Azure Firewall は、Azure Virtual Network リソースを保護するクラウドベースのマネージド ネットワーク セキュリティ サービスです。 高可用性とクラウドの無制限なスケーラビリティを備えた完全なステートフルファイアウォール・アズ・ア・サービスとして、Azure FirewallはAzureネットワークに出入りするトラフィックに対して集中管理されたポリシー強制を提供します。
この記事では、Azure Firewallに関するセキュリティ推奨事項を提供します。 これらの推奨事項を実装すると、セキュリティ上の義務を果たし、デプロイの全体的なセキュリティ体制が向上します。 Azureのネットワークセキュリティサービスの概要とそれらがどのように連携しているかについては、「Azureネットワークセキュリティとは何か?」をご覧ください。
この記事のセキュリティに関する推奨事項では、ゼロ トラストの原則 ("明示的に確認する"、"最小限の特権アクセスを使用する"、"侵害を想定する") が実装されています。 包括的なゼロ トラスト ガイダンスについては、 ゼロ トラスト ガイダンス センターを参照してください。
ネットワークのセキュリティ
Azure Firewallのネットワークセキュリティは、安全な展開、集中管理、ポリシー管理に重点を置き、ハブアンドスポークおよびハイブリッドネットワーク間のリスクを軽減します。
専用サブネットにAzure Firewallを展開する:必要な
AzureFirewallSubnetを最低/26サイズで使用し、サブネット内の他のリソースは展開せず、ワークロードルートテーブルはファイアウォールサブネットではなくワークロードサブネットに置いてください。ただし、ドキュメント化された強制トンネリング設計でファイアウォールサブネット経路が必要でない限り。 詳細はAzure Firewall FAQをご覧ください。適切なAzure Firewall SKUを選びましょう:Azure Firewallは3つのSKUで提供されています:最大250 Mbpsのスループットを持つ中小企業向けBasic、Standard、Premium。 IDPS、TLS検査、URLフィルタリングなどの高度なセキュリティ機能が必要な場合はプレミアムをご利用ください。 Webカテゴリが必要な場合はStandardかPremiumを使いましょう。Basicではそういったカテゴリは利用できません。 詳細については、「 ニーズに合わせて適切な Azure Firewall SKU を選択する」を参照してください。
脅威インテリジェンスベースのフィルタリングを有効にする:既知の悪意あるIPアドレス、FQDN、URLからのトラフィックに対して警告を発するよう、脅威インテリジェンスに基づくフィルタリングを設定しましょう。 アラートモードと拒否モードが必要な場合は、StandardまたはPremiumを使いましょう。Basicはアラートモードのみをサポートしているからです。 詳細については、Azure Firewallの脅威インテリジェンスに基づくフィルタリングおよびニーズに合った適切なAzure Firewall SKUを選択することをご覧ください。
高度な脅威検出のためのIDPSを実装する:Microsoft管理のシグネチャに基づく悪意あるネットワーク活動を検出・ブロックするために、Azure Firewallプレミアム侵入検知・防止システム(IDPS)を活用しましょう。 シグネチャーアクションを調整し、誤検知を減らし、高い信頼度の脅威を否定します。 詳細については、「Azure Firewall Premium の機能」を参照してください。
DNSプロキシ機能の設定:クライアントとAzure FirewallがFQDNベースのルールで一貫した名前解決を使えるようにDNSプロキシを有効にします。 このDNS設定により、異なるDNS応答によるルールバイパスや接続障害のリスクが低減されます。 詳細については、「 Azure Firewall DNS プロキシの詳細」を参照してください。
AzureおよびMicrosoft サービスでマネージドルールターゲットを活用しましょう:IPアドレス範囲やサービスエンドポイントリストを手動で管理する代わりに、ネットワークルールにサービスタグ、アプリケーションルールにFQDNタグを使いましょう。 ドメインベースのフィルタリングが必要なTCPまたはUDPプロトコルについては、ネットワークルールでFQDNフィルタリングを使用し、DNSプロキシを有効にしてください。 詳細については、「Azure Firewall サービスタグの概要」、Azure Firewall の FQDN タグ概要、およびネットワークルール内の Azure Firewall FQDN フィルタリングをご覧ください。
ハイブリッド環境での強制トンネリングの活用:インターネット接続トラフィックがオンプレミスのセキュリティアプライアンスや集中型検査経路を経由する必要がある場合、強制トンネリングを設定しましょう。 管理ネットワークインターフェースを有効にし、ファイアウォール管理トラフィックが顧客トラフィックと分離されるように
AzureFirewallManagementSubnetしてください。 詳細については、「 Azure Firewall の強制トンネリング」を参照してください。暗号化トラフィックのTLS検査を有効にする:セキュリティポリシーで暗号化された送信および東西トラフィックを検査するために、Azure FirewallプレミアムTLS検査を活用してください。 必要な証明書をAzure Key Vaultに保存・管理してください。 詳細については、「Azure Firewall Premium 証明書の」を参照してください。
制御されたHTTP/S出口のための明示的プロキシを評価する:ユーザーが定義した経路なしで、アウトバウンドHTTP/SトラフィックをファイアウォールのプライベートIPアドレスに直接送信できるアプリケーションを設定する場合は、Azure Firewallの明示的プロキシ(プレビュー)を使用してください。 明示的なプロキシトラフィックにはアプリケーションルールを使用し、中央管理のクライアントプロキシ設定が必要な場合はプロキシ自動設定(PAC)ファイルを使いましょう。 詳細については、Azure Firewall explicit proxy (preview)をご覧ください。
ウェブカテゴリを有効にする:ソーシャルネットワーキングやギャンブルなど、利用規約に合わないウェブサイトのカテゴリへのアクセスを管理するためにウェブカテゴリを使いましょう。 ウェブカテゴリは、個々のFQDN(許可・拒否)リストを維持するよりも管理上の手間を削減します。 詳細については、「 Azure Firewall Web カテゴリ」を参照してください。
アウトバウンドのスケールに応じたSNAT容量を計画する:複数のパブリックIPアドレスを追加したり、大量のアウトバウンドワークロード向けにSNATポートを増やす必要がある場合はAzure NAT Gatewayと統合しましょう。 セキュリティ化された仮想ハブファイアウォールでNATゲートウェイは使わないでください。 ゾーン冗長なSNATとゾーン冗長ファイアウォールが必要な場合はNATゲートウェイV2を使いましょう。 詳細については、「Azure NAT GatewayでSNATポートを拡大する」および「Azure Firewall with NAT Gateway V2の統合」をご覧ください。
アイデンティティとアクセス管理
Azure Firewallのアイデンティティおよびアクセス管理は、ファイアウォールリソースの管理、ファイアウォールポリシーの変更、管理プレーンの自動化ができる制御です。
管理プレーンアクセスにMicrosoft Entra IDを使う:管理者および自動化IDがAzure FirewallをAzureポータル、Azure Resource Manager経由で管理する際に、Microsoft Entra IDで認証することを義務付ける, Azure CLI, またはPowerShell. 詳細については、「Azure Firewallの役割と権限について」をご覧ください。
最小権限のAzure RBACロールを割り当てる:管理者が管理する必要がある特定のファイアウォール、ファイアウォールポリシー、リソースグループ、または管理グループにネットワーク貢献者などの組み込み役割をスコープします。 ネットワークのみの権限で十分な場合は、広範な所有者や貢献者の割り当ては避けてください。 詳細については、「Azure Firewallの役割と権限について」をご覧ください。
ファイアウォールポリシーのみアクセス用のカスタムロールを作成する:管理者がファイアウォールポリシーを編集する必要があるが、仮想ネットワーク、パブリックIPアドレス、ルートテーブル、その他のネットワークリソースを管理すべきでない場合にカスタムAzure RBACロールを使用してください。 詳細については、「Azure カスタム ロール」を参照してください。
昇進のためのPrivileged Identity Managementを活用する:影響力の高い役職を恒久的にアクティブにするのではなく、対象となるようにしましょう。 Azure Firewall、ファイアウォールポリシー、パブリックIPアドレス、仮想ネットワークリソース(Network Contributorやカスタムファイアウォール管理者ロールなど)への書き込みアクセスを付与する役割の有効化には、承認、正当化、多要素認証、期限限定のアクティベーションを義務付けます。 詳細については、Azure RBACとのPrivileged Identity Management integration with the Privileged Identity Managementをご覧ください。
管理者セッションに条件付きアクセスを義務付ける:Azure Firewallインスタンス、ファイアウォールポリシー、パブリックIPアドレス、ルートテーブル、ファイアウォールが依存するハブ仮想ネットワークの作成、変更、削除が可能なIDに対して、多要素認証と準拠デバイスを求める条件付きアクセスポリシーを適用してください。 詳細については、「Azure管理のためのMFA必須」をご覧ください。
自動化のためのサービスプリンシパル権限を制限する:自動化IDにはファイアウォールリソースやポリシーの展開、エクスポート、更新に必要な権限のみを割り当て、その割り当ての範囲をできるだけ狭く絞りましょう。 自動化プラットフォームがサポートしている場合は管理型アイデンティティを優先してください。 詳細については、「Azure Firewallの役割と権限について」をご覧ください。
管理者階層間の別々の職務:DevOpsチームがアプリケーション変更を要求または展開できるが、共有セキュリティポリシーを直接変更できず、セキュリティ管理者がファイアウォールポリシーを承認または管理できる階層管理者モデルを設計します。 役割割り当て、カスタムロール、デプロイメントパイプラインを活用して職務分離を強制しましょう。 詳細については、「Azure Firewallの役割と権限について」をご覧ください。
データ保護
Azure Firewallのデータ保護は、検査されたトラフィック、設定データ、証明書、機密性の高いネットワーク情報を含むログの保護に焦点を当てています。
TLS検査を適切な証明書管理で実装します:TLS検査の中間CA証明書をAzure Key Vaultに保存し、ファイアウォール管理IDに必要な秘密権限のみを付与します。 この統合にはKey Vaultアクセスポリシーモデルを使用してください。Azure FirewallはTLS検査証明書の取得にAzure RBAC認証をサポートしていないためです。 詳細については、「Azure Firewall Premium 証明書の」を参照してください。
暗号化プロトコルへのアクセス制限:ファイアウォールルールを設定し、暗号化プロトコル(例えばHTTPS)を許可し、ビジネス要件が許す場合は平文ポートをブロックまたは制限します。 ルールコレクションと優先順位、処理順序を組み合わせることで、これらの決定を予測可能に強制できます。 詳細については、Azure Firewall ルール処理ロジックを参照してください。
URLフィルタリングを細かく制御する:ウェブトラフィックの許可・拒否を正確に判断する必要がある場合、FQDN(先発的条件)だけでなく完全なURLも制御するためにURLフィルタリングを適用しましょう。 このフィルタリングは、正当なドメインにホストされる悪意のあるパスをブロックするのに役立ちます。 詳細については、「Azure Firewall Premium の機能」を参照してください。
診断データへのアクセスを制限する:Azure Firewallログは、送信元および宛先のIPアドレス、URL、ポート、ルール決定を含む可能性があるため、機密扱い(Sensitive Organization)として扱います。 Log Analyticsのワークスペース、ストレージアカウント、ファイアウォール診断を受けるイベントハブでRBACを活用しましょう。 詳細については、「 Azure Firewall のログとメトリックの監視」を参照してください。
ログ記録と監視
Azure Firewallのログ記録と監視は、トラフィックフロー、ポリシー決定、脅威、パフォーマンス、構成変更の可視化を提供し、調査と対応に役立てます。
Azure Firewallの診断ログを有効にする:Azure Firewallのログや指標をLog Analyticsワークスペース、ストレージアカウント、イベントハブに送信するための診断設定を設定してください。 ネットワークルール、アプリケーションルール、NATルール、脅威インテリジェンス、IDPS、DNSプロキシ、内部FQDN解決失敗、トップフロー、フロートレースログを展開に適したものとしてキャプチャしてください。 詳細については、「 Azure Firewall のログとメトリックの監視」を参照してください。
リソース固有の構造化ログの使用:Azure Firewallログを、レガシー
AzureDiagnosticsテーブルのみに頼るのではなく、AZFWApplicationRule、AZFWNetworkRule、AZFWNatRule、AZFWThreatIntel、AZFWIdpsSignature、AZFWDnsQueryなどのリソース固有のLog Analyticsテーブルに送信します。 リソース固有のテーブルは、クエリ性能、スキーマの発見、テーブルレベルのアクセス制御を向上させます。 詳細については、「 Azure Firewall のログとメトリックの監視」を参照してください。Microsoft Sentinelとの連携による脅威検出:Azure FirewallのログをMicrosoft Sentinelに接続し、セキュリティ運用チームがファイアウォールイベントとアイデンティティ、エンドポイント、ワークロードのシグナルを関連付けることができます。 分析ルールやワークブックを使ってマルウェアや疑わしいトラフィックパターンを検出しましょう。 詳細については、「 Azure Firewall と Microsoft Sentinel を使用してマルウェアを検出する」を参照してください。
IDPS調査にSecurity Copilotを活用してください:組織がMicrosoft Security Copilotを使用している場合、Log Analytics内の構造化IDPSログと適切なRBACを使って、Azure Firewall連携を有効にしてファイアウォールをまたぐIDPS検出を調査します許可。 詳細については、Microsoft Security CopilotのAzure Firewall統合をご覧ください。
脅威インテリジェンスアラートを監視する:脅威インテリジェンスのヒットに対するアラートや運用プロセスを作成し、アナリストが既知の悪意のあるソースへのトラフィックを迅速に調査できるようにします。 回答アクションが十分にテストされた際には、高い信頼度を示す指標に自動化を活用しましょう。 詳細については、「Azure Firewall の脅威インテリジェンスベースのフィルター処理」を参照してください。
パフォーマンス監視とアラートの設定:Azure Monitorを使ってスループット、レイテンシ、ファイアウォールの健康状態、SNATポート利用率、ルールヒット数を監視します。 ユーザーがアプリケーションの障害を経験する前に、容量や可用性の閾値を警告します。 詳細については、「 Azure Firewall のパフォーマンスに関するベスト プラクティス」を参照してください。
ファイアウォールの可用性をResource Health監視する:Azure Firewallメトリクスを備えたAzure Resource Healthを活用し、運用チームはプラットフォームの劣化を検出し、サービスの健康状態を調査し、ファイアウォールの可用性に影響が出た際に通知を受け取ることができます。 詳細については、「Resource Health の概要」をご覧ください。
ポリシー分析とルール変更のレビュー:ポリシー分析を使って未使用ルールや過度に広範なルールを特定しましょう。 ルールセットの変更トラッキングを使って予期せぬ設定変更を検出しましょう。 定期的な見直しは規則の拡大を減らし、政策の効果を高めます。 詳細については、Azure Firewall Policy Analytics and Track Azure Firewall ルールセットの変更をご参照ください。
Azure Firewall Workbookを分析に活用しましょう:Azure Firewall Workbookのダッシュボードを展開・レビューし、単一のAzureポータル体験から複数のファイアウォールにわたるイベント、ルール、脅威、トレンドを分析できます。 詳細については、Azure Firewall Workbookをご覧ください。
調査およびコンプライアンスのためのログ保持を設定する:インシデント対応、監査、規制のニーズに基づいて保持期間を設定しましょう。 運用作業スペースがより短い保持期間を使う場合、長期アーカイブを保護されたストレージに保存します。 詳細については、「 Azure Firewall のログとメトリックの監視」を参照してください。
コンプライアンスとガバナンス
Azure Firewallのコンプライアンスとガバナンスは、サブスクリプション、リージョン、ネットワークアーキテクチャ間で一貫したポリシー、在庫、セキュリティベースラインを維持するのに役立ちます。
Azure Policyを構成強制に活用:脅威インテリジェンス、診断設定、許可されたSKU、可用性ゾーン展開などの要件を監査または強制するために、組み込みおよびカスタムのAzure Policy定義を割り当てます。 詳細については、「 Azure Policy を使用して Azure Firewall デプロイをセキュリティで保護する」を参照してください。
Azure Resource Graphでリソースインベントリを管理しましょう:Azure Firewall、Firewall Policy、Public IP、ルートテーブル、診断設定リソースをサブスクリプション間でクエリし、カバレッジのギャップや構成ドリフトを特定しましょう。 定期的なレビューには保存されたクエリやダッシュボードを使いましょう。 詳細については、「Azure Resource Graphの概要を参照してください。
ファイアウォールリソースに一貫したタグを適用する:所有権、環境、コストセンター、データ分類、重要性にタグを使い、チームがファイアウォールリソースや関連ポリシーを一貫して管理できるようにします。 Azure Policyで必要なタグを強制します。 詳細については、「Azure Policy を使ってタグ付けルールと慣習を強制する」をご覧ください。
Azure Firewall Managerでポリシーを集中化:Azure Firewall Managerを使って、セキュアな仮想ハブやハブ仮想ネットワーク間のファイアウォールポリシーを集中制御プレーンから管理できます。 この中央管理により、サブスクリプションや地域間での一貫性のないルールが軽減されます。 詳細については、「Azure Firewall Managerとは何か?」をご覧ください。
ハブ・アンド・スポークでポリシー階層と継承を活用する:親ファイアウォールと子ファイアウォールポリシーを構造化し、グローバルなセキュリティ要件が地域別またはアプリケーション固有のポリシーに継承されつつ、制御されたローカル例外を許可します。 このモデルは大規模なハブアンドスポーク展開における一貫したガバナンスをサポートします。 詳細については、Azure Firewall Managerのポリシー概要をご覧ください。
DDoS保護をセキュアなハブ仮想ネットワークに関連付ける:Azure Firewall Managerを使って、Azure Firewallを含むハブ仮想ネットワークにAzure DDoS保護プランを関連付けましょう。 DDoS保護はVirtual WANハブをサポートしていないため、仮想ネットワークハブの設計には関連付けを活用してください。 詳細については、「Azure Firewall Manager を使った Azure DDoS 保護プランの設定」をご覧ください。
コンプライアンス認証の確認:Azure Firewallの監査範囲を規制要件や組織基準と比較して確認してください。 Azure Firewallが必須監査の範囲内かどうかを評価する際は、権威あるコンプライアンス提供リストを使用してください。 詳細については、Azure Firewall 認定資格をご覧ください。
インフラストラクチャ・アズ・コードによるデプロイを標準化する:Bicep、ARMテンプレート、Terraform、または承認済みパイプラインを用いてAzure Firewallおよびファイアウォールポリシーを展開し、チームが変更を一貫してレビューし、デプロイを繰り返し・監査可能に保つようにしましょう。 詳細については、「Azure FirewallのBicepデプロイメント」をご覧ください。
バックアップと回復
Azure Firewallのバックアップと復旧は、ファイアウォールポリシーを真実の情報源として保持し、障害時にチームが復元またはフェイルオーバーできる強靭な展開を設計することに焦点を当てています。
ファイアウォールポリシーをコードとしてインフラストラクチャとして管理する:Bicep、ARMテンプレート、またはソース制御リポジトリに保存されたTerraformでファイアウォールポリシーのバージョンを定義します。 そのリポジトリを真実の情報源として扱いましょう。 ポリシーエクスポートはブートストラップやポイントインタイムのスナップショットとして使い、継続的な真実の情報源としては使いません。 詳細はAzureポータルのエクスポートテンプレートをご覧ください。
Availability Zones間でAzure Firewallを展開する:サポートエリアでゾーン冗長展開を活用し、データセンターレベルの障害に対する耐性を高めましょう。 ゾーン要件をデプロイ標準やAzure Policy割り当てに含めてください。 詳細については、「Azure PowerShellを使ったAvailability ZonesでAzure Firewallをデプロイする」をご覧ください。
災害復旧のためのマルチリージョンファイアウォール展開を計画する:地域災害復旧が必要なワークロードに対して、ペアまたは戦略的に選ばれたリージョンにAzure Firewallおよびアラインドポリシーを展開します。 セカンダリーリージョンでルートテーブル、パブリックIP、診断、ポリシー割り当てを再構築できることを確認しましょう。 詳細については、「Azure Firewallを使って複数のハブにまたがるハブアンドスポークトポロジーのルーティング」をご覧ください。
回復には親と子のファイアウォールポリシー階層を活用:親ポリシーにはグローバルルールを、子ポリシーには地域ルールやワークロードルールを残し、回復環境が必要なコントロールを一貫して継承できるようにします。 このポリシー構造により、回復中の手動ルール再構築が削減されます。 詳細については、Azure Firewall Manager ルール階層を参照してください。
フェイルオーバー手順を定期的にテストする:トラフィックがセカンダリハブやリージョンに移動した際に、ルーティング、DNS、負荷分散、監視、セキュリティルールが正常に動作することを確認する。 セキュリティ運用チームを訓練に参加させ、フェイルオーバー中もアラートやインシデント対応のプロセスを継続させましょう。 詳細については、Azure Firewallのベストプラクティスをご覧ください。
自動スケールの動作に合わせて復旧能力を計画する:標準およびプレミアムのAzure Firewall展開は自動的にスケールアウトしますが、トラフィックが増加した後はスケールアウトに数分かかることがあります。 スループットを監視し、復旧イベントがスケーリングアウトウィンドウ内の容量を超えないようにフェイルオーバートラフィックを計画しましょう。 詳細については、「Azure Firewall performance」を参照してください。