Azureネットワークセキュリティグループ（NSG）とは？仕組みとFirewall・ASGとの違いを解説

Azureネットワークセキュリティグループ（NSG）とは

ネットワークセキュリティグループ（NSG）は、Azureリソースへの送受信トラフィックを制御するためのセキュリティルールの集合体です。各ルールでは、送信元・送信先、ポート番号、プロトコルなどを柔軟に指定でき、仮想マシンやサブネットなど、さまざまな種類のAzureリソースに対して適用できます。また、1つのNSGは複数のサブネットやネットワークインターフェースに関連付けることが可能です。

NSGの仕組み

NSGは、Azureサービスとの間でやり取りされるネットワークトラフィックを監視・制御します。仮想ネットワーク（VNet）内のサブネットにも適用できるため、複数の仮想マシンにわたるアクセス制御を、標準化された一元的な方法で更新・管理できます。

NSG内のセキュリティルールは、インバウンドおよびアウトバウンドのパケットを検査し、通過を許可するか拒否するかを判断します。これにより、Azure仮想ネットワーク内外のトラフィックを効率的にフィルタリングできます。

NSGはファイアウォールなのか

NSGはファイアウォールとして機能しますが、あくまで非常に基本的なタイプのものです。ソフトウェア定義のアプローチにより、主にネットワーク層でトラフィックをフィルタリングします。

一方、Microsoft Azure FirewallはOSI参照モデルのレイヤー3〜7に対応しており、L3/L4のトラフィックに加えてL7のアプリケーショントラフィックまで分析・フィルタリングできる、包括的で高機能なマネージドファイアウォールサービスです。NSGがレイヤー3とレイヤー4で動作するシンプルなフィルタであるのに対し、Azure Firewallは多機能な本格的なセキュリティサービスだと言えます。

NSGとASGの違い

NSG（ネットワークセキュリティグループ）とASG（アプリケーションセキュリティグループ）は、役割が大きく異なります。NSGはネットワークトラフィックを強制・制御するためのAzureリソースであり、ASGはそのNSG内部で使用されるオブジェクトです。

具体的には、NSGはサブネットレベルでサブネットへの出入りトラフィックを制御します。一方、ASGはネットワークインターフェースレベルで、インバウンドおよびアウトバウンドのトラフィックフローを識別・制御します。ASGを活用すると、NSGのルール管理が容易になり、アプリケーションの構造に沿った直感的なセキュリティポリシーを定義できるようになります。

AzureでのNSGの作成方法

Azure portalでNSGを作成する手順は以下の通りです。

1. Azure portalのメニューまたはホームページから「リソースの作成」を選択します。
2. 「ネットワーキング」カテゴリから「ネットワークセキュリティグループ」を選択します。
3. 利用するサブスクリプションを選択します。
4. 既存のリソースグループ一覧から選択するか、新しいリソースグループを作成します。
5. リソースを一意に識別する名前を入力して作成を完了します。

NSGの適用方法

作成したNSGは、Azure portalを使用してサブネットに関連付けることができます。「リソースの作成」→「ネットワーキング」→「ネットワークセキュリティグループ」の順に選択してNSGを作成した後、対象のサブネットまたはネットワークインターフェースに関連付けることで、トラフィックのフィルタリングが有効になります。

まとめ

Azureネットワークセキュリティグループ（NSG）とアプリケーションセキュリティグループ（ASG）は、VNet内のネットワークトラフィックを制御・管理するための中核となるAzureリソースです。NSGはネットワーク層での基本的なトラフィックフィルタリングを提供し、より高度な脅威保護が必要な場合はAzure Firewallと組み合わせることで、多層的で堅牢なセキュリティ体制を構築できます。