Azure NAT Gateway の Azure セキュリティベースライン

[アーティクル]
09/20/2023

このセキュリティベースラインは、 Microsoft クラウドセキュリティベンチマークバージョン 1.0 のガイダンスを Azure NAT Gateway に適用します。 Microsoft クラウドセキュリティベンチマークでは、Azure 上のクラウドソリューションをセキュリティで保護する方法に関する推奨事項が提供されます。コンテンツは、Microsoft クラウドセキュリティベンチマークと、Azure NAT Gateway に適用できる関連ガイダンスによって定義されたセキュリティコントロールによってグループ化されます。

このセキュリティベースラインとその推奨事項は、Microsoft Defender for Cloud を使用して監視できます。 Azure Policy定義は、Microsoft Defender for Cloud ポータルページの [規制コンプライアンス] セクションに一覧表示されます。

機能に関連するAzure Policy定義がある場合は、Microsoft クラウドセキュリティベンチマークのコントロールと推奨事項への準拠を測定するのに役立つ、このベースラインに一覧表示されます。一部の推奨事項では、特定のセキュリティシナリオを有効にするために有料Microsoft Defenderプランが必要になる場合があります。

注意

Azure NAT Gateway に適用されない機能は除外されています。 Azure NAT Gateway を Microsoft クラウドセキュリティベンチマークに完全にマップする方法については、 完全な Azure NAT Gateway セキュリティベースラインマッピングファイルを参照してください。

セキュリティプロファイル

セキュリティプロファイルは、Azure NAT Gateway の影響の大きい動作をまとめたものです。その結果、セキュリティに関する考慮事項が増える可能性があります。

サービス動作属性	値
製品カテゴリ	ネットワーク
お客様は HOST/OS にアクセスできます	アクセス権なし
サービスは顧客の仮想ネットワークにデプロイできます	○
保存中の顧客コンテンツを格納します	False

ネットワークのセキュリティ

詳細については、「 Microsoft クラウドセキュリティベンチマーク: ネットワークセキュリティ」を参照してください。

NS-1: ネットワークセグメント化の境界を確立する

機能

Virtual Network 統合

説明: サービスは、顧客のプライベート Virtual Network (VNet) へのデプロイをサポートしています。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
True	False	Customer

構成ガイダンス: サービスを仮想ネットワークにデプロイします。パブリック IP をリソースに直接割り当てる強力な理由がない限り、(該当する場合は) プライベート IP をリソースに割り当てます。

リファレンス: クイックスタート: Azure portalを使用して NAT ゲートウェイを作成する

Microsoft Defender for Cloud による監視

Azure Policy 組み込み定義 - Microsoft.Network:

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
サブネットは、ネットワークセキュリティグループに関連付けられている必要があります	ネットワークセキュリティグループ (NSG) を使用してお使いのサブネットへのアクセスを制限することで、潜在的な脅威からサブネットを保護します。 NSG には、お使いのサブネットに対するネットワークトラフィックを許可または拒否する一連のアクセス制御リスト (ACL) ルールが含まれています。	AuditIfNotExists、Disabled	3.0.0

ID 管理

詳細については、「 Microsoft クラウドセキュリティベンチマーク: ID 管理」を参照してください。

IM-1: 一元的な ID および認証システムを使用する

機能

データプレーンアクセスに必要な Azure AD Authentication

説明: サービスでは、データプレーンアクセスに Azure AD 認証を使用できます。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
False	適用しない	適用しない

構成ガイダンス: この機能は、このサービスをセキュリティで保護するためにサポートされていません。

アセット管理

詳細については、「 Microsoft クラウドセキュリティベンチマーク: 資産管理」を参照してください。

AM-2: 承認済みのサービスのみを使用する

機能

Azure Policy のサポート

説明: サービス構成は、Azure Policyを使用して監視および適用できます。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
True	False	Customer

構成ガイダンス: この機能の構成に関する現在の Microsoft ガイダンスはありません。 organizationがこのセキュリティ機能を構成する必要があるかどうかを確認して判断してください。

リファレンス: 組み込みポリシー - ネットワーク

ログと脅威検出

詳細については、「 Microsoft クラウドセキュリティベンチマーク: ログ記録と脅威検出」を参照してください。

LT-4: セキュリティ調査のためのログを有効にする

機能

Azure リソースログ

説明: サービスは、強化されたサービス固有のメトリックとログを提供できるリソースログを生成します。お客様はこれらのリソースログを構成し、ストレージアカウントや Log Analytics ワークスペースなどの独自のデータシンクに送信できます。詳細については、こちらを参照してください。

サポートされています	既定で有効	構成の責任
False	適用しない	適用しない

機能に関するメモ: サービスには、Metrics や Insights ログなどの他のログ機能が用意されています。

詳細については、 Azure NAT Gateway のメトリックとアラートに関するページを参照してください。