変更要約: AZ-500 第2章を深掘り（図ja化・比較表/シナリオ/FAQ/ひっかけ/深掘り段落を全節に追加）
2.3WAF と DDoS による公開アプリの保護
インターネット公開アプリを守る Web Application Firewall（WAF） と DDoS Protection、そしてサービスへの接続を VNet 内に閉じる プライベートエンドポイント を理解します。L7 の攻撃やボリューム型攻撃から守る仕組みです。
公開 Web アプリは SQL インジェクションや XSS などのアプリ層（L7）攻撃や、大量アクセスによるDDoS にさらされます。WAF と DDoS Protection でこれらを防ぎます。
2.3.1WAF・DDoS・プライベートエンドポイント
PaaS への接続を非公開にするには Azure Private Link を使います。プライベートエンドポイントで Storage や SQL などのサービスを VNet 内のプライベート IP に割り当て、トラフィックをパブリックインターネットに出さず Microsoft バックボーン内に留めます。データ持ち出し対策にもなります。
- WAF：Application Gateway / Front Door 上で動き、OWASP ルールで SQL インジェクション・XSS など L7 攻撃をブロックする。
- DDoS Protection：大量のトラフィックによるボリューム型攻撃を吸収・緩和する。
- プライベートエンドポイント：Storage や SQL などの PaaS への接続を VNet 内のプライベート IP に閉じ、公開経由を避ける。
- サービスエンドポイント：PaaS への経路を VNet に最適化しつつ、PaaS 側のファイアウォールで VNet を許可する（プライベート IP は付与しない）。
「SQL インジェクションや XSS など L7 攻撃を防ぐ＝WAF（App Gateway/Front Door）」「ボリューム型攻撃の緩和＝DDoS Protection」「PaaS への接続をプライベート IP に閉じる＝プライベートエンドポイント」 は AZ-500 で頻出です。NSG/Firewall は L3/L4、WAF は L7 という層の違いを押さえましょう。
WAF は「検出のみ（Detection）」と「防御（Prevention）」のモードを選べます。導入時はまず検出で誤検知を確認し、その後に防御へ切り替えると安全です。
WAF は Application Gateway 上（リージョン内）か Front Door 上（グローバルなエッジ）に配置でき、後者は世界中の利用者に近い場所で L7 攻撃を遮断します。ルールは マネージドルールセット（OWASP の Core Rule Set などをマイクロソフトが更新）と、独自に作る カスタムルール（特定の国を遮断、レート制限、特定ヘッダの一致など）の組み合わせです。DDoS では、既定で有効な Infrastructure 保護 に加え、DDoS Network Protection（VNet 単位の課金で詳細メトリクス・緩和レポート・コスト保護つき）や、より細かい DDoS IP Protection（保護対象の公開 IP 単位）を選べます。プライベート接続では、プライベートエンドポイント が PaaS に VNet 内のプライベート IP を与えて公開経路を断つのに対し、サービスエンドポイント は経路を最適化しつつ PaaS 側ファイアウォールで VNet を許可するだけで、プライベート IP は割り当てません。
| 項目 | プライベートエンドポイント | サービスエンドポイント |
|---|---|---|
| プライベート IP | PaaS に VNet 内の IP を割り当てる | 割り当てない |
| 公開経路 | 断てる（IP で到達） | PaaS の公開エンドポイント経由のまま |
| オンプレからの利用 | VPN/ER 経由で到達可 | 不可（VNet 内のみ） |
| 課金 | エンドポイント単位で課金 | 追加課金なし |
シナリオ： 世界中の利用者が使う公開アプリを、地域別に一部の国を遮断しつつ SQL インジェクションから守りたい。→ Front Door 上の WAF を使い、マネージドルールセットで OWASP 系攻撃を防御モードでブロックし、カスタムルールで対象国を遮断します。バックエンドの Storage への接続はプライベートエンドポイントで閉じます。
FAQ： Q. WAF と Azure Firewall はどう違いますか？ → A. WAF は HTTP/HTTPS（L7）のアプリ攻撃に特化、Azure Firewall は L3〜L7 のネットワーク全般の集中制御です。Q. プライベートエンドポイントとサービスエンドポイントはどちらを選ぶ？ → A. 公開経路を完全に断ちオンプレからも使うならプライベートエンドポイント、VNet 内からの最適化だけで十分なら追加課金のないサービスエンドポイントです。
ひっかけ： 「WAF はボリューム型 DDoS を防ぐ」は誤りです。WAF は L7 のアプリ攻撃（SQLi/XSS 等）担当で、ボリューム型は DDoS Protection の役割です。また「サービスエンドポイントは PaaS にプライベート IP を割り当てる」も誤り（プライベート IP を与えるのはプライベートエンドポイント）。
2.3.2この節のまとめ
- WAF＝L7 攻撃の防御（App Gateway/Front Door）、DDoS＝ボリューム型の緩和
- プライベートエンドポイント＝PaaS をプライベート IP に閉じる
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. SQL インジェクションや XSS などのアプリケーション層（L7）攻撃から公開 Web アプリを守る仕組みはどれですか？
Q2. Storage や SQL などの PaaS への接続を VNet 内のプライベート IP に閉じ、公開経由を避けたい。何を使いますか？
Q3. 大量のトラフィックでサービスを停止させようとするボリューム型攻撃を緩和する Azure の機能はどれですか？