多いハブアンドスポーク + ExpressRoute / VPN gatewayハブにゲートウェイとファイアウォールを配置
小規模／単一ワークロード単一 VNet、ハブなし過剰に設計しない

経験則： ほとんどの企業にはハブアンドスポーク、複数リージョンにわたるブランチの規模が大きい場合は Virtual WAN を使用します。ハブには共有サービス（ファイアウォール、ゲートウェイ、DNS、Bastion）を配置し、ワークロードはスポークに配置します。ハブにワークロードを配置しないでください。

アプローチ

  1. トポロジとアドレス計画 — ハブアンドスポークまたは Virtual WAN を選択します。リージョン／スポークごとに重複しない RFC 1918 範囲を割り当て、ハブ内にゲートウェイサブネット、ファイアウォールサブネット、Bastion サブネットを確保します。 確認事項：アドレス計画が文書化されていること。オンプレミスの範囲と重複していないこと。リージョン間で重複していないこと。

  2. NSG と ASG によるセグメンテーション — NSG は サブネット レベルに設定します（NIC ごとの設定より推奨）。静的 IP リストではなく、Application Security Groups (ASG) を使ってワークロードをグループ化します。ASG はスケールイベント後も維持されます。Web／アプリ／データの階層ごとにマイクロセグメント化します。 確認事項：NSG フローログが Log Analytics ワークスペースに有効化されていること。デフォルト拒否ルールがあること。VM グループでは、IP ベースの送信元／宛先ではなく ASG が使用されていること。

  3. PaaS のプライベートエンドポイント — 機密性の高い PaaS（Storage、SQL、Key Vault、Cosmos DB）には Private Endpoints / Private Link を使用します。トラフィックは Microsoft バックボーン内にとどまります。PaaS リソース自体のパブリックネットワークアクセスを無効にします。 確認事項：リソースの publicNetworkAccess = Disabled が設定されていること。プライベート DNS ゾーンを介して、プライベートエンドポイントがプライベート IP に解決されること。

  4. Azure Firewall 経由で送信トラフィックを一元化する — スポークの UDR で、0.0.0.0/0 の次ホップをファイアウォールのプライベート IP に設定します。すべての送信トラフィックをファイアウォール経由にして、FQDN のフィルタリングとログ記録を行います。 確認事項：スポークの NIC に適用される有効なルートの次ホップがファイアウォールになっていること。独自のパブリック IP による送信経路を持つスポークがないこと。

  5. パブリック向けサービスに DDoS 対策と WAF を適用する — パブリック IP を持つ VNet で Azure DDoS Network Protection を有効にします。パブリック Web アプリは、Front Door または WAF を備えた Application Gateway の背後に配置し、Prevention モードで運用します。 確認事項：DDoS プランが関連付けられていること。本番環境の WAF ルールが Detection ではなく Prevention に設定されていること。

  6. DNS の一元化 — ハブからプライベート DNS ゾーンをリンクし、スポークがゾーン経由で PaaS のプライベートエンドポイントを自動解決できるようにします。各スポークで独自の DNS を運用しないでください。

  7. インターネットからの管理プレーンアクセスをブロックする — インターネットから VM への RDP／SSH を直接許可しないでください。Azure Bastion（ハブ内）または Defender for Cloud just-in-time VM access を使用します。 確認事項：すべての VM サブネットで、NSG がインターネットからの 3389／22 をブロックしていること。Bastion がハブにデプロイされていること。

ガードレール

  • 機密性の高い PaaS データプレーンには、サービス エンドポイントよりプライベート エンドポイントを優先してください。 サービス エンドポイントを使うと PaaS リソースはパブリックなままですが、プライベート エンドポイントを使えば真にプライベートになります。
  • NSG はデフォルト拒否にし、すべての許可ルールの目的を記載してください。 適切な管理をしないと、許可リストは「すべて許可」へと拡大していきます。ASG とコメントを使用してください。
  • 管理ポート（RDP/SSH）をインターネットに公開しないでください。Bastion と Just-In-Time アクセスを使用してください。 インターネットに公開された 3389 / 22 は、数時間以内に侵害されます。
  • DNS はネットワークセキュリティの一部です。 信頼できない DNS 解決は、プライベート エンドポイントによる分離を損ないます。
  • DDoS Network Protection は VNet ごとに適用され、月額料金が発生します。 パブリックに公開する VNet に対する安価な保険になりますが、すべての VNet で一律に有効化しないでください。
  • NSG フローログをワークスペースに送信してください。 ログがなければ、インシデント発生時にネットワークのフォレンジックを行えません。

よくあるアンチパターン

  • 「ワークロードはハブに配置します。VNet は 1 つだけですから」 - ハブには共有サービスのみを配置してください。爆発範囲を限定するため、ワークロードはスポークに配置します。
  • 「プライベート エンドポイントより安価なので、サービス エンドポイントを使います」 - サービス エンドポイントは PaaS をプライベートにするものではなく、ルーティングのみを変更します。機密データにはプライベート エンドポイントを使用してください。
  • 「各 VM の NIC ごとに NSG を設定します」 - 管理が困難になります。サブネット NSG と ASG を使用してください。
  • 「WAF をいつまでも Detection モードにする」 - 攻撃を記録するだけで、ブロックはしません。調整が済んだら Prevention モードに切り替えてください。
  • 「各スポークに独自の送信パブリック IP を割り当てる」 - 集中検査ができず、送信ログも記録されません。ハブのファイアウォール経由にしてください。
  • 「Bastion の導入は後回しにして、当面は VPN 経由で RDP します」 - VPN 認証情報が盗まれると、ラテラルムーブメントにつながります。初日から Bastion と JIT を使用した VM アクセスを導入してください。

プロンプトの例

  • Design a hub-and-spoke network with segmentation and private endpoints for an Azure landing zone.
  • How do I apply Zero Trust principles to an Azure virtual network?
  • Plan NSG and ASG rules plus DDoS protection for a secure VNet.
  • Control egress traffic and private connectivity across spokes.
  • Replace internet-exposed RDP with Bastion and just-in-time VM access.
  • Should I use hub-spoke or Virtual WAN for our multi-region estate?

Microsoft Learn

コメント

Markdown 対応