Azure認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. 仮想マシンの NIC やサブネットに関連付けて、IP アドレスとポート単位の基本的な許可／拒否を行うフィルターである

これは ネットワーク セキュリティ グループ（NSG） の説明。
NSG は仮想マシンの NIC やサブネットに関連付けて、送信元／宛先 IP アドレス・ポート・プロトコル単位で許可／拒否する基本的なフィルターで、無料で使える。
一方 Azure Firewall は専用サブネットにデプロイされ、ルーティングでトラフィックを引き込んで L3〜L7（FQDN フィルタリングなど）まで検査するマネージド サービス。役割の階層が異なるため誤り。

B. HTTP/HTTPS の Web アプリケーションを SQL インジェクションやクロスサイトスクリプティングから保護する専用サービスである

これは Azure Web Application Firewall（WAF） の説明。
WAF は Application Gateway や Azure Front Door に組み込まれ、HTTP/HTTPS の Web アプリを SQL インジェクションやクロスサイトスクリプティング（OWASP Top 10）から守る。
公式ドキュメントでも Azure Firewall とは別のネットワーク セキュリティ サービスとして明確に区別されており、Azure Firewall の説明ではない。

C. ボリューム型の DDoS 攻撃を検出して緩和することに特化したサービスである

これは Azure DDoS Protection の説明。
大量のトラフィックを送りつけてサービスを枯渇させるボリューム型攻撃の検出・緩和に特化したサービスで、これも Azure Firewall とは別サービス。
Azure Firewall はルールベースのトラフィック制御と脅威インテリジェンスが役割であり、DDoS 緩和そのものを担うわけではない。

正解

D. 外部・内部トラフィックに対し一元的なポリシー管理や脅威インテリジェンスを提供できる、ステートフルなマネージド ファイアウォールである

Azure Firewall は、Azure のワークロードを守るクラウドネイティブでインテリジェントなマネージド ファイアウォールで、これが正解。
完全にステートフルで、組み込みの高可用性とクラウド スケーラビリティを備え、インターネットとの通信（南北）だけでなく仮想ネットワーク間の内部通信（東西）も検査できる。
Standard SKU では Microsoft の脅威インテリジェンス フィードにより既知の悪意ある IP／ドメインとの通信をアラート／拒否でき、Azure Firewall Manager とファイアウォール ポリシーを使えば複数サブスクリプションのファイアウォールを一元的に管理できる。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
仮想ネットワークのワークロードをネットワークレベルで保護する	対象はネットワーク層のトラフィック全般。Web アプリ限定でも DDoS 限定でもない →選択肢（B・C）を消す
Azure Firewall はどこに配置され、どう機能するか	専用サブネットにデプロイするステートフルなマネージド ファイアウォール。NIC に貼り付ける NSG とは階層が違う →選択肢（A）を消す
外部（南北）だけでなく内部（東西）トラフィックも検査できるか	Azure Firewall は東西・南北の両方を検査し、FQDN など L3-L7 のルールを適用できる →選択肢（D）は候補
高度な脅威防御・一元管理ができるか	脅威インテリジェンス フィードで既知の悪性 IP/ドメインをブロックし、Firewall Manager ＋ ファイアウォール ポリシーで複数ファイアウォールを一元管理 →選択肢（D）が正解

ひっかけポイント

• 選択肢 A（NSG）が最大の罠。NSG＝NIC/サブネットに関連付ける無料の L3/L4 フィルター、Azure Firewall＝専用サブネットに置く L3-L7 のマネージド サービスと、配置場所と機能の深さで切り分ける
• 「ファイアウォール」という語で WAF（Web Application Firewall） と混同させるのが選択肢 B。WAF は HTTP/HTTPS の Web アプリ専用で、Application Gateway / Front Door に組み込まれる別物
• 選択肢 C の DDoS Protection も「ネットワークを守る」点は同じだが、守り方（ボリューム型攻撃の緩和）が別。Azure Firewall・WAF・DDoS Protection は公式にも別サービスとして並記される
• 「脅威インテリジェンス」「一元的なポリシー管理」というキーワードが出たら Azure Firewall を疑うのが定石

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「サブネット単位で特定ポートの通信だけ許可したい（追加コストなしで）」	ネットワーク セキュリティ グループ（NSG） が正解軸に。
「公開している Web サイトを SQL インジェクションから守りたい」	Azure WAF（Application Gateway / Front Door） が正解に。
「大量トラフィックによるサービス停止攻撃を緩和したい」	Azure DDoS Protection が正解に。
「複数のサブスクリプションのファイアウォール規則を統一的に管理したい」	Azure Firewall Manager ＋ ファイアウォール ポリシーが正解軸に。

関連サービスの解説

Azure Firewall

リファレンス

この問題を解くために必要な知識を扱う公式ドキュメントです。

知識項目	公式ドキュメント
Azure Firewall の特徴（ステートフル、東西・南北トラフィックの検査、脅威インテリジェンス、Firewall Manager による一元管理）	Azure Firewall とは