Azureネットワークセキュリティグループ（NSG）とは？仕組みとFirewall・ASGとの違いを徹底解説

Azureネットワークセキュリティグループ（NSG）とは

Azureネットワークセキュリティグループ（Network Security Group：NSG）とは、Azure仮想ネットワーク（VNet）に流入・流出するトラフィックをフィルタリングできる機能です。NSG内に定義されたセキュリティルールによって、どのトラフィックを許可し、どのトラフィックを拒否するかを細かく制御できます。

1つのNSGは複数のサブネットやネットワークインターフェース（NIC）に関連付けることが可能で、同じリージョン内の仮想マシン（VM）やサブネットに対して一元的なアクセス制御を提供します。これにより、多数のVMを運用している環境でも、標準化されたインターフェースでアクセス制御を効率的に管理できます。

NSGの仕組み

NSGは、トラフィックのフィルタリング方法を定義した複数のアクセス制御ルールで構成されています。VMが受信するトラフィックは、ネットワークへの侵入経路（イングレス）に入る前に、NSGで定義されたフィルタリングルールによって評価されます。

NSGをサブネットに関連付けると、そのサブネットに接続されているすべてのリソースに対してルールが適用されます。また、ネットワークインターフェースレベルでも適用できるため、個別のVM単位でのきめ細かな制御も可能です。

NSGとAzure Firewallの違い

NSGとAzure Firewallは、どちらもネットワークトラフィックを制御する機能ですが、役割と性能が大きく異なります。

• NSG：OSI参照モデルのレイヤー3（ネットワーク層）およびレイヤー4（トランスポート層）で動作し、IPアドレスやポート番号に基づいてトラフィックをフィルタリングします。いわば「基本的なファイアウォール」のような存在です。
• Azure Firewall：レイヤー3、レイヤー4に加えてレイヤー7（アプリケーション層）のトラフィック分析・フィルタリングにも対応した、包括的かつ堅牢なマネージドファイアウォールサービスです。

つまり、NSGはシンプルなネットワーク層でのフィルタリングを行うのに対し、Azure Firewallはより多機能で高度な脅威対策を提供します。両者を組み合わせて使用することで、多層的なセキュリティ体制を構築できます。

NSGとASG（アプリケーションセキュリティグループ）の違い

Azureには、NSGと似た名前の「ASG（Application Security Group：アプリケーションセキュリティグループ）」というリソースも存在しますが、両者の役割はまったく異なります。

• NSG：ネットワークトラフィックの制御と強制を行うAzureリソースです。サブネットレベルではサブネットへの出入りするトラフィックを、NICレベルではインバウンド・アウトバウンドのトラフィックフローを識別・制御します。
• ASG：NSG内で使用されるオブジェクトであり、NSGのルール管理を支援する機能です。アプリケーションの役割ごとにVMをグループ化することで、IPアドレスを意識せずに直感的なセキュリティルールを定義できます。

簡単に言えば、NSGが「トラフィックを実際に制御する本体」であり、ASGは「NSGのルールを整理・管理しやすくするための仕組み」という関係です。

セキュリティグループとファイアウォールの一般的な違い

セキュリティグループでもネットワークトラフィックをブロックできますが、一般的なファイアウォールと比較すると管理が容易である点が特徴です。特定のポートに対する通信の許可・拒否や、特定のサーバーからの通信のみを受け入れるといった、IPベースのルール設定が中心となります。

NSGの作成手順

AzureポータルでNSGを作成するには、以下の手順を実行します。

1. Azureポータルで「リソースの作成」を選択します。
2. 「ネットワーキング」カテゴリから「ネットワークセキュリティグループ」を選択します。
3. 対象のサブスクリプションを選択します。
4. 既存のリソースグループを選択するか、新しいリソースグループを作成します。リソースグループは一意のテキスト文字列で識別されます。
5. 必要な情報を入力してNSGを作成します。

NSGの適用方法

作成したNSGは、サブネットまたはネットワークインターフェースに関連付けることで実際に機能します。Azureポータルを使用すれば、NSGの作成からサブネットへの関連付けまでを一貫して行えます。「リソースの作成」→「ネットワーキング」→「ネットワークセキュリティグループ」の順に選択するだけで、簡単にNSGを作成できます。

まとめ

Azureネットワークセキュリティグループ（NSG）は、Azure仮想ネットワーク内外のトラフィックをフィルタリングするための基本的かつ重要なセキュリティ機能です。サブネットやNIC単位で柔軟に適用でき、ASGと組み合わせることでルール管理も効率化できます。より高度なアプリケーション層の防御が必要な場合は、Azure Firewallとの併用を検討しましょう。自社のセキュリティ要件に応じて、これらの機能を適切に使い分けることが、安全なクラウド環境構築の鍵となります。