Azureネットワークセキュリティグループ（NSG）とは？仕組みとファイアウォールとの違いを徹底解説

ネットワークセキュリティグループ（NSG：Network Security Group）は、Microsoft Azureが提供するネットワークトラフィックのフィルタリング機能です。Azure仮想ネットワーク（VNet）内のリソースに対するインバウンドおよびアウトバウンドの通信を制御し、許可または拒否するセキュリティルールの集合体として機能します。本記事では、NSGの基本概念からAzure Firewallとの違い、実際の設定方法まで詳しく解説します。

NSGの基本的な役割

NSGは、アクセス制御リスト（ACL）を作成し、仮想マシンがどのネットワークトラフィックにアクセスできるか（あるいはできないか）を決定します。NSGはサブネット単位、またはサブネット内の個々の仮想マシンのネットワークインターフェースに関連付けることが可能です。

NSGをサブネットに関連付けると、そのルールは接続されているすべてのリソースに自動的に適用されます。これにより、複数の仮想マシンにわたるアクセス制御を一元的に更新できる、標準化されたインターフェースが実現します。

クラウドサービスにおけるNSGの役割

NSGを活用することで、同一のセキュリティポスチャをクラウドリソースのグループ全体に適用できます。たとえば、1つのクラスター内で同じタスクを処理する複数のコンピューティングインスタンスがある場合、必要なポート設定をまとめて管理できるため、運用負荷を大幅に軽減できます。

NSGとAzure Firewallの違い

NSGとAzure Firewallはどちらもトラフィックをフィルタリングしますが、その役割と機能には大きな違いがあります。

OSI参照モデルでの対応レイヤーの違い

NSGはOSI参照モデルのレイヤー3（ネットワーク層）とレイヤー4（トランスポート層）で動作するのに対し、Azure Firewallはレイヤー4とレイヤー7（アプリケーション層）に対応しています。つまり、NSGはネットワーク層でトラフィックをフィルタリングする「基本的なファイアウォール」のような存在であり、Azure Firewallは多彩な機能を備えた包括的で堅牢なサービスです。Azure Firewallを利用すれば、L3・L4・L7の各レベルでトラフィックの分析とフィルタリングを行えます。

アドレスのマスクと脅威インテリジェンス

Azure Firewallは送信元および宛先ネットワークのアドレスをマスクできますが、NSGにはこの機能がありません。さらに、NSGは脅威インテリジェンスベースのフィルタリングを提供しない一方で、Azure Firewallはこの高度な機能を備えています。

NSGはファイアウォールなのか？

結論から言えば、NSGはファイアウォールとして機能しますが、非常に基本的なタイプです。ソフトウェア定義のアプローチによってネットワーク層のトラフィックをフィルタリングします。一方、Azure Firewallはマネージドファイアウォールサービスとして、L3〜L4のトラフィックだけでなくL7のアプリケーショントラフィックのフィルタリングと分析にも対応しており、より堅牢な保護を提供します。

Azure Firewallを使うべきケース

Azure Firewallは、OSIレイヤー3・4・7のデータのフィルタリングと分析に特化したマネージドサービスです。Azure Firewallを採用すればロードバランサーが不要となり、すべてのリクエストがリアルタイムで処理されます。また、99%の可用性で2つのゾーンが利用可能であり、高信頼性が求められる環境に適しています。

Azureでファイアウォールは本当に必要か？

Azureにはデフォルトで、DoS攻撃対策、アクセス制御リスト、基本的なトラフィック監視といったセキュリティ機能が含まれています。しかし、侵入検知・防御システム（IPS/IDS）や高度なトラフィック監視・フィルタリングなどの追加セキュリティ機能を利用するには、別途セキュリティライセンスが必要となる点に注意しましょう。

NSGとASGの違い

NSG（Network Security Group）とASG（Application Security Group）は、名前は似ていますが役割がまったく異なります。Azureネットワークセキュリティグループは、ネットワークトラフィックを強制・制御するためのAzureリソースであるのに対し、AzureアプリケーションセキュリティグループはNSGの中で使用されるオブジェクトです。ASGを活用すると、仮想マシンをアプリケーション単位でグループ化し、NSGルールでそのグループを指定できるため、ルール管理が大幅に簡素化されます。

NSGの設定方法

ネットワークセキュリティグループを作成する手順は以下の通りです。

1. Azureポータルのメニューまたはホームページから「リソースの作成」を選択します。
2. 「ネットワーキング」カテゴリから「ネットワークセキュリティグループ」をクリックします。
3. 対象のサブスクリプションを選択します。
4. 既存のリソースグループから選択するか、新しいリソースグループを作成します。
5. 必要な情報を入力して作成を完了させます。

NSGルールの処理の仕組み

アウトバウンドトラフィックの場合、Azureはまずネットワークインターフェースに関連付けられたNSGのルール（存在する場合）を処理し、その後、サブネットに関連付けられたNSGのルール（存在する場合）を処理します。インバウンドトラフィックではこの逆の順序で評価されます。優先度番号が小さいルールほど先に評価され、トラフィックが許可または拒否された時点で、それ以降のルール評価は行われません。

NSGによるVNetの保護

NSGには大きく分けて2つの側面があります。1つはネットワークフィルター（ファイアウォール）としての機能、もう1つはAzure VNetリソース間で「誰が通信できるか／できないか」を定義するネットワークセキュリティポリシーとしての機能です。これらのルールを活用することで、インバウンドとアウトバウンドの両方向のトラフィックを柔軟に管理できます。

まとめ

Azureネットワークセキュリティグループ（NSG）は、VNet内のリソースへの通信を細かく制御できる基本的かつ重要なセキュリティ機能です。より高度な脅威対策やアプリケーション層でのフィルタリングが必要な場合は、Azure Firewallとの併用を検討しましょう。NSGとASGを適切に組み合わせることで、管理の手間を抑えながら強固なセキュリティ体制を構築できます。