Go to Qiita Advent Calendar 2024 Top
LoginSignup
4
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

お題は不問！Qiita Engineer Festa 2024で記事投稿！
Qiita Engineer Festa20242024年7月17日まで開催中！
@carol0226(Shuji Noguchi)inNTTデータ先端技術

Intune ファイアウォール 設定項目 の マッピング

Last updated at Posted at 2024-06-29

はじめに

Intune を使って、Windows クライアントへ ファイアウォール のルールを配布する際に、どの項目が どの設定に反映するのか 死ぬほど解りづらくて躊躇することがあると思います。

それを少しでも軽減できればと思い、出来る限り PC 上 の設定画面と マッピング してみました。

以下も関連記事として参照ください。

おさらい

Windows Defender Firewall に関する設定は、大きく "Windows ファイアウォール プロファイル"（青枠）と "Windows ファイアウォール 規則"（赤枠）の２種類に分けらます。

image.png

公開情報：Windows ファイアウォールの概要

学習教材：セキュリティが強化された Windows Defender ファイアウォールについて調べる

補足
ドメインプロファイルは、デバイスが ドメインコントローラー と接続できる状態の場合に選択されます。

プライベートプロファイルは、プライベート IP アドレス配下で利用されている場合に適用されます（ドメインコントローラーとは繋がらない場合や、ドメイン参加していない場合など）

パブリックプロファイルは、それ以外のネットワークです。

それぞれのプロファイル（接続環境）ごとに、既定のルールを構成しておくことができます。
例えば、社内 LAN に接続されている時には、ファイアウォールを 完全に無効化 して、ネットカフェを介した接続の際には、ファイアウォールを有効にする・・・という事が実現できます。

そして、ファイアウォール規則 で作成した規則を、各プロファイルで有効・無効 を選択する事が可能です。
たとえば、PC が 社内（ドメインプロファイル）にある時には、外部から RDP (3389) の通信を許可するが、PC が 社外（パブリックプロファイル）にある時には、RDP (3389) は許可しない・・・という構成が実現できます。

Windows Defender Firewall 設定用の複数の手段

以下の記事を参照いただくと判りますが、PC 上の Windows ファイアウォール は、１つのサービス なのですが、さまざまなツールが用意されていると説明されています。

公開情報：Windows ファイアウォール ツール

（上記の公開情報より抜粋）

  • Windows セキュリティ
  • コントロール パネル
    上記２つは クライアント PC 上の UI で操作できます。
  • セキュリティが強化された Windows Defender ファイアウォール
    クライアント PC 上の UI に加えて、ドメインコントローラー の　GPO でも制御できます。
  • 構成サービス プロバイダー (CSP)
    これが Intune の設定と関係しており、本記事で 説明している内容です。
    他社製 MDM 管理ツールと互換性を確保するために CSP が提供されています。
    以下のような流れで 設定が適用されていくと考えてください。
    　"Intune" → "CSP" → "デバイス"
    　"他社製 MDM 管理ツール" → "CSP" → "デバイス"
    https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp
  • コマンド ライン ツール
    netsh advfirewall というコマンドで制御を行います。
    https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/networking/netsh-advfirewall-firewall-control-firewall-behavior

Intune を使った管理の考え方

さて、ようやく本題です。
Intune から構成を配布する際にも、前章で説明した ２種類を分けて考える点は同じです。
この記事では、おおきく 以下の２章に分けて説明していきます。
1. Windows ファイアウォール プロファイル
2. Windows ファイアウォール 規則

Intune でも 上記のように プロファイル と 規則 に分けて考える点は 変わらないのですが、UI の 表示順 や 項目名 に差異があるので、目的の設定が どれなのかを把握する事がとても難しいです。

公開情報：Intune でのエンドポイント セキュリティのファイアウォール ポリシー

Intune から ポリシーを作成する画面までの遷移

Intune 管理センター (https://intune.microsoft.com) を開いて、
[エンドポイント セキュリティ] → [ファイアウォール] → [ポリシーの作成]

image.png

以下の画面が開いたあと、プラットフォームで Windows (赤下線部) を選択したあと、以下のいずれかを選びます。
・Windows ファイアウォール プロファイル の場合は、緑下線部
・Windows ファイアウォール規則 の場合は、青下線部
image.png

1. Windows ファイアウォール プロファイル

以下は、PC 上の セキュリティが強化された Windows Defender ファイアウォールの設定画面です。
この設定画面に関連する CSP のパスと Intune 構成プロファイル の画面を順に記載しています。
image.png

公開情報：Windows ファイアウォール プロファイル
https://learn.microsoft.com/ja-jp/mem/intune/protect/endpoint-security-firewall-profile-settings#windows-firewall-profile
　

Intune 設定画面への遷移

  1. 以下の通り選択して 作成 を押します。
    image.png
    　
  2. 基本情報 タブでは、任意のポリシー名 を入力して 次へ を押します。
    image.png
    　
  3. 構成設定 タブで 赤枠 の箇所を押して ファィアウォール の項目を開きます。
    image.png
    　
  4. 以下の画面で、〇〇ネットワークのファイアウォールを有効にする を True にすると、追加の設定項目が表示されて、後述する設定が行えるようになります。
    image.png

1-1. 状態

1-1-1. ファイアウォールの状態

（CSP のパス）
ドメイン プロファイル：MdmStore/DomainProfile/EnableFirewall
（Intune 構成プロファイルの画面）
image.png

（CSP のパス）
プライベート プロファイル：MdmStore/PrivateProfile/EnableFirewall
（Intune 構成プロファイルの画面）
image.png

（CSP のパス）
パブリック プロファイル：MdmStore/PublicProfile/EnableFirewall
（Intune 構成プロファイルの画面）
image.png

次章以降は、(CSP のパス) と (Intune 構成プロファイルの画面) の表記は、見やすさを優先して割愛しています。

1-1-2. 受信接続

受信接続は、既定では "ブロック" になっています。
ブロックと言う事は、外部から デバイスへの通信は ブロック する構成になっていて、個別に許可させたいルールを ファイアウォール規則 で許可していく "ホワイトリスト" 形式です。

この既定の動作を、逆（ブラックリスト）の形式にする場合に、既定の受信アクション で 許可 を設定します。この場合、全ての通信が許可されてしまうので、必要なブロック規則を すべて ファイアウォール規則 で記載する必要があります。

ドメイン プロファイル：MdmStore/DomainProfile/DefaultInboundAction
image.png
上記を True にした時だけ、以下の設定項目が現れます（以降も同様）
image.png

プライベート プロファイル：MdmStore/PrivateProfile/DefaultInboundAction
image.png
image.png

パブリック プロファイル：MdmStore/PublicProfile/DefaultInboundAction
image.png
image.png

1-1-3. 送信接続

送信接続は、既定では "許可" になっています。
"許可" と言う事は、デバイスから 外部への通信は 許可 する構成になっていて、個別に止めたいルールを ファイアウォール規則 で ブロック していく "ブラックリスト" 形式です。

この既定の動作を、逆（ホワイトリスト）の形式にする場合に、既定の発信アクション で ブロック を設定します。この場合、全ての通信が "ブロック" されてしまうので、必要な すべての 許可規則 を ファイアウォール規則 で記載する必要があります。

ドメイン プロファイル：MdmStore/DomainProfile/DefaultOutboundAction
image.png
image.png

プライベート プロファイル：MdmStore/PrivateProfile/DefaultOutboundAction
image.png
image.png

パブリック プロファイル：MdmStore/PublicProfile/DefaultOutboundAction
image.png
image.png

1-1-4. 保護されているネットワーク接続

image.png

上記の設定に関連する CSP は見当たりませんでした。

1-2. 設定

image.png

1-2-1. 通知を表示する

ドメイン プロファイル：MdmStore/DomainProfile/DisableInboundNotifications
image.png
image.png

プライベート プロファイル：MdmStore/PrivateProfile/DisableInboundNotifications
image.png
image.png

パブリック プロファイル：MdmStore/PublicProfile/DisableInboundNotifications
image.png
image.png

注意
"セキュリティが強化された Windows Defender ファイアウォール" のアプリ設定画面では、"通知を表示する" という項目名で、既定値が "はい" になっていますが、
Intune では、"着信通知を無効にする" という項目名で 既定値が "False" になっている点に注意してください。

1-2-2. ユニキャスト応答

ドメイン プロファイル：MdmStore/DomainProfile/DisableUnicastResponsesToMulticastBroadcast
image.png
image.png

プライベート プロファイル：MdmStore/PrivateProfile/DisableUnicastResponsesToMulticastBroadcast
image.png
image.png

パブリック プロファイル：MdmStore/PublicProfile/DisableUnicastResponsesToMulticastBroadcast
image.png
image.png

1-2-3. 規則のマージ

規則のマージについては、以下に説明があります。

公開情報：規則のマージ
https://learn.microsoft.com/ja-jp/windows/security/operating-system-security/network-security/windows-firewall/rules#local-policy-merge-and-application-rules

1-2-3-1. ローカル ファイアウォールの規則を適用する

ドメイン プロファイル：MdmStore/DomainProfile/AllowLocalPolicyMerge
image.png
image.png

プライベート プロファイル：MdmStore/PrivateProfile/AllowLocalPolicyMerge
image.png
image.png

パブリック プロファイル：MdmStore/PublicProfile/AllowLocalPolicyMerge
image.png
image.png

1-2-3-2. ローカル接続のセキュリティ規則を適用する

ドメイン プロファイル：MdmStore/DomainProfile/AllowLocalIpsecPolicyMerge
image.png
image.png

プライベート プロファイル：MdmStore/PrivateProfile/AllowLocalIpsecPolicyMerge
image.png
image.png

パブリック プロファイル：MdmStore/PublicProfile/AllowLocalIpsecPolicyMerge
image.png
image.png

1-3. ログ設定

image.png

1-3-1. 名前

ドメイン プロファイル：MdmStore/DomainProfile/LogFilePath
image.png
image.png

プライベート プロファイル：MdmStore/PrivateProfile/LogFilePath
image.png
image.png

パブリック プロファイル：MdmStore/PublicProfile/LogFilePath
image.png
image.png

パスの内容は 以下の通りです
%systemroot%\system32\LogFiles\Firewall\pfirewall.log

1-3-2. サイズ制限

ドメイン プロファイル：MdmStore/DomainProfile/LogMaxFileSize
image.png
image.png

プライベート プロファイル：MdmStore/PrivateProfile/LogMaxFileSize
image.png
image.png

パブリック プロファイル：MdmStore/PublicProfile/LogMaxFileSize
image.png
image.png

注意
"セキュリティが強化された Windows Defender ファイアウォール" のアプリ設定画面では、既定値が "4096" になっていますが、
Intune では、既定値が "1024" になっている点に注意してください。

1-3-3. 破棄されたパケットをログに記録する

ドメイン プロファイル：MdmStore/DomainProfile/EnableLogDroppedPackets
image.png
image.png

プライベート プロファイル：MdmStore/PrivateProfile/EnableLogDroppedPackets
image.png
image.png

パブリック プロファイル：MdmStore/PublicProfile/EnableLogDroppedPackets
image.png
image.png

1-3-4. 正常な接続をログに記録する

ドメイン プロファイル：MdmStore/DomainProfile/EnableLogSuccessConnections
image.png
image.png

プライベート プロファイル：MdmStore/PrivateProfile/EnableLogSuccessConnections
image.png
image.png

パブリック プロファイル：MdmStore/PublicProfile/EnableLogSuccessConnections
image.png
image.png

2. Windows ファイアウォール 規則

下図のように "受信の規則" と "送信の規則" ごとに、詳細な ファイアウォールの規則を構成できます。
image.png

公開情報：Windows ファイアウォール ルール
https://learn.microsoft.com/ja-jp/mem/intune/protect/endpoint-security-firewall-profile-settings#windows-firewall-rules
　

Intune 設定画面への遷移

  1. 以下の通り選択して 作成 を押します。
    image.png
    　
  2. 基本情報 タブでは、任意のポリシー名 を入力して 次へ を押します。
    image.png
    　
  3. 構成設定 タブで 赤枠 の箇所を押して ファィアウォール の項目を開き、追加 ボタンを押します。
    image.png
    　
  4. 以下の画面で、任意の ファイアウォール規則 の名称を入力してから、アクション 欄で、許可規則を作るのか、ブロック 規則を作るのかを決めます。そのあと インスタンスの編集 を押して、規則に対する詳細な設定を構成できます。
    image.png

2-1. 作成する１つの規則に対する設定

2-1-1. 受信の規則 か 送信の規則 か？

これから作成する規則が、"受信の規則" なのか "送信の規則" なのかを指定します。
image.png

MdmStore/FirewallRules/{FirewallRuleName}/Direction
image.png

2-1-2. ルールが有効 か 無効 か？

作成した規則が、"有効" なのか "無効" なのかを指定します。
規則の作成だけ行うが、まだ 使わない場合には "無効" を使います。
image.png

MdmStore/FirewallRules/{FirewallRuleName}/Enabled
image.png

注意
この項目は、Web サイトの記載 と Intune の設定画面 に 誤記 があります。
検証してみて判明したのですが、この設定は 未構成 の場合は 有効 で動作します。
（Web サイトの記載）
image.png
（Intune 画面）
image.png

2-2. 規則内の詳細設定

作成する規則（受信 or 送信）に対しての具体的な設定項目です。
以下のウィザード画面では、４種類から選びますが、カスタム で全項目の設定が可能なため、カスタム を選択した場合のウィザード画面を 次章 以降で示してあります。
image.png

2-2-1. プログラム

image.png

2-2-1-1. すべてのプログラム

2-2-1. 章の構成をすべて 未構成 にすると、すべてのプログラム を選択したことになります。

2-2-1-2. このプログラムのパス

MdmStore/FirewallRules/{FirewallRuleName}/App/FilePath
image.png

2-2-1-3. サービス設定のカスタマイズ

image.png

2-2-1-3-1. このサービスに適用する

MdmStore/FirewallRules/{FirewallRuleName}/App/ServiceName
image.png

2-2-1-3-2. このサービスの短い名前が付いたサービスに適用する

MdmStore/FirewallRules/{FirewallRuleName}/App/PackageFamilyName
image.png

2-2-2. プロトコルおよびポート

image.png

2-2-2-1. プロトコルの種類

MdmStore/FirewallRules/{FirewallRuleName}/Protocol
image.png
TCP = 6 , UDP = 17

注意
ローカルポート／リモートポート を指定する際には、必ず プロトコルの種類 を指定する必要があります。しかも、TCP/UDP という文字列ではなく、数値で指定する必要があるので、ミスしやすいです。

2-2-2-2. ローカル ポート

MdmStore/FirewallRules/{FirewallRuleName}/LocalPortRanges
image.png

2-2-2-3. リモート ポート

MdmStore/FirewallRules/{FirewallRuleName}/RemotePortRanges
image.png

2-2-2-4. インターネット制御メッセージ プロトコル (ICMP) の設定

この設定は、プロトコルの種類 で ICMPv4 を選択した場合のみ、カスタマイズが可能です。
image.png

image.png

MdmStore/FirewallRules/{FirewallRuleName}/IcmpTypesAndCodes
image.png

注意
ICMP の種類とコード を指定する場合は、プロトコル ICMP(1) または ICMPv6(58) を同時に指定する必要があります。
Intune の設定画面では、プロトコルを指定し忘れても ICMP の種類とコード を設定する事が出来てしまいますが、ルールとして機能しません。

2-2-3. スコープ

image.png

2-2-3-1. この規則を適用するローカル IP アドレス

任意の IP アドレス にする場合は、この設定項目を 未構成 にする。
MdmStore/FirewallRules/{FirewallRuleName}/LocalAddressRanges
image.png

2-2-3-2 インターフェイスの種類のカスタマイズ

image.png

MdmStore/FirewallRules/{FirewallRuleName}/InterfaceTypes
image.png

2-2-3-3. この規則を適用するリモート IP アドレス

任意の IP アドレス にする場合は、この設定項目を 未構成 にする。
MdmStore/FirewallRules/{FirewallRuleName}/RemoteAddressRanges
image.png

2-2-4. 操作

image.png

2-2-4-1. 接続を 許可／ブロック する

MdmStore/FirewallRules/{FirewallRuleName}/Action/Type
Intune では、規則を作成する際に アクション 列 で設定します。
image.png

2-2-4-2. セキュリティで保護されている場合のみ接続を許可する

image.png

上記の設定に関連する CSP は見当たりませんでした。

2-2-5. プロファイル

image.png

MdmStore/FirewallRules/{FirewallRuleName}/Profiles
image.png

2-2-6. 名前

image.png

2-2-6-1. 名前

MdmStore/FirewallRules/{FirewallRuleName}/Name
Intune では、規則を作成する前に 名前 列 で設定します。
image.png

2-2-6-2. 説明（オプション）

MdmStore/FirewallRules/{FirewallRuleName}/Description

Intune の設定画面には、該当の項目は見当たりません。
構成ポリシーには、説明欄がありますが、各 規則ごとの 説明 欄は無い様子です。

さいごに

この記事でまとめられた内容は、実際に Intune で ファイアウォールの設定を配布しようとすると、誰しもハマる点かなと思います。

まだ、マップしきれていない設定値もあるかもしれないですし、設定の依存関係は、私が確認できたものは記載しましたが、まだ 未知のものがあるかもしれません。

もし、新しい発見をされた場合は コメント欄でお知らせいただければ、記事に反映しますので、よろしくお願いします。

関連 URL

サポートブログ：Intune から設定を展開する際の注意点が記載されています

サポートブログ：Defender Firewall に関する記事の一覧

過去 News：Intune で ファイアウォールの制御が出来るようになったことを紹介する記事

Microsoft Learn 教材：Windows Defender Firewall について

4
2
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
4
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?