用途：对 Azure 网络安全组（NSG）进行合规审计与安全态势评估，全部为只读观测操作，不会修改 NSG 规则、流日志或任何 Azure 资源。
依赖与运行：使用 MCP Server azure-network-mcp（与 azure-network-ops 共用）。启动命令：python mcp-servers/azure-network-mcp/azure_network_mcp_server.py（stdio 传输）。需配置环境变量 AZURE_TENANT_ID、AZURE_CLIENT_ID、AZURE_CLIENT_SECRET、AZURE_SUBSCRIPTION_ID。审计范围可覆盖全部 NSG，也可按特定 NSG 或资源组过滤。
主要工具：azure_audit_nsg_compliance（对全部或指定 NSG 运行 CIS 基准检查）；azure_list_nsgs（列出全部 NSG 并检测无子网/网卡关联的孤立 NSG）；azure_get_nsg_rules（按优先级列出指定 NSG 的完整规则）；azure_get_effective_security_rules（查看某网卡上聚合生效的规则）；azure_get_network_watcher_status（流日志配置与保留期检查）；azure_get_vnet_details（子网与 NSG 关联）；azure_list_firewalls（Azure 防火墙策略）。
CIS 检查规则：6.1 严重——RDP 3389 端口不对互联网 0.0.0.0/0 开放；6.2 严重——SSH 22 端口不对互联网开放；6.3 高——无来自互联网的无限制 UDP（全端口）；6.4 中——NSG 流日志启用且保留期不少于 90 天。
典型用法：审计流程为先列出 NSG，再运行 CIS 合规检查，对严重/高危项查看完整规则集与受影响子网/网卡，必要时核验网卡有效规则与流日志覆盖，最后按严重级别排序输出受影响资源与修复建议。事件响应场景可先查目标网卡的有效规则，再逐条定位放行规则、检查合规缺口与流日志是否记录流量。
限制与注意：工具报错（超时、主机不可达、响应格式错误）时应直接报告错误信息，不得编造结果；只读调用可检查连通性并重试一次；任何会改变状态或发送消息的调用超时并不能证明失败，重试前需先检查当前状态或投递状态，保留审批与变更门槛，结果未知的动作不得重复执行。所有审计操作会记录 GAIT 日志用于合规追溯。修复优先级建议按严重、高、中、低排序。