Azure NSG & Firewall Auditor 是一款专为云安全专家设计的审计工具，专注于深入分析 Azure 网络安全性组（NSG）和 Azure 防火墙策略的配置状态。该工具由 Claude 提供分析能力，本身不执行任何 Azure CLI 命令或直接访问用户的 Azure 账户，而是依赖用户提供相关数据来进行深度评估。作为一款指令型工具，它帮助识别因配置错误而导致的潜在安全风险，特别是那些将关键端口暴露在互联网上的高危情况。通过自动化检查，它能快速发现如远程桌面协议（RDP）、SSH、数据库端口等敏感服务是否被错误地允许来自任意源 IP（0.0.0.0/0）的访问请求，从而为云上资产提供强有力的防护建议。 该工具适用于具备一定 Azure 网络架构知识的专业人员，尤其是负责网络安全运维或合规审计的团队。用户只需提供 NSG 规则导出文件、虚拟机有效规则视图或 Azure 防火墙策略的 JSON 数据，即可获得全面的安全评估报告。其核心优势在于能够精准定位“互联网暴露面”，并给出具体整改方案，例如推荐使用 Azure Bastion 替代直接 RDP/SSH 连接，或启用 Just-in-Time (JIT) VM Access 来临时开放管理端口。此外，工具还会检查是否存在过宽的子网间通信规则、缺失 NSG 保护的关键资源，以及流日志是否关闭导致无法追溯流量等问题，确保从多个维度提升 Azure 环境的整体安全性。 值得注意的是，使用该工具需要用户具备相应的 Azure RBAC 权限——至少拥有‘Network Contributor’角色以读取网络配置信息，若需查询虚拟机的实际生效规则，则可能需要更高权限。尽管工具本身不会修改任何设置，但其输出的建议可直接用于编写 Azure Policy 策略，实现自动化的违规阻断。总体而言，这是一个高效、精准且非侵入式的云安全辅助工具，特别适合在部署新服务前进行安全预检，或在定期安全审计中快速扫描全网风险点。
核心功能特点
- 自动检测 NSG 规则中是否存在将 RDP、SSH 等管理端口暴露给互联网的 0.0.0.0/0 源地址
- 识别数据库端口（如 SQL Server、MySQL、PostgreSQL）是否被过度授权至广泛 CIDR 范围
- 检查子网是否缺少关联的 NSG，导致敏感资源缺乏基础网络隔离保护
- 验证 NSG 流日志是否已启用，保障后续安全事件响应时的流量可追溯性
- 分析跨子网间的允许规则是否过于宽松，缺乏微隔离（Micro-segmentation）控制
- 推荐使用 Azure Bastion 和 JIT VM Access 等更安全的管理接入方式替代公网直连
适用场景
该工具最适合在多种关键场景下使用，尤其是在企业上云初期或进行周期性安全加固时。例如，当需要在生产环境中部署新的虚拟机或更新现有网络架构前，团队可以利用 NSG & Firewall Auditor 对即将应用的 NSG 规则进行全面预审，提前发现可能存在的互联网暴露漏洞，避免因配置失误导致的数据泄露或服务中断。这种前置式安全检查尤其适用于金融、医疗等高合规要求行业，确保每一步变更都符合内部安全策略与外部监管标准。 另一个典型应用场景是应急响应后的复盘分析。一旦发生安全事件，调查人员可通过比对事件发生前后 NSG 的实际生效规则与审计结果，快速定位攻击路径。例如，如果发现某台虚拟机遭受暴力破解尝试，审计工具不仅能指出此前存在 0.0.0.0/0 的 SSH 入站规则，还能结合流日志数据还原攻击时间线，辅助判断是否为配置残留所致。此外，在企业合并、系统迁移或第三方服务商接入过程中，使用该工具可全面扫描目标 Azure 环境中的遗留高风险规则，防止“影子 IT”或历史配置未被清理的问题持续存在。 对于 DevOps 和安全运维一体化（DevSecOps）流程而言，该工具也可集成到 CI/CD 流水线中作为静态安全检测环节。开发人员在提交基础设施即代码（IaC）模板时，可先运行本地脚本提取当前 NSG 配置并交由工具分析，若检测到高风险规则则自动阻断部署流程，强制要求修复后方可上线。这种方式将安全左移，显著降低后期修复成本。同时，在日常运维中，管理员可以定期调用此工具生成全网安全态势报告，跟踪整改进度，并据此优化 Azure Policy 定义，实现自动化合规治理。总之，无论是预防性防御还是事后追溯，NSG & Firewall Auditor 都能成为 Azure 网络安全的得力助手。