クラウドがよく分かる！お役立ちコラム

Azure Firewallとは？セキュリティ機能や活用例、選び方を解説

この記事は約15分で読めます。

• #Azure Firewall

セキュリティサービス「Azure Firewall」とは

近年、各企業への不正アクセスやサイバー攻撃が増えており、システム開発において、強固なセキュリティシステム構築は必須といえます。セキュリティシステム構築ではファイアウォール（Firewall）が頻繁に使用されています。
ファイアウォールを使用すると、企業内や外部ネットワークからのアクセス制御を可能とします。

Azure環境の通信を制御する「Azure Firewall」

Azure上でシステムを構築する際も、Webサーバーやデータベースなどの各サーバーを保護するだけでなく、Azure内を流れる通信そのものをどのように制御・監視するかを考える必要があります。

Azure Firewallは、Azure Virtual Network（以下、VNet）上の通信を検査・制御するための、Microsoftが提供するマネージドファイアウォールサービスです。
ステートフルなファイアウォールとして動作し、受信だけでなく、ネットワーク間の通信を含めたトラフィックの検査・制御に利用できます。

例えば、複数のAzure VNetを利用する企業では、以下のような構成を取ることがあります。

Azure Firewallをネットワークの中心に配置することで、複数のネットワークから外部へ出ていく通信や、ネットワーク間の通信を一元的に制御できます。

ただし、Azure Firewallを配置するだけでは、通信は自動的にAzure Firewallを通過するわけではありません。
Route Table（UDR）などを利用して、どの通信をAzure Firewallへ通すのかを設計することが重要です。

Azure Firewallで何ができるのか？

Azure Firewallでは、ネットワーク通信をさまざまな条件で制御できます。
例えば、

• IPアドレスによる通信制御
• TCP / UDP通信の制御
• FQDNによる通信制御
• アプリケーションルール
• ネットワークルール
• DNAT
• SNAT
• 脅威インテリジェンス
• ログ・メトリックによる監視

などを利用できます。

StandardではL3～L7のファイアウォール機能や脅威インテリジェンスなどが提供され、PremiumではIDPSやTLS検査など、より高度なセキュリティ機能が利用できます。

そのため、単純に「インターネットからAzureへのアクセスを遮断する」だけではなく、Azure上のサーバーが外部へどのような通信を行うのかを制御する用途にも利用できます。

活用例1：Azure上のWebサーバーからインターネットへの通信を制御する

Azure Firewallの利用例として、特に重要なのがAzure上のサーバーからインターネットへのOutbound（送信）通信の制御です。

外部からのアクセスだけでなく、Outbound通信も管理

Webサーバーをインターネットに公開する場合、外部からのアクセスを制限するだけでは十分ではありません。
Webサーバーから外部のインターネットへ自由に通信できる状態になっていると、アプリケーションが意図していない外部サービスへアクセスしたり、侵害されたサーバーから外部へ通信されたりするリスクがあります。
そのため、セキュリティ要件として、「Webサーバーからインターネットへの通信は、業務上必要な通信のみを許可する」というルールを設けるケースがあります。

「どこへ通信できるか」を明確にする

Webサーバーのセキュリティというと、外部からWebサーバーへ入ってくる通信を制限することに目が向きがちです。
しかし、実際のシステムではWebサーバーから外部へ出ていく通信も重要な管理対象になります。

特に企業システムでは、「このサーバーはどこへ通信できるのか」を明確に説明できることが重要です。
単に「インターネットへ接続できます」という状態ではなく、「このWebサーバーは、このAPIと、このアップデート先にだけ通信できます」という状態にしておくことで、ネットワークの管理やセキュリティ監査もしやすくなります。

許可する通信の例

許可を与える通信例としては以下が挙げられます。

• OSやミドルウェアのアップデートに必要な通信
• 外部APIへのHTTPS通信
• DNSなど、名前解決に必要な通信
• その他、システム運用上必要な通信

活用例2：ハブ＆スポーク構成でAzure Firewallを利用する

企業のAzure環境では、複数の部署やシステムがそれぞれサーバーを利用しているケースがあります。

例えば、営業部門のシステム、人事部門のシステム、開発部門のシステムなどがAzure上に構築され、それぞれ異なるVNetやサブネットにサーバーが配置されているとします。
このような環境で問題になりやすいのが、各サーバーからインターネットへ出ていく通信をどのように管理するかです。

Azure FirewallにOutbound通信を集約する

部署ごとに個別のセキュリティルールを設定していくと、環境が大きくなるにつれて管理が複雑になります。
そこで、各部署のサーバーから外部へ出る通信をAzure Firewallに集約し、インターネットへのOutbound通信を一か所で検査・制御する構成を採用することで一元的に管理できます。

例えば、

• 営業サーバー → 業務で必要な外部API → 許可
• 人事サーバー → 必要なSaaS → 許可
• 開発サーバー → 必要なリポジトリ → 許可
• その他の不要な通信 → 拒否

といったルールをAzure Firewall側で管理できます。
これにより、部署ごとに異なるサーバーが存在していても、インターネットへの出口を統一できます。

Azure Firewallを経由させるためのルーティング設計

ここでAzure Firewallを導入する際に重要なのが、ルーティング設計です。
Azure Firewallを作成しただけでは、各サーバーの通信が自動的にAzure Firewallを通過するわけではありません。
例えばVM Subnetに配置されたサーバーからインターネットへ通信する場合、

という経路になるように、VM Subnetに関連付けたRoute Tableでルートを設定します。

同様に、営業部門、人事部門、開発部門など、インターネットへ接続する必要がある各サブネットについて、Azure Firewallを経由するルーティングを設計します。
「各サブネットからどこへ通信を流すのか」まで設計して初めて、Azure Firewallを経由した通信制御が成立します。

Azure Firewallのログで通信状況を確認する

また、集約を行ったAzure Firewallのログを確認することで、

• どのサーバーから
• どの外部サービスへ
• どのポート・プロトコルで
• いつ通信したのか

といった情報を確認しやすくなります。
例えば、ある部署のサーバーから想定していない外部サービスへの通信が発生していた場合、Azure Firewallのログを確認することで、通信元や通信先を調査することができます。

このように、通信経路とセキュリティポリシーを一か所に集約できることは、複数部署のシステムを運用する企業環境における大きなメリットです。

活用例3：Azure FirewallでVNet間の通信を制御する

Azure Firewallはインターネットとの通信だけでなく、VNet間などの内部通信を制御する用途にも利用できます。
例えば、

という構成があるとします。
通常、Development環境からProduction環境へのアクセスを必要以上に許可することは避けたいケースがあります。

そこで、

のように通信を制御します。
これにより、
「ネットワークがつながっている」ことと「自由に通信できる」ことを分離できます。

これは複数の環境をAzure上で運用する場合に重要な考え方です。

NSGとAzure Firewallの違い

Azureのネットワークセキュリティを考える際、よく比較されるのがNSG（Network Security Group）です。
両者は役割が異なります。

項目	NSG	Azure Firewall
主な用途	サブネット・NIC単位の通信制御	ネットワーク全体の集中制御
IP・ポート制御	◯	◯
アプリケーションレベルの制御	限定的	◯
FQDNを利用した制御	×	◯
DNAT	×	◯
ネットワーク間の集中検査	△	◯
複数VNetの通信制御	個別設計	集約可能
ログ・監視	◯	◯

NSGは、例えば、

というように、各サブネットやNICに対する基本的なアクセス制御に向いています。
一方、Azure Firewallは、

のように、複数ネットワークの通信を集中的に検査・制御する用途に向いています。
そのため、NSGかAzure Firewallかの二択ではなく、両方を組み合わせる構成も一般的です。

---

NSGについて、詳しくはNetwork Security GroupでIPやポートを制限してセキュリティ対策もご覧ください。

Azure FirewallとWAFは何が違う？

Azure FirewallとWAF（Web Application Firewall）は、どちらもセキュリティ対策に利用されるAzureのサービスですが、守る対象と検査する通信が異なります。

簡単に言うと、Azure Firewallはネットワーク全体を流れる通信を制御するためのファイアウォール、WAFはWebサイトやWebアプリケーションへのHTTP/HTTPS通信を検査するためのセキュリティ機能です。

Azure Firewallはネットワーク通信を制御

Azure Firewallは、Azure上のネットワークを流れる通信を制御するためのマネージドファイアウォールです。

例えば、Azure上のアプリケーションサーバーからインターネットへアクセスする場合、
「このサーバーから、この宛先への通信を許可する」
「このネットワークから、この通信先へのアクセスを禁止する」
といったネットワークレベルの制御を行うことができます。

WAFはWebアプリケーションを保護

一方、WAFはWeb Application Firewallの名前のとおり、Webアプリケーションを保護するための仕組みです。

HTTPリクエストの中にはURL、パラメータ、HTTPヘッダーなど、Webアプリケーションに関するさまざまな情報が含まれています。
WAFはこのようなHTTP/HTTPSのリクエストを検査し、Webアプリケーションを狙った攻撃を検知・防御するために利用します。

---

そのため、「Azure FirewallとWAFのどちらを使えばよいか」という二択ではなく、システムによっては両方を組み合わせて利用します。

WAFについて、詳しくは高い防御システムWeb Application Firewall (WAF) の概要とAzureでの利用方法もご覧ください。

Azure FirewallのSKUはどう選ぶ？

Azure Firewallには現在、Basic、Standard、Premiumの3つのSKUがあります。

Azure Firewall Basic

比較的小規模な環境向けに設計されています。
Microsoftの資料では、Basicは最大250 Mbps程度のスループットを想定した環境が目安として示されています。

Azure Firewall Standard

企業環境で利用される一般的な機能を備えたSKUです。
L3～L7のファイアウォール機能、脅威インテリジェンスなどを利用できます。

Azure Firewall Premium

より高度なセキュリティ機能が必要な環境向けです。
IDPSやTLS検査などの高度な機能が提供されています。

---

単純に「Premiumが一番高機能だからPremiumにする」という選択ではありません。
必要なセキュリティ機能、通信量、ネットワーク構成、コストなどを考慮してSKUを選択する必要があります。

Azure Firewall導入後の監視も重要

Azure Firewallは構築したら終わりではありません。
本番環境では、

• どの通信が許可されたか
• どの通信が拒否されたか
• どのサーバーが外部へ通信しているか
• 想定外の宛先へアクセスしていないか
• Azure Firewallの負荷に問題がないか

などを継続的に確認する必要があります。
Azure Firewallではログやメトリックを利用して通信状況を確認できます。
セキュリティ対策では、防御することだけでなく、何が起きているのかを把握できることも重要です。

Azure Firewallが必要とは限らない

Azure Firewallは強力なネットワークセキュリティサービスですが、すべてのAzure環境に必要というわけではありません。
比較的小規模なWebサイトで、ネットワーク間の集中制御やOutbound通信の厳格な制御などが必要ない場合、Azure Firewallを追加することで構成やコストが増える可能性があります。

一方で、

• 複数のVNetを利用している
• ハブ＆スポーク構成を採用している
• Azureからインターネットへの通信を一元管理したい
• VNet間通信を集中制御したい
• オンプレミスとAzureを接続している
• セキュリティポリシーを一元化したい
• 通信ログを集約して監視したい

といった要件がある場合は、Azure Firewallが有力な選択肢になります。
つまり、「Azure Firewallを導入するか」ではなく、「どの通信をどこで検査・制御する必要があるか」から考えることが重要です。

Azure Firewallの設計

Azure FirewallはAzure Portalから簡単に作成できます。
しかし、本番環境では、「Azure Firewallを作る」ことよりも、「ネットワーク全体のどの通信をAzure Firewallで検査・制御するのか」を決めることが重要です。

ジードでは、Azure環境の構築において、

• VNet・サブネット設計
• NSG
• Azure Firewall
• Route Table（UDR）
• Application Gateway
• Azure Front Door
• WAF
• VPN
• ExpressRoute
• オンプレミスネットワーク
• Log Analytics
• 監視・ログ

などを個別に考えるのではなく、ネットワーク全体の構成として設計します。

例えば、
「Azure上のサーバーからインターネットへの通信をすべてAzure Firewall経由にしたい」
という要件であれば、

• どのサブネットにUDRを設定するか
• Azure FirewallをどのVNetに配置するか
• 戻りの通信経路はどうするか
• NATはどうするか
• DNS通信をどうするか
• Azure Firewallログをどこへ集約するか
• 障害時にどう切り分けるか

まで含めて検討します。

また、既存のAzure環境へAzure Firewallを追加する場合は、ルート変更によって既存システムの通信に影響が出る可能性があります。
そのため、導入前に現在の通信経路を整理し、段階的に切り替えることも重要です。