Intune ファイアウォール 設定項目 の マッピング

# はじめに
Intune を使って、Windows クライアントへ ファイアウォール のルールを配布する際に、どの項目が どの設定に反映するのか 死ぬほど解りづらくて躊躇することがあると思います。

それを少しでも軽減できればと思い、出来る限り PC 上 の設定画面と マッピング してみました。

以下も関連記事として参照ください。

https://qiita.com/carol0226/items/f4ec27cb0d282c734cc2

# おさらい
Windows Defender Firewall に関する設定は、大きく **"Windows ファイアウォール プロファイル"**（<font color = 'blue'>青枠</font>）と **"Windows ファイアウォール 規則"**（<font color = 'red'>赤枠</font>）の２種類に分けらます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a9a4a4bf-02d8-69af-0e78-e754cf41b204.png)

**公開情報：Windows ファイアウォールの概要**

https://learn.microsoft.com/ja-jp/windows/security/operating-system-security/network-security/windows-firewall?wt.mc_id=mvp_407731

**学習教材：セキュリティが強化された Windows Defender ファイアウォールについて調べる**

https://learn.microsoft.com/ja-jp/training/modules/manage-defender-windows-client/6-explore-windows-defender-firewall-advanced-security?wt.mc_id=mvp_407731

**補足**
ドメインプロファイルは、デバイスが ドメインコントローラー と接続できる状態の場合に選択されます。

プライベートプロファイルは、プライベート IP アドレス配下で利用されている場合に適用されます（ドメインコントローラーとは繋がらない場合や、ドメイン参加していない場合など）

パブリックプロファイルは、それ以外のネットワークです。

それぞれのプロファイル（接続環境）ごとに、既定のルールを構成しておくことができます。
例えば、社内 LAN に接続されている時には、ファイアウォールを 完全に無効化 して、ネットカフェを介した接続の際には、ファイアウォールを有効にする・・・という事が実現できます。

そして、ファイアウォール規則 で作成した規則を、各プロファイルで有効・無効 を選択する事が可能です。
たとえば、PC が 社内（ドメインプロファイル）にある時には、外部から RDP (3389) の通信を許可するが、PC が 社外（パブリックプロファイル）にある時には、RDP (3389) は許可しない・・・という構成が実現できます。

# Windows Defender Firewall 設定用の複数の手段
以下の記事を参照いただくと判りますが、PC 上の Windows ファイアウォール は、１つのサービス なのですが、さまざまなツールが用意されていると説明されています。

**公開情報：Windows ファイアウォール ツール**

https://learn.microsoft.com/ja-jp/windows/security/operating-system-security/network-security/windows-firewall/tools?wt.mc_id=mvp_407731

**（上記の公開情報より抜粋）**
- Windows セキュリティ
- コントロール パネル
上記２つは クライアント PC 上の UI で操作できます。
- セキュリティが強化された Windows Defender ファイアウォール
クライアント PC 上の UI に加えて、ドメインコントローラー の　GPO でも制御できます。
- 構成サービス プロバイダー (CSP)
これが Intune の設定と関係しており、本記事で 説明している内容です。
他社製 MDM 管理ツールと互換性を確保するために CSP が提供されています。
以下のような流れで 設定が適用されていくと考えてください。
　**"Intune" → "CSP" → "デバイス"**
　**"他社製 MDM 管理ツール" → "CSP" → "デバイス"**
https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731
- コマンド ライン ツール
**netsh advfirewall** というコマンドで制御を行います。
https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/networking/netsh-advfirewall-firewall-control-firewall-behavior?wt.mc_id=mvp_407731

# Intune を使った管理の考え方
さて、ようやく本題です。
Intune から構成を配布する際にも、前章で説明した ２種類を分けて考える点は同じです。
この記事では、おおきく 以下の２章に分けて説明していきます。
**1. Windows ファイアウォール プロファイル**
**2. Windows ファイアウォール 規則**

:::note warn
Intune でも 上記のように **プロファイル** と **規則** に分けて考える点は 変わらないのですが、UI の 表示順 や 項目名 に差異があるので、目的の設定が どれなのかを把握する事がとても難しいです。
:::

**公開情報：Intune でのエンドポイント セキュリティのファイアウォール ポリシー**

https://learn.microsoft.com/ja-jp/mem/intune/protect/endpoint-security-firewall-policy?wt.mc_id=mvp_407731

**Intune から ポリシーを作成する画面までの遷移**
>**Intune 管理センター** (https://intune.microsoft.com) を開いて、
>**[エンドポイント セキュリティ] → [ファイアウォール] → [ポリシーの作成]**

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/5f6be86f-c48c-1c21-cbbc-74b14f11618b.png)

以下の画面が開いたあと、プラットフォームで **Windows** (<font color = "red">赤下線部</font>) を選択したあと、以下のいずれかを選びます。
・**Windows ファイアウォール プロファイル** の場合は、<font color = "green">緑下線部</font>
・**Windows ファイアウォール規則** の場合は、<font color = "blue">青下線部</font>
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/65b53474-2671-06c6-b91a-2e0340b10a6a.png)

# 1. Windows ファイアウォール プロファイル
以下は、PC 上の セキュリティが強化された Windows Defender ファイアウォールの設定画面です。
この設定画面に関連する CSP のパスと Intune 構成プロファイル の画面を順に記載しています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d45ceb37-553b-618d-39c7-6d0c6a8e4040.png)

**公開情報：Windows ファイアウォール プロファイル**
https://learn.microsoft.com/ja-jp/mem/intune/protect/endpoint-security-firewall-profile-settings?wt.mc_id=mvp_407731#windows-firewall-profile
　<br>
**Intune 設定画面への遷移**

0. 以下の通り選択して **作成** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/17710205-5a2a-abae-a2f3-394223526c02.png)
　<br>
0. **基本情報** タブでは、任意のポリシー名 を入力して **次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/14c1fb3e-cbcc-308b-1205-b7721b599589.png)
　<br>
0. **構成設定** タブで **赤枠** の箇所を押して **ファィアウォール** の項目を開きます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4057cb04-3815-b963-e7a8-8b6a3a923c6a.png)
　<br>
0. 以下の画面で、**〇〇ネットワークのファイアウォールを有効にする** を **True** にすると、追加の設定項目が表示されて、後述する設定が行えるようになります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c0e9376f-91b5-fc51-131a-bdcd8824c0fd.png)

## 1-1. 状態

### 1-1-1. ファイアウォールの状態
（CSP のパス）
ドメイン プロファイル：[MdmStore/DomainProfile/EnableFirewall](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofileenablefirewall)
（Intune 構成プロファイルの画面）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ca32401a-58cd-b954-d1d6-91945ad251f7.png)

（CSP のパス）
プライベート プロファイル：[MdmStore/PrivateProfile/EnableFirewall](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofileenablefirewall)
（Intune 構成プロファイルの画面）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4f1e98de-90f2-29c2-0714-c6f7b1d32672.png)

（CSP のパス）
パブリック プロファイル：[MdmStore/PublicProfile/EnableFirewall](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofileenablefirewall)
（Intune 構成プロファイルの画面）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/780631af-f7c2-0ad2-7c4e-be69f49ca975.png)

:::note info
次章以降は、**(CSP のパス)** と **(Intune 構成プロファイルの画面)** の表記は、見やすさを優先して割愛しています。
:::

### 1-1-2. 受信接続
受信接続は、既定では **"ブロック"** になっています。
ブロックと言う事は、外部から デバイスへの通信は ブロック する構成になっていて、個別に許可させたいルールを ファイアウォール規則 で許可していく **"ホワイトリスト"** 形式です。

この既定の動作を、逆（ブラックリスト）の形式にする場合に、**既定の受信アクション** で **許可** を設定します。この場合、全ての通信が許可されてしまうので、必要なブロック規則を すべて **ファイアウォール規則** で記載する必要があります。

ドメイン プロファイル：[MdmStore/DomainProfile/DefaultInboundAction](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofiledefaultinboundaction)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd0cc2b0-f6cc-6831-773c-8b72c971158a.png)
上記を True にした時だけ、以下の設定項目が現れます（以降も同様）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/16e6db8c-3924-82e1-ca5c-99c5a273c6fd.png)

プライベート プロファイル：[MdmStore/PrivateProfile/DefaultInboundAction](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofiledefaultinboundaction)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b780c7b-0db5-7faf-2673-8bbe1c1873d0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/809768ff-f715-e9ae-46e8-406d59f68841.png)

パブリック プロファイル：[MdmStore/PublicProfile/DefaultInboundAction](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofiledefaultinboundaction)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/502c3d51-1dc8-e7ca-0d73-3902bcbc504d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6beffe22-d3aa-c846-a51f-31c249ba4ba1.png)

### 1-1-3. 送信接続
送信接続は、既定では **"許可"** になっています。
"許可" と言う事は、デバイスから 外部への通信は 許可 する構成になっていて、個別に止めたいルールを ファイアウォール規則 で ブロック していく **"ブラックリスト"** 形式です。

この既定の動作を、逆（ホワイトリスト）の形式にする場合に、**既定の発信アクション** で **ブロック** を設定します。この場合、全ての通信が "ブロック" されてしまうので、必要な すべての 許可規則 を **ファイアウォール規則** で記載する必要があります。

ドメイン プロファイル：[MdmStore/DomainProfile/DefaultOutboundAction](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofiledefaultoutboundaction)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd0cc2b0-f6cc-6831-773c-8b72c971158a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a93815b9-34a1-2feb-a2ba-9d20435512e5.png)

プライベート プロファイル：[MdmStore/PrivateProfile/DefaultOutboundAction](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofiledefaultoutboundaction)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b780c7b-0db5-7faf-2673-8bbe1c1873d0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a93815b9-34a1-2feb-a2ba-9d20435512e5.png)

パブリック プロファイル：[MdmStore/PublicProfile/DefaultOutboundAction](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofiledefaultoutboundaction)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/502c3d51-1dc8-e7ca-0d73-3902bcbc504d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a93815b9-34a1-2feb-a2ba-9d20435512e5.png)

### 1-1-4. 保護されているネットワーク接続
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b8107a7-7204-abfa-5665-1da3536a1ae8.png)

上記の設定に関連する CSP は見当たりませんでした。

## 1-2. 設定
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/47b166b1-029f-25fb-f952-95d2f6ff5903.png)

## 1-2-1. 通知を表示する
ドメイン プロファイル：[MdmStore/DomainProfile/DisableInboundNotifications](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofiledisableinboundnotifications)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd0cc2b0-f6cc-6831-773c-8b72c971158a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1c7c170a-c32c-1aa7-488c-5ffaeab993f7.png)

プライベート プロファイル：[MdmStore/PrivateProfile/DisableInboundNotifications](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofiledisableinboundnotifications)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b780c7b-0db5-7faf-2673-8bbe1c1873d0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1c7c170a-c32c-1aa7-488c-5ffaeab993f7.png)

パブリック プロファイル：[MdmStore/PublicProfile/DisableInboundNotifications](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofiledisableinboundnotifications)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/502c3d51-1dc8-e7ca-0d73-3902bcbc504d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1c7c170a-c32c-1aa7-488c-5ffaeab993f7.png)

:::note warn
**注意**
"セキュリティが強化された Windows Defender ファイアウォール" のアプリ設定画面では、**"通知を表示する"** という項目名で、既定値が **"はい"** になっていますが、
Intune では、**"着信通知を無効にする"** という項目名で 既定値が **"False"** になっている点に注意してください。
:::

## 1-2-2. ユニキャスト応答
ドメイン プロファイル：[MdmStore/DomainProfile/DisableUnicastResponsesToMulticastBroadcast](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofiledisableunicastresponsestomulticastbroadcast)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd0cc2b0-f6cc-6831-773c-8b72c971158a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/211e96f4-73a0-45d1-2b46-1a83a4b68224.png)

プライベート プロファイル：[MdmStore/PrivateProfile/DisableUnicastResponsesToMulticastBroadcast](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofiledisableunicastresponsestomulticastbroadcast)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b780c7b-0db5-7faf-2673-8bbe1c1873d0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/211e96f4-73a0-45d1-2b46-1a83a4b68224.png)

パブリック プロファイル：[MdmStore/PublicProfile/DisableUnicastResponsesToMulticastBroadcast](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofiledisableunicastresponsestomulticastbroadcast)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/502c3d51-1dc8-e7ca-0d73-3902bcbc504d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/211e96f4-73a0-45d1-2b46-1a83a4b68224.png)

## 1-2-3. 規則のマージ
規則のマージについては、以下に説明があります。

**公開情報：規則のマージ**
https://learn.microsoft.com/ja-jp/windows/security/operating-system-security/network-security/windows-firewall/rules?wt.mc_id=mvp_407731#local-policy-merge-and-application-rules

### 1-2-3-1. ローカル ファイアウォールの規則を適用する
ドメイン プロファイル：[MdmStore/DomainProfile/AllowLocalPolicyMerge](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofileallowlocalpolicymerge)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd0cc2b0-f6cc-6831-773c-8b72c971158a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/33c48fd9-2b2a-ef2a-1918-ecc7b7584031.png)

プライベート プロファイル：[MdmStore/PrivateProfile/AllowLocalPolicyMerge](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofileallowlocalpolicymerge)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b780c7b-0db5-7faf-2673-8bbe1c1873d0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/33c48fd9-2b2a-ef2a-1918-ecc7b7584031.png)

パブリック プロファイル：[MdmStore/PublicProfile/AllowLocalPolicyMerge](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofileallowlocalpolicymerge)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/502c3d51-1dc8-e7ca-0d73-3902bcbc504d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/33c48fd9-2b2a-ef2a-1918-ecc7b7584031.png)

### 1-2-3-2. ローカル接続のセキュリティ規則を適用する
ドメイン プロファイル：[MdmStore/DomainProfile/AllowLocalIpsecPolicyMerge](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofileallowlocalipsecpolicymerge)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd0cc2b0-f6cc-6831-773c-8b72c971158a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3e850a23-e0a2-51eb-c87c-0d24f587e894.png)

プライベート プロファイル：[MdmStore/PrivateProfile/AllowLocalIpsecPolicyMerge](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofileallowlocalipsecpolicymerge)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b780c7b-0db5-7faf-2673-8bbe1c1873d0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9ebef3cb-d13b-77f7-a56b-29e1d308aea4.png)

パブリック プロファイル：[MdmStore/PublicProfile/AllowLocalIpsecPolicyMerge](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofileallowlocalipsecpolicymerge)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/502c3d51-1dc8-e7ca-0d73-3902bcbc504d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/62ef6a2b-05b5-4ea3-46ca-de979af5195c.png)

## 1-3. ログ設定
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3f926bf1-bc0d-6b26-fd33-feeced45bfa2.png)

### 1-3-1. 名前

ドメイン プロファイル：[MdmStore/DomainProfile/LogFilePath](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofilelogfilepath)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd0cc2b0-f6cc-6831-773c-8b72c971158a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8aba8cc3-df10-45ed-d0ca-0053952ebf22.png)

プライベート プロファイル：[MdmStore/PrivateProfile/LogFilePath](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofilelogfilepath)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b780c7b-0db5-7faf-2673-8bbe1c1873d0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8aba8cc3-df10-45ed-d0ca-0053952ebf22.png)

パブリック プロファイル：[MdmStore/PublicProfile/LogFilePath](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofilelogfilepath)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/502c3d51-1dc8-e7ca-0d73-3902bcbc504d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8aba8cc3-df10-45ed-d0ca-0053952ebf22.png)

>**パスの内容は 以下の通りです**
>%systemroot%\system32\LogFiles\Firewall\pfirewall.log

### 1-3-2. サイズ制限
ドメイン プロファイル：[MdmStore/DomainProfile/LogMaxFileSize](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofilelogmaxfilesize)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd0cc2b0-f6cc-6831-773c-8b72c971158a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/22570980-c13e-1b5f-76e5-7a788cf2fed5.png)

プライベート プロファイル：[MdmStore/PrivateProfile/LogMaxFileSize](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofilelogmaxfilesize)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b780c7b-0db5-7faf-2673-8bbe1c1873d0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/22570980-c13e-1b5f-76e5-7a788cf2fed5.png)

パブリック プロファイル：[MdmStore/PublicProfile/LogMaxFileSize](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofilelogmaxfilesize)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/502c3d51-1dc8-e7ca-0d73-3902bcbc504d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/22570980-c13e-1b5f-76e5-7a788cf2fed5.png)

:::note warn
**注意**
"セキュリティが強化された Windows Defender ファイアウォール" のアプリ設定画面では、既定値が **"4096"** になっていますが、
Intune では、既定値が **"1024"** になっている点に注意してください。
:::

### 1-3-3. 破棄されたパケットをログに記録する
ドメイン プロファイル：[MdmStore/DomainProfile/EnableLogDroppedPackets](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofileenablelogdroppedpackets)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd0cc2b0-f6cc-6831-773c-8b72c971158a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6f88b3aa-787f-4995-db57-b875d1caa1ea.png)

プライベート プロファイル：[MdmStore/PrivateProfile/EnableLogDroppedPackets](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofileenablelogdroppedpackets)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b780c7b-0db5-7faf-2673-8bbe1c1873d0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c3065dd9-7bee-5e44-8db3-05b76fee01d8.png)

パブリック プロファイル：[MdmStore/PublicProfile/EnableLogDroppedPackets](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofileenablelogdroppedpackets)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/502c3d51-1dc8-e7ca-0d73-3902bcbc504d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/511352a8-c394-d71e-c5b3-aaaced6bb436.png)

### 1-3-4. 正常な接続をログに記録する
ドメイン プロファイル：[MdmStore/DomainProfile/EnableLogSuccessConnections](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoredomainprofileenablelogsuccessconnections)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd0cc2b0-f6cc-6831-773c-8b72c971158a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/08305a8a-595b-2756-998a-0e898cec45ac.png)

プライベート プロファイル：[MdmStore/PrivateProfile/EnableLogSuccessConnections](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstoreprivateprofileenablelogsuccessconnections)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3b780c7b-0db5-7faf-2673-8bbe1c1873d0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/7a61617f-ae7d-17f6-19c8-501d210b8d6b.png)

パブリック プロファイル：[MdmStore/PublicProfile/EnableLogSuccessConnections](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorepublicprofileenablelogsuccessconnections)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/502c3d51-1dc8-e7ca-0d73-3902bcbc504d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/73d35212-64a9-29a2-bf94-78193d0d06bb.png)

# 2. Windows ファイアウォール 規則
下図のように "受信の規則" と "送信の規則" ごとに、詳細な ファイアウォールの規則を構成できます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/53bd9d2c-edf8-bd2b-b3e6-ef8c9d7fb380.png)

**公開情報：Windows ファイアウォール ルール**
https://learn.microsoft.com/ja-jp/mem/intune/protect/endpoint-security-firewall-profile-settings?wt.mc_id=mvp_407731#windows-firewall-rules
　<br>
**Intune 設定画面への遷移**

0. 以下の通り選択して **作成** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d28bc970-62ff-4e3d-322e-eb7602bbc046.png)
　<br>
0. **基本情報** タブでは、任意のポリシー名 を入力して **次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/968020b3-5e69-11e7-a0c8-d289175df5bd.png)
　<br>
0. **構成設定** タブで **赤枠** の箇所を押して **ファィアウォール** の項目を開き、**追加** ボタンを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dcc10f73-6807-eedf-2d99-8f7764e71ea8.png)
　<br>
0. 以下の画面で、任意の ファイアウォール規則 の名称を入力してから、**アクション** 欄で、許可規則を作るのか、**ブロック** 規則を作るのかを決めます。そのあと **インスタンスの編集** を押して、規則に対する詳細な設定を構成できます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/7ff822a4-8fef-a044-79c2-53a4bd4543c0.png)

## 2-1. 作成する１つの規則に対する設定

### 2-1-1. 受信の規則 か 送信の規則 か？
これから作成する規則が、"受信の規則" なのか "送信の規則" なのかを指定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/bd191d7b-739f-0e74-15ec-f48d9c656968.png)

[MdmStore/FirewallRules/{FirewallRuleName}/Direction](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenamedirection)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/002a0419-e1ca-c43b-eceb-f33f7681665d.png)

### 2-1-2. ルールが有効 か 無効 か？
作成した規則が、"有効" なのか "無効" なのかを指定します。
規則の作成だけ行うが、まだ 使わない場合には "無効" を使います。 
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2b04a3d9-e1b2-ac93-ac2e-8d1ecf362f27.png)

[MdmStore/FirewallRules/{FirewallRuleName}/Enabled](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameenabled)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1f360cb6-3e65-2a77-0c45-2657a1b46306.png)

:::note alert
**注意**
この項目は、Web サイトの記載 と Intune の設定画面 に **誤記** があります。
検証してみて判明したのですが、この設定は **未構成** の場合は **有効** で動作します。
**（Web サイトの記載）**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/542f41df-0b88-c0a7-ccd4-db5072a6e27a.png)
**（Intune 画面）**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3a451b94-a476-e832-a3d8-d93d3ef5670c.png)
:::

## 2-2. 規則内の詳細設定
作成する規則（受信 or 送信）に対しての具体的な設定項目です。
以下のウィザード画面では、４種類から選びますが、カスタム で全項目の設定が可能なため、カスタム を選択した場合のウィザード画面を 次章 以降で示してあります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/77ce477b-f87f-66c1-6fad-36537cf9cee4.png)

### 2-2-1. プログラム
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/82826ecd-3c43-5c0b-7045-3d902f9af51a.png)

#### 2-2-1-1. すべてのプログラム
2-2-1. 章の構成をすべて 未構成 にすると、**すべてのプログラム** を選択したことになります。

#### 2-2-1-2. このプログラムのパス
[MdmStore/FirewallRules/{FirewallRuleName}/App/FilePath](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameappfilepath)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9558f0eb-7727-cb76-3d31-64c4ceb6ef78.png)

#### 2-2-1-3. サービス設定のカスタマイズ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/193d408d-d8cb-943b-2ae4-22a1b807b9f0.png)

##### 2-2-1-3-1. このサービスに適用する
[MdmStore/FirewallRules/{FirewallRuleName}/App/ServiceName](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameappservicename)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c2f57f9a-17a1-3f06-5fa3-275a8ca97076.png)

##### 2-2-1-3-2. このサービスの短い名前が付いたサービスに適用する
[MdmStore/FirewallRules/{FirewallRuleName}/App/PackageFamilyName](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameapppackagefamilyname)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/04bd2585-abd6-cdf8-16c1-9181860a1d1b.png)


### 2-2-2. プロトコルおよびポート
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/da2bce21-96d3-572e-b09d-2666d3a65383.png)

#### 2-2-2-1. プロトコルの種類
[MdmStore/FirewallRules/{FirewallRuleName}/Protocol](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameprotocol)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/86bd13ae-a1de-5349-9240-b706af21f5f2.png)
TCP = 6 , UDP = 17

:::note warn
**注意**
ローカルポート／リモートポート を指定する際には、必ず **プロトコルの種類** を指定する必要があります。しかも、TCP/UDP という文字列ではなく、数値で指定する必要があるので、ミスしやすいです。
:::

#### 2-2-2-2. ローカル ポート
[MdmStore/FirewallRules/{FirewallRuleName}/LocalPortRanges](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenamelocalportranges)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/7004c5be-c72e-9593-364c-e5e3d111f6b3.png)

#### 2-2-2-3. リモート ポート
[MdmStore/FirewallRules/{FirewallRuleName}/RemotePortRanges](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameremoteportranges)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/bf7db6ce-1c81-a715-56f8-39cb1594c600.png)

#### 2-2-2-4. インターネット制御メッセージ プロトコル (ICMP) の設定
この設定は、プロトコルの種類 で ICMPv4 を選択した場合のみ、カスタマイズが可能です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2d1b1a98-83ee-9efa-0e94-f8802590f11f.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2c6ea1e1-70a8-9552-35a4-d9ab10011cfe.png)

[MdmStore/FirewallRules/{FirewallRuleName}/IcmpTypesAndCodes](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameicmptypesandcodes)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/e56254d3-d590-fad1-79ab-595d6c910943.png)

:::note warn
**注意**
**ICMP の種類とコード** を指定する場合は、プロトコル ICMP(1) または ICMPv6(58) を同時に指定する必要があります。
Intune の設定画面では、プロトコルを指定し忘れても **ICMP の種類とコード** を設定する事が出来てしまいますが、ルールとして機能しません。
:::

### 2-2-3. スコープ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/994ad8b5-1840-d2b9-c9c0-9fb0e2639390.png)

#### 2-2-3-1. この規則を適用するローカル IP アドレス
**任意の IP アドレス** にする場合は、この設定項目を 未構成 にする。
[MdmStore/FirewallRules/{FirewallRuleName}/LocalAddressRanges](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenamelocaladdressranges)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/e0ab4057-f16e-1ce5-c383-1d52926d288c.png)

#### 2-2-3-2 インターフェイスの種類のカスタマイズ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1974edeb-f17a-2925-fd44-63351b5f468d.png)

[MdmStore/FirewallRules/{FirewallRuleName}/InterfaceTypes](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameinterfacetypes)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2cc20632-3489-4334-5a90-ddbe353f6a87.png)

#### 2-2-3-3. この規則を適用するリモート IP アドレス
**任意の IP アドレス** にする場合は、この設定項目を 未構成 にする。
[MdmStore/FirewallRules/{FirewallRuleName}/RemoteAddressRanges](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameremoteaddressranges)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ee852f99-af33-b15a-839b-fa5157ee5955.png)

### 2-2-4. 操作
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/10eb8561-c6b2-d477-d6ee-79f3e6e527b6.png)

#### 2-2-4-1. 接続を 許可／ブロック する
[MdmStore/FirewallRules/{FirewallRuleName}/Action/Type](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameactiontype)
Intune では、規則を作成する際に **アクション** 列 で設定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6ad39c5c-aa91-a069-750d-7501b358ba62.png)

#### 2-2-4-2. セキュリティで保護されている場合のみ接続を許可する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2710f65e-c493-2ee7-11b7-6864f7423410.png)

上記の設定に関連する CSP は見当たりませんでした。

### 2-2-5. プロファイル
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/73812169-a3b7-bfaa-e679-1d3cc84320a0.png)

[MdmStore/FirewallRules/{FirewallRuleName}/Profiles](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenameprofiles)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/e34783b3-e69d-e543-10c9-7d35fc9be8d4.png)

### 2-2-6. 名前
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/19ce0964-a298-9e05-7fbb-4d90c16eb320.png)

#### 2-2-6-1. 名前
[MdmStore/FirewallRules/{FirewallRuleName}/Name](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenamename)
Intune では、規則を作成する前に **名前** 列 で設定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/764d580f-e406-268c-e937-47a4506c1ac2.png)

#### 2-2-6-2. 説明（オプション）
[MdmStore/FirewallRules/{FirewallRuleName}/Description](https://learn.microsoft.com/ja-jp/windows/client-management/mdm/firewall-csp?wt.mc_id=mvp_407731#mdmstorefirewallrulesfirewallrulenamedescription)

Intune の設定画面には、該当の項目は見当たりません。
構成ポリシーには、説明欄がありますが、各 規則ごとの 説明 欄は無い様子です。

# さいごに
この記事でまとめられた内容は、実際に Intune で ファイアウォールの設定を配布しようとすると、誰しもハマる点かなと思います。

まだ、マップしきれていない設定値もあるかもしれないですし、設定の依存関係は、私が確認できたものは記載しましたが、まだ 未知のものがあるかもしれません。

もし、新しい発見をされた場合は コメント欄でお知らせいただければ、記事に反映しますので、よろしくお願いします。

# 関連 URL

**サポートブログ：Intune から設定を展開する際の注意点が記載されています**

https://jpwinsup.github.io/blog/2021/06/24/Networking/Firewall/The-issue-occur-when-you-deploy-Windows-Defender-Firewall-settings-from-Microsoft-Intune/

**サポートブログ：Defender Firewall に関する記事の一覧**

https://jpwinsup.github.io/blog/categories/Networking/Firewall/

**過去 News：Intune で ファイアウォールの制御が出来るようになったことを紹介する記事**

https://techcommunity.microsoft.com/t5/intune-customer-success/new-settings-in-microsoft-intune-to-enhance-windows-defender/ba-p/3803857

**Microsoft Learn 教材：Windows Defender Firewall について**

https://learn.microsoft.com/ja-jp/training/modules/manage-defender-windows-client/5-manage-windows-defender-firewall?wt.mc_id=mvp_407731

https://learn.microsoft.com/ja-jp/training/modules/manage-defender-windows-client/6-explore-windows-defender-firewall-advanced-security?wt.mc_id=mvp_407731