Azure Firewall での Azure Well-Architected フレームワークの分析観点

Azure Firewall の既知の問題の一覧を確認します。 Azure Firewall 製品では、既知の問題の更新された一覧が保持されます。 この一覧には、設計上の動作、構築中の修正、プラットフォームの制限事項、考えられる回避策または軽減策の戦略に関連する重要な情報が含まれています。

Azure Firewall ポリシーが Azure Firewall の制限と推奨事項に準拠していることを確認します。 ポリシー構造には、ルールとルール コレクション グループの数、ポリシーの合計サイズ、ソースの宛先、ターゲットの宛先など、制限があります。 作成するポリシーは、ドキュメント化されたしきい値を下回るようにしてください。

より高いサービス レベル アグリーメント (SLA) を実現するために、複数の可用性ゾーンに Azure Firewall をデプロイします。 Azure Firewall では、1 つの可用性ゾーンにサービスをデプロイするか、複数のゾーンに応じて、さまざまな SLA が提供されます。 詳細については、「オンライン サービス の SLA」を参照してください。

複数リージョン環境で各リージョンに Azure Firewall インスタンスをデプロイします。 従来のハブアンドスポーク アーキテクチャについては、「複数リージョンの考慮事項」を参照してください。 セキュリティで保護された Azure Virtual WAN ハブの場合は、ハブ間通信とブランチ間通信をセキュリティで保護するためにルーティングの意図とポリシーを構成します。 障害に強くフォールト トレラントなワークロードの場合は、Azure Firewall と Azure Virtual Network のインスタンスをリージョン リソースとして検討してください。

Azure Firewall メトリックとリソースの正常性状態を監視します。 Azure Firewall は、Azure Resource Health と統合されます。 Resource Health チェックを使用して、Azure Firewall の正常性状態を表示し、Azure Firewall リソースに影響する可能性があるサービスの問題に対処します。

Azure Firewall は、ハブ仮想ネットワーク内、または Virtual WAN ハブの一部としてデプロイします。

ファイアウォールまたはネットワーク仮想アプライアンス (NVA) 経由でワークロードからのすべてのインターネット トラフィックを送信し、脅威を検出してブロックします。 Azure Firewall 経由でトラフィックを強制するようにユーザー定義ルート (UDR) を構成します。 Web トラフィックの場合は、明示的なプロキシとして Azure Firewall を使用することを検討してください。

これらのプロバイダーを使用して送信接続を保護する場合は、Firewall Manager 内でサポートされているパートナーのサービスとしてのソフトウェア (SaaS) セキュリティ プロバイダーを構成します。

トラフィックがファイアウォールをバイパスできないように、仮想マシンに直接関連付けられているパブリック IP アドレスの使用を制限します。 Azure クラウド導入フレームワーク モデルは、特定の Azure ポリシーを CORP 管理グループに割り当てます。

セキュリティのニーズで、検査や暗号化の追加など、Web アプリケーションにゼロ トラスト アプローチを実装する必要がある場合は、Azure Firewall と Application Gateway のゼロ トラスト構成ガイドに従ってください。 このガイドに従って、従来のハブアンドスポークと Virtual WAN シナリオの両方に Azure Firewall と Application Gateway を統合します。

詳細については、「エッジでファイアウォールを適用する」を参照してください。

ワークロードセグメント化戦略の一部として、ネットワーク境界を確立し、ブラスト半径を制御し、ワークロード リソースを難読化し、予期しない、禁止された、安全でないアクセスをブロックします。 最小特権アクセス 条件に基づいて、Azure Firewall ポリシーの規則を作成します。

Azure Firewall を強制トンネリング モードで構成するときに、パブリック IP アドレスを None に設定して、完全プライベート データ プレーンをデプロイします。 この方法は Virtual WAN に適用されません。

ネットワーク ルールを定義して管理を簡略化する場合は、完全修飾ドメイン名 (FQDN) とサービス タグを使用します。

脅威や悪用の兆候を熱心に監視するために検出メカニズムを使用します。 プラットフォームが提供する検出メカニズムとメジャーを活用します。 侵入検知および防御システム（IDPS）を有効にします。 Azure DDoS Protection プランをハブ仮想ネットワークに関連付けます。

詳細については、「不正使用の検出」を参照してください。

デプロイする Azure Firewall SKU を選択します。 Basic、Standard、Premium の 3 つの Azure Firewall SKU から選択します。 Azure Firewall Premium を使用して機密性の高いアプリケーション (支払処理など) をセキュリティで保護します。 ワークロードにレイヤー 3 からレイヤー 7 のファイアウォールが必要で、最大 30 Gbps のピーク トラフィック期間を処理するために自動スケーリングが必要な場合は、Azure Firewall Standard を使用します。 SMB を使用し、最大 250 Mbps のスループットが必要な場合は、Azure Firewall Basic を使用します。 Standard SKU と Premium SKU の間でダウングレードまたはアップグレードできます。 詳細については、「適切な Azure Firewall SKU を選択する」を参照してください。

未使用のファイアウォールのデプロイを削除し、使用されていないデプロイを最適化します。 継続的に実行する必要のない Azure Firewall デプロイを停止します。 未使用の Azure Firewall デプロイを特定して削除します。 運用コストを削減するには、ファイアウォール インスタンスの使用状況、Azure Firewall Manager ポリシーの構成、使用するパブリック IP アドレスとポリシーの数を監視および最適化します。

Azure Firewall の同じインスタンスを共有します。 ハブ仮想ネットワークまたは Virtual WAN セキュリティで保護されたハブで Azure Firewall の中央インスタンスを使用し、同じリージョンから同じハブに接続するスポーク仮想ネットワーク間で同じ Azure Firewall インスタンスを共有できます。 ハブ アンド スポーク トポロジに予期しないリージョン間トラフィックがないことを確認します。

ファイアウォール経由のトラフィックを最適化します。 Azure Firewall が処理するトラフィックを定期的にレビューします。 ファイアウォールを通過するトラフィックの量を減らす機会を見つけます。

保存するログ データの量を減らします。 Azure Firewall では、Azure Event Hubs を使用してトラフィックのメタデータを包括的にログに記録し、Log Analytics ワークスペース、Azure Storage、または Microsoft 以外のソリューションに送信できます。 すべてのログ ソリューションでは、データを処理してストレージを提供するためのコストが発生します。 大量のデータでは、大きなコストが発生する可能性があります。 Log Analytics の代わりにコスト効率の高いアプローチとを検討し、コストを見積もります。 すべてのログ カテゴリのトラフィック メタデータをログに記録する必要があるかどうかを検討します。

Azure Firewall のインスタンスをデプロイおよび管理するために、従来のハブアンドスポーク トポロジまたは Virtual WAN ネットワーク トポロジで Firewall Manager を使用します。 トラフィック ガバナンスと保護のためのネイティブ セキュリティ サービスを使用して、ハブおよびスポーク アーキテクチャと推移的アーキテクチャを作成できます。 詳細については、「ネットワーク トポロジと接続」を参照してください。

既存のデプロイ用に、Azure Firewall クラシック ルールを Firewall Manager ポリシーに移行します。 Firewall Manager を使用して、ファイアウォールとポリシーを一元的に管理します。 詳細については、「Azure Firewall Premium への移行」を参照してください。

Azure Policy アーティファクトの定期的なバックアップを維持します。 コードとしてのインフラストラクチャアプローチを使用して Azure Firewall とすべての依存関係を維持する場合は、Azure Firewall ポリシーのバックアップとバージョン管理を行う必要があります。 そうでない場合は、外部ロジック アプリに基づくコンパニオン メカニズムをデプロイして、効果的な自動化されたソリューションを提供できます。

Azure Firewall のログとメトリックを監視する。 ファイアウォールの監視とトラブルシューティングに診断ログを利用し、監査操作のアクティビティ ログを利用します。

監視データを分析して、システムの全体的な正常性を評価します。 組み込みの Azure Firewall 監視ブックを使用し、Kusto 照会言語 (KQL) クエリを理解し、ポリシー分析ダッシュボードを使用して潜在的な問題を特定します。

オペレーターがそれらに迅速に応答できるように、主要なイベントのアラートを定義します。

Azure でプラットフォームによって提供される検出メカニズムを利用して、不正使用を検出します。 可能な場合は、Azure Firewall を Microsoft Defender for Cloud と Microsoft Sentinel に統合します。 Defender for Cloud と統合することで、ネットワーク インフラストラクチャとネットワーク セキュリティの状態を 1 か所で視覚化できます。これには、Azure 内のさまざまなリージョン内のすべての仮想ネットワークと仮想ハブにわたる Azure ネットワーク セキュリティが含まれます。 Microsoft Sentinel との統合により、脅威の検出と防止の機能が提供されます。

Well-Architected フレームワークに関する推奨事項に従って Azure Firewall 構成を最適化し、コードとインフラストラクチャを最適化し、運用のピークを確保します。 効率的で安全なネットワークを維持するには、ファイアウォール ルールを定期的に確認して最適化します。 この方法は、ファイアウォール構成が最新のセキュリティ脅威と共に有効で最新の状態を維持するのに役立ちます。

ポリシー要件を評価し、IP 範囲と URL リストを要約する機会を見つけます。 Web カテゴリを使用して送信アクセスを一括で許可または拒否し、管理を合理化し、セキュリティを強化します。 この構成はネットワーク待機時間とスループットに影響を与える可能性があるため、アラートと拒否モードでの IDPS のパフォーマンスへの影響を評価します。 SNAT ポートの要件をサポートするようにパブリック IP アドレスを構成します。 これらのプラクティスに従って、堅牢でスケーラブルなネットワーク セキュリティ インフラストラクチャを作成します。

Azure Firewall を VNet 内トラフィック制御に使用しないでください。 Azure Firewall を使用して、次の種類のトラフィックを制御します:

• 仮想ネットワーク間のトラフィック
• 仮想ネットワークとオンプレミス ネットワーク間のトラフィック
• インターネットへの送信トラフィック
• 受信した非 HTTP または非 HTTPS トラフィック

仮想ネットワーク内トラフィック制御には、ネットワーク セキュリティ グループを使用してください。

パフォーマンス テストの前に Azure Firewall を適切にウォームアップします。 テストの 20 分前に、ロード テストに属さない初期トラフィックを作成します。 診断設定を使用して、スケールアップとスケールダウンのイベントをキャプチャします。 Azure Load Testing サービスを使用して初期トラフィックを生成し、Azure Firewall を最大インスタンス数にスケールアップできます。

/26 アドレス空間を使用して Azure Firewall サブネットを構成します。 Azure Firewall 専用のサブネットが必要です。 Azure Firewall では、拡大に合わせてより多くの容量がプロビジョニングされます。 /26 アドレス空間を使用すると、スケールに対応できる十分な数の IP アドレスをファイアウォールに使用できるようになります。 Azure Firewall では、/26 より大きいサブネットは必要ありません。 Azure Firewall サブネットに AzureFirewallSubnet と名前を付けます。

必要ない場合は、高度なログ記録を有効にしないでください。 Azure Firewall には、アクティブな状態を維持するために多大なコストが発生する可能性がある高度なログ機能がいくつか用意されています。 代わりに、これらの機能は、トラブルシューティングの目的でのみ、および限られた時間だけ使用できます。 必要がない場合は、機能を無効にします。 たとえば、上位フローとフロー トレース ログはコストがかかるため、Azure Firewall インフラストラクチャで過剰な CPU とストレージの使用率が発生する可能性があります。