ネットワークセキュリティグループ（NSG）とは？必要な理由とAzure・AWSでの活用方法を徹底解説

ネットワークセキュリティグループ（NSG）の役割とは？

ネットワークセキュリティグループ（NSG）は、クラウド環境内の複数のリソースに対して、同一のセキュリティポリシーを一括して適用できる仕組みです。例えば、同じクラスター内で動作する複数のコンピューティングインスタンスが同一のタスクを処理する場合、必要なポート設定をまとめて制御することで、管理の手間を大幅に削減できます。

Azureにおけるネットワークセキュリティグループの基本

AzureのNSGは、アクセス制御リスト（ACL）を作成し、仮想マシンがどのネットワークトラフィックを許可または拒否するかを決定するために使用されます。NSGはサブネット単位、あるいはサブネット内の個別のネットワークインターフェイス（NIC）単位で関連付けることが可能です。

NSG内のセキュリティルールは、さまざまな種類のAzureリソースに対して、トラフィックの受信・送信をどのように許可するかを定義します。1つのNSGは任意の数のサブネットやネットワークインターフェイスに関連付けることができ、逆に複数のNSGを同じインターフェイス上のリソースやサブネットに適用することもできます。

NSGとVNet（仮想ネットワーク）の関係

NSGの最大の目的はセキュリティの確保です。NSGには、ネットワークフィルター（ファイアウォール）としての機能と、Azure VNet内のリソース間で誰が通信できるかを定義するネットワークセキュリティポリシーとしての機能があります。受信（インバウンド）と送信（アウトバウンド）の両方向のトラフィックを、ルールベースで柔軟に管理できます。

NSGをサブネットに関連付けると、そのルールはサブネットに接続されているすべてのリソースに自動的に適用されます。これにより、複数の仮想マシンにわたるアクセス制御を、標準化されたインターフェースで一元的に更新できます。

ネットワークセキュリティグループの作成手順

AzureポータルでNSGを作成する基本的な手順は以下の通りです。

1. Azureポータルのメニューまたはホームページから「リソースの作成」を選択します。
2. 「ネットワーク」カテゴリから「ネットワークセキュリティグループ」を選択します。
3. 目的のサブスクリプションを選択します。
4. 既存のリソースグループを選択するか、新しいリソースグループを作成します。
5. 一意に識別できる名前を入力し、作成を完了します。

AWSでNACL（ネットワークACL）を使う理由

Amazon Web Services（AWS）におけるネットワークACL（NACL）は、サブネットレベルでインバウンド・アウトバウンドのルールセットに基づきトラフィックを制御するポリシーです。NACLはVPCのサブネットレベルで動作するため、1つのNACLを複数のサブネットに割り当てることができます。ただし、1つのサブネットに割り当てられるNACLは1つだけという制限があります。

NACLはVPC内のサブネットへの出入りするトラフィックを制御する、追加のセキュリティレイヤーとして活用できます。セキュリティグループと同様のルールをNACLにも設定することで、VPC全体のセキュリティを強化するのが効果的です。

AWSのセキュリティグループとNACLの違い

AWSのセキュリティグループはインスタンスレベルで動作し、インスタンス起動時に起動パラメータとして指定された場合にのみ適用されます。一方、NACLはサブネットレベルで動作し、サブネット内のすべてのインスタンスにデフォルトで適用されます。

セキュリティグループはステートフルなファイアウォールとして機能し、データの機密性保護を主な目的とします。NACLはサブネットへの追加の防御壁として、両者を組み合わせることで多層的なセキュリティを実現できます。

NSGとASG（アプリケーションセキュリティグループ）の違い

AzureのNSGとASGは役割が大きく異なります。NSGはネットワークトラフィックを制御・強制するためのAzureリソースである一方、ASGはNSG内で使用されるオブジェクトであり、アプリケーションの視点で仮想マシンをグループ化するものです。ASGを活用することで、IPアドレスを個別に管理することなく、論理的なグループ単位でセキュリティルールを定義できます。

Azure NSGはファイアウォールなのか？

Microsoft Azure FirewallはOSI参照モデルのレイヤー4およびレイヤー7で動作するのに対し、NSGはレイヤー3およびレイヤー4で動作します。つまり、NSGはネットワーク層でトラフィックをフィルタリングする基本的なファイアウォールに近い存在です。一方、Azure Firewallは脅威インテリジェンスやアプリケーションルールなど多くの機能を備えた、より包括的で堅牢なマネージドサービスと言えます。

まとめ

ネットワークセキュリティグループは、クラウド環境のトラフィックを制御するための基本的かつ重要な仕組みです。AzureのNSGとAWSのNACLは似た概念でありながら、適用レベルや動作方式が異なります。それぞれの特性を理解し、セキュリティグループやファイアウォールサービスと組み合わせることで、堅牢なクラウドセキュリティ体制を構築しましょう。