仮想ネットワークフローログで、予期しない通信が許可されている

Question

仮想ネットワーク フローログにて、AclRule = "platformrule" において、TCP:23 や TCP:80 といったVMへの通信が InBound で許可されているログを発見しました。

FlowType が AzurePublic であるものに関しては Azure の内部通信で使っているものと予期することができますが、 FlowType が ExternalPublic で許可されている通信については、 NSG にてブロックされることが予期されるものであるため、正しく通信拒否ができていないのではないかと不安になっています。

一方で、VMのログからは当該通信が行われた形跡を発見できず、通信が許可されているか拒否されているか、検証することも難しいです。

ExternalPublic で許可されているこれらのIP は、 AbuseIPDB にて危険であると判断されているものもあり、これらの通信についてブロックできないかと考えています。

Answer 1

こんにちは、藤森達也さん,

はい、プラットフォームルールでは「許可」として記録されていますが、実際にはNSGルールによって拒否されています。また、PGチームは、VNETフローのロギングがその設計上、タイムアウトフローをプラットフォームルールとして示すことを述べています。VNETフローのタイムアウト値を調整することで、アクティブフローを維持するのに役立つかもしれません。私たちは、プラットフォームルールを表示するのではなく、顧客にとってより意味のある実際のACL値を表示するためのシナリオの微調整に取り組んでいます。現在、これらのプラットフォームルールは顧客環境に影響を与えないため、無視しています。VNETフローログを改善するための変更リクエストがすでに行われており、来月末までに全地域に影響が及ぶことが期待されています。なお、二つ目の質問は、上記のように異なるケースであるため無視できます。 提供された情報が役に立った場合は、「回答を受け入れる」と「はい」をクリックしてスレッドを閉じることを忘れないでください。これは他のコミュニティ メンバーにとっても有益です。