変更要約: Sentinel 節に Microsoft Security Copilot（生成AIによるセキュリティ運用支援・Ignite 2025）の認識注記を追記＝AI 支援トレンドの最新化（公式 skills measured の構造変更はなし）。
3.3Azure のネットワーク・インフラセキュリティ
ネットワークセキュリティグループ（NSG）、Azure Firewall、DDoS Protection、Azure Key Vault など、Azure の基盤的なセキュリティ機能を理解します。
多層防御の「ネットワーク」「インフラ」層を支えるのが、トラフィック制御や鍵管理の機能です。代表的なものを押さえましょう。
3.3.1主な機能
- ネットワークセキュリティグループ（NSG）：サブネットや NIC のレベルで、送信元/宛先・ポート・プロトコル単位に通信を許可/拒否する基本のルールセット。
- Azure Firewall：マネージドでステートフルなネットワークファイアウォール。中央で通信を制御し、脅威インテリジェンスでの遮断も可能。
- Azure DDoS Protection：大量のトラフィックでサービスを停止させる DDoS 攻撃を検知・吸収しアプリを保護する。
- Azure Key Vault：鍵・シークレット（接続文字列等）・証明書を安全に保管・管理する。アプリに直接埋め込まずに済む。
これらは前章の多層防御の層に対応づくと整理できます。NSG と Azure Firewall はネットワーク/境界の層でトラフィックを制御し、DDoS Protection は境界で大量攻撃を吸収、Key Vault はデータ/シークレットの層で機密情報を守ります。NSG が「サブネット/NIC のシンプルな許可拒否」なのに対し、Azure Firewall は「組織全体の中央集約・高度なフィルタリング」を担う、という規模・機能の違いも押さえましょう。
| 機能 | 守る層 | 役割 |
|---|---|---|
| NSG | ネットワーク | サブネット/NIC の許可・拒否 |
| Azure Firewall | 境界/ネットワーク | 中央集約のマネージド FW |
| DDoS Protection | 境界 | 大量攻撃の吸収 |
| Key Vault | データ/シークレット | 鍵・シークレット・証明書の保管 |
シナリオ：Web アプリの基盤防御。 インターネット公開の入口に Azure Firewall と DDoS Protection を置いて中央で防御。各サブネットには NSG で「Web 層は 443 のみ許可、DB 層はアプリ層からのみ許可」と細かく制御。アプリが DB に接続する文字列は Key Vault に保管し、マネージドID（前章）で鍵を持たずに取得。多層防御を Azure 機能で実装します。
混同に注意：
①NSG（サブネット/NIC の単純な許可拒否）とAzure Firewall（中央集約・高度なマネージド FW）は規模・機能が別。
②DDoS Protection は可用性（CIA の A）を守る。
③Key Vault に鍵を保管し、アプリには埋め込まない（マネージドIDと併用が定石）。
Q. NSG と Azure Firewall はどちらを使う？ 細かなサブネット/NIC 単位の制御は NSG、組織全体の中央集約・高度なフィルタは Azure Firewall。併用も一般的です。Q. Key Vault は何を守る？ 鍵・シークレット・証明書を集中管理し、漏洩リスクを下げます（CIA の機密性）。Q. DDoS 攻撃とは？ 大量のトラフィックでサービスを過負荷にして停止させる攻撃で、DDoS Protection が吸収します（可用性）。
「サブネット/NICの許可拒否＝NSG」「中央集約のマネージドFW＝Azure Firewall」「DDoS吸収＝DDoS Protection（可用性）」「鍵・シークレット保管＝Key Vault（機密性）」の対応が頻出です。多層防御の層に対応づけて理解しましょう。
3.3.2この節のまとめ
- NSG（許可/拒否）／Azure Firewall（マネージドFW）
- DDoS Protection（攻撃吸収）／Key Vault（鍵・シークレット保管）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. サブネットやネットワークインターフェイスのレベルで通信を許可/拒否するルールはどれですか？
Q2. 鍵・シークレット・証明書を安全に保管・管理する Azure サービスはどれですか？
Q3. 大量のトラフィックでサービスを停止させようとする攻撃から保護するのはどれですか？