Azure Firewall Premium IDPSを理解するための前提
IDPSはAzure Firewall Premiumの機能で、network trafficの既知signature patternを検出し、alertまたはblockできる。 signatureごとにDisabled / Alert / Alert and Deny相当のoverrideを設定でき、severity/category/direction等で運用判断する。
IDPSをDenyへ切り替える前にAlertでbaselineを取り、business trafficのfalse positiveとexpected signatureを確認する。 encrypted HTTPSのpayloadをIDPSで深く検査するにはTLS inspectionとの組み合わせが重要。TLSを復号しない通信は可視性が限定される。
IDPS modeはthroughput/latencyへ影響し得る。容量設計はPremiumの最大値だけでなくcurrent performance matrixで確認する。 blocked/alert eventはstructured logsへ送信し、signature ID、source/destination、action、rule contextをSIEM/KQLで追跡する。
Control plane と data plane
仕組み
routing/rule processingでFirewallへtrafficが到達する。
必要に応じTLS inspectionでHTTPSを復号する。
IDPS engineがflow contentをsignature databaseと照合する。
Alertならeventを記録してforward、Denyならmatching trafficをblockする。
Log Analytics/SIEMでsignature IDとbusiness impactをtriageする。
Packet / decision path
障害時はresource一覧ではなく、同じsource/destination/port/protocolで各enforcement pointを順に追います。
- 最初はAlertでworkload baselineを取る。
- High/Medium severityだけでなく実traffic impactとexploit relevanceでsignature overrideを判断する。
- TLS inspection対象/除外を明確にし、encrypted blind spotを理解する。
- signature bypass/disableはowner、expiry、reasonを必須にする。
- performance testはIDPS/TLSをproduction相当modeで有効にして行う。
設計判断
| 判断点 | 推奨 | 理由 |
|---|---|---|
| Rollout | Alert → triage → selective override → Deny。 | false positiveで業務停止するriskを下げる。 |
| Exception | signature ID単位で期限付きoverride。 | wide bypassを避ける。 |
| Encrypted traffic | TLS inspection可否をapplication別に分類。 | payload visibilityの有無を明確にする。 |
| Capacity | current Firewall performance tableで検証。 | IDPS Deny/TLSの組合せは実効throughputへ影響する。 |
確認手順
Azure Portal / Network Watcher
- Firewall Policy → IDPSでmode、signature overrides、Private IP rangesを確認。
- TLS inspection対象ならPolicy TLS設定も確認。
- Logs/WorkbookでIDPS signature、action、source/destinationを検索し、change前後を比較。
Verification discipline
- subscription / resource group / resource ID / NIC / direction / 5-tupleを記録する。
- 同じ条件でbefore/afterを比較し、既存sessionとnew connectionを区別する。
- configuration、effective state、logs、application resultを別々の証拠として残す。
- 変更成功はcontrol-plane Succeededではなくobservable data-plane behaviorで判定する。
az network firewall policy show -g <rg> -n <policy> -o jsonc
az monitor diagnostic-settings list --resource <firewall-resource-id> -o jsoncGet-AzFirewallPolicy -ResourceGroupName <rg> -Name <policy>障害切り分け
| 症状 | 疑う点 | 証拠 | 次の確認 |
|---|---|---|---|
| Deny化後に業務通信停止 | false positive/signature applicability | IDPS log signature IDとpacket context | 期限付きoverrideまたはAlertへ戻す |
| HTTPS threatを検出できない | TLS inspection未適用/exception | TLS policyとencrypted flow | inspection対象を再設計 |
| 性能低下 | IDPS/TLS modeとautoscale | Firewall performance/metrics | SKU/capacity/rule scopeを評価 |
| 同一signatureが大量alert | noisy false positive/scanner | signature+source aggregation | source block/override/SIEM suppressionを区別 |
変更時の確認と rollback
- IDPS modeとsignature override一覧を変更前にexportする。
- emergency時はPolicy全体offより、問題signatureをAlert/Disabledへ狭く戻すことを優先検討。
- rollback後にsame test trafficとbusiness journey双方を確認する。