Network Security
packetをどこでfilterし、どのruleが実際にmatchし、NAT・DNS・TLS・routeとどう相互作用するかまで追うためのネットワーク セキュリティ リファレンス。
22 articles
ではNSG/ASG/effective rules、Azure Firewall/Policy/NAT/DNS/Premium、Firewall Manager、DDoS、Zero Trustを深掘り。既存のWAF/Private Endpoint/Security Admin Rule記事はそのまま残しています。
Network Security Group (NSG)
Azure VNet内のinbound/outboundを5-tupleとstateful flow recordで制御するNSGを、適用点・既定rule・検証方法まで実運用向けに整理する。
Network SecurityNSG Rule Processing
direction、priority、5-tuple、stateful connection、subnet/NICの複合適用をpacket単位で追い、NSGの実効判定を誤らないための実践リファレンス。
Network SecurityNSG Default Rules
65000以降にAzureが持つAllowVNet / AllowAzureLoadBalancer / AllowInternetOutbound / DenyAllを、service tagの意味とoverride設計まで含めて読む。
Network SecurityNSG Augmented Rules
複数のexplicit IP/rangeとport rangeを1つのNSG ruleへまとめ、rule explosionを抑えながらreview可能性を維持する設計。
Network SecurityApplication Security Groups (ASG)
VM/NICをapplication roleでgroupingし、NSG ruleをIP直書きからrole-based policyへ変えるASGの設計・制約・障害切り分け。
Network SecurityEffective Security Rules
NICへ実際に作用するsubnet/NIC NSGとVirtual Network Manager security admin rulesを集約し、configured rule一覧から実効判定へ進むための診断ページ。
Network SecurityVirtual Network Manager Security Admin Rules
NSGより前段で組織横断のbaseline policyを強制する。
Network SecurityAzure Firewall
Azure-managed stateful Firewallをhub/spokeのinspection pointとして使う際のrouting、rule processing、SNAT/DNAT、SKU、logging、HAを1ページでつなぐ。
Network SecurityAzure Firewall Policy
Rule Collection Group → Rule Collection → Ruleの階層、parent/child inheritance、SKU policy、DNS/TLS/IDPS設定を中央管理するFirewall Policyの設計。
Network SecurityFirewall Network Rules
TCP/UDP/ICMPなどL3/L4条件をIP、service tag、IP Group、必要に応じFQDNで制御するNetwork Rulesを、Application Rulesとの差とSNATまで含めて整理する。
Network SecurityFirewall Application Rules
HTTP/S・MSSQLなどapplication-aware trafficをFQDN/SNI/URL categoryで制御し、Network Rulesとのprocessing差、TLS、SNATを理解する。
Network SecurityFirewall DNAT
Firewall public IP/portへのinboundをprivate backendへ変換・許可するDNATを、rule precedence、implicit allow、return path、WAFとの役割分担で整理する。
Network SecurityAzure Firewall Premium IDPS
Premium SKUのsignature-based IDPSをAlert/Denyで運用し、encrypted traffic、false positive、signature override、performanceを安全に扱う。
Network SecurityAzure Firewall Premium TLS Inspection
HTTPSをdecrypt-inspect-reencryptするPremium TLS inspectionを、CA/Key Vault、client trust、application compatibility、IDPS/URL filteringとの関係から実装・運用する。
Network SecurityAzure Firewall DNS Proxy
Azure Firewallをclient DNSとupstream resolverの間に置き、FQDN network rulesのresolutionをclientとFirewallで一致させるためのDNS proxy設計。
Network SecurityAzure Firewall Manager
複数region/subscriptionのAzure FirewallとFirewall Policyを中央管理し、secured virtual hubまたはhub VNetでsecurity perimeterを標準化する。
Network SecurityWAF on Application Gateway
regional L7 reverse proxyにmanaged/custom WAF policyを適用し、web exploitを防御する。
Network SecurityWAF on Azure Front Door
global edgeでHTTP requestをinspectionし、originへ到達する前にWAF policyを適用する。
Network SecurityAzure DDoS Protection
publicly reachable Azure endpointに対するL3/L4 DDoS mitigationをNetwork Protection / IP Protectionの選択、telemetry、WAF連携、attack runbookまで含めて設計する。
Network SecurityZero Trust Networking
「Verify explicitly / Use least privilege / Assume breach」をAzure networkへ落とし込み、VNet/subnet/NSG/Firewall/Private Link/identity/telemetryを多層で組み合わせる。
Network SecurityPrivate Endpoint Security
PaaSへprivate IPで到達してもpublic access無効化、DNS、NSG/UDR等を別々に確認する。
Network SecurityFirewall Rule Review Checklist
Firewall/NSG rule追加時のsource/destination/service/action/expiry/evidenceを確認する。