Azure DDoS Protection と Firewall

分散型サービス拒否（DDoS）攻撃とは、サーバー、アプリケーション、ネットワークなどの標的に大量のトラフィックを送り、正規のユーザーがアクセスできない状態にする攻撃です。攻撃者は、何千台もの侵害されたデバイスで構成されるボットネットを使用し、標的の処理能力を超える大量のトラフィックを生成します。DDoS攻撃には、単純なボリューム型フラッド（UDP増幅）から、特定のエンドポイントを狙うアプリケーション層攻撃（HTTPフラッド）まで、さまざまな種類があります。

Azureには、DDoS保護のティアが2種類あります。DDoS Network Protection（Basic）（以前のDDoS Basic）はAzureプラットフォームに組み込まれており、追加料金なしで、すべてのAzureパブリックIPアドレスを自動的に保護します。一般的なネットワーク層攻撃を軽減します。DDoS IP ProtectionとDDoS Network Protection（Standard）では、常時行われるトラフィック監視、ワークロードに合わせたアダプティブチューニング、迅速な対応チーム、コスト保護（攻撃中に消費されたAzureリソースに対するクレジット）が追加されます。

DDoS Network Protectionは仮想ネットワークレベルで適用され、そのVNet内のリソースに接続されたすべてのパブリックIPを保護します。有効にすると、保護対象となる各IPの通常時のトラフィックを継続的に監視し、攻撃パターンが検出されると、設定を必要とせずに軽減処理を自動的に開始します。SLAでは、攻撃が軽減されている間の可用性として99.99%が保証されます。

DDoS Network Protectionを有効にすると、Azure MonitorにDDoS固有のメトリックが表示されます。これには、DDoS攻撃を受けているかどうか、DDoSによってドロップされた受信パケット、サービスに転送された受信バイト数（正規のトラフィック）などがあります。メトリックアラートを設定して攻撃の開始時にセキュリティチームへ通知したり、Azureポータルのダッシュボードで軽減の効果をリアルタイムに監視したりできます。

Azure Firewallは、Azure VNetのネットワークトラフィックを一元的に検査および制御する、マネージドのクラウドネイティブなネットワークセキュリティサービスです。サブネットまたはNICレベルで動作する単純なステートフルパケットフィルターであるNetwork Security Group（NSG）とは異なり、Azure Firewallは、高可用性、無制限のスケール、FQDNフィルタリング（ドメイン名による許可または拒否）、脅威インテリジェンスフィードなどの高度な機能を備えた、完全なステートフルFirewall-as-a-Serviceです。

Azure Firewallには3種類のSKUがあります。Standardは、L3～L7フィルタリング、FQDNベースのルール、ネットワークルールとアプリケーションルール、脅威インテリジェンスに対応しています。Premiumでは、TLSインスペクション（HTTPSトラフィックを復号、検査、再暗号化）、IDPS（侵入検知および防止）、URLフィルタリングが追加され、次世代ファイアウォールの機能を完全に利用できます。Basicは、より簡単なフィルタリング要件を持つ中小企業（SMB）向けの低コストな選択肢です。

推奨されるパターンは、専用のハブVNetにAzure Firewallをデプロイし、ユーザー定義ルート（UDR）を使用して、スポークVNetからのすべてのトラフィックをAzure Firewall経由でルーティングすることです。このハブアンドスポークトポロジにより、東西方向（VNet間）および南北方向（インターネット宛て）のすべてのトラフィックに対する単一のチョークポイントが形成されます。そのため、一貫したセキュリティポリシーを適用し、すべてのネットワークフローを1つのサービス経由でログに記録しやすくなります。

Azure Firewallは、優先順位に従って3種類のルールを処理します。NATルールは、受信したパブリックIPをプライベートVNet IPに変換します（宛先ネットワークアドレス変換）。ネットワークルールは、送信元IP、宛先IP、ポート、プロトコルに基づくレイヤー3～4のフィルターで、TCP/UDPの未加工のトラフィックを許可または拒否します。アプリケーションルールは、HTTP/HTTPSのURLパターンとFQDNに基づいて送信トラフィックをフィルタリングし、リソースがアクセスできるインターネット上の宛先をきめ細かく制御できます。

Azure FirewallはMicrosoft Threat Intelligenceフィードと統合されており、既知の悪意あるIPアドレスやドメインとの間のトラフィックを自動的に警告または拒否できます。フィードは、Microsoftのグローバルな脅威検出ネットワークから継続的に更新されます。警告および拒否モードでは、カスタムルールの評価前に、既知の悪意あるIPとの間のパケットをファイアウォールがブロックします。これにより、手動でルールを更新しなくても、既知の攻撃者から自動的に保護できます。

NSGとAzure Firewallは相互に補完するため、多層防御戦略では両方が必要です。NSGはサブネットとNICに適用する軽量なステートフルパケットフィルターであり、VNet内のマイクロセグメンテーションに適しています。各層の間で必要なポートだけを許可できます。Azure Firewallは、すべてのVNetに対して、一元化されたアプリケーション層の検査、FQDNフィルタリング、ログ記録、脅威インテリジェンスを提供します。これは、NSGルールで表現できる機能をはるかに超えています。

Azure Firewall Policyは、1つ以上のファイアウォールに対するすべてのルールコレクション（NAT、ネットワーク、アプリケーション）と設定を含むARMリソースです。Azure Firewall Managerは、複数のAzure FirewallインスタンスとVirtual WANにわたって、Firewall Policyを大規模にデプロイおよび管理するための中央管理インターフェースを提供します。これにより、企業は基本となる全社ポリシーを定義し、ローカルオーバーライドを適用しながら、地域ごとのファイアウォールデプロイに継承させることができます。

このレッスンで扱ったMicrosoft Azure Fundamentals（AZ-900）の概念について、理解度を確認します。

このレッスンでは、次の内容を学習しました。DDoS Network Protectionは、すべてのVNetパブリックIPを監視し、ボリューム型攻撃を自動的に軽減します。Azure Firewallは、FQDNフィルタリングと脅威インテリジェンス統合を備えた、マネージドのステートフルファイアウォールです。また、ハブアンドスポークトポロジは、すべてのネットワークトラフィックを単一のAzure Firewallインスタンスに集約します。次は、Azureの料金の仕組みについて学習します。