Azure 第25回『仮想ネットワークの盾 ーNSG と Azure FireWallー』

オンプレミスのネットワークではファイアウォールや IPS / IDS を利用してセキュリティを確保することが一般的です。同じように Azure の仮想ネットワークでもセキュリティを確保するためのさまざまなサービスが提供されています。

・ネットワークセキュリティグループ（NSG）
・Azure Firewall
・Azure NAT Gateway
・サードパーティ製の次世代ファイアウォール（NGN）

今回は一番基本的なセキュリティ機能であるネットワークセキュリティグループを中心に、これらのサービスについて解説します。

ネットワークセキュリティグループ（NSG）は仮想ネットワークのサブネットおよび仮想マシンの仮想ネットワークインターフェースで構成できる IP ファイアウォールです。サブネットや仮想ネットワークインターフェースに対するエグレス（外部への送信）・イングレス（外部からの受信）の双方に対して、L3 / L4 レベルの規則で制御を行います。
ネットワークセキュリティグループの利用には料金がかかりません。

Azure ポータルで仮想マシンを新規作成する際、[ネットワーク] タブでNIC ネットワークセキュリティグループを構成できます。

・[なし] を選択すると NSG は構成されません。
・[Basic] を選択すると、下の [パブリック受信ポート] および [受信ポートを選択] の設定に従って構成された NSG が新規作成され、仮想ネットワークインターフェースに割り当てられます。
・[詳細] を選択すると、既存の NSG を選択するか、または NSG を新規作成してカスタム規則を構成し、仮想ネットワークインターフェースに割り当てることができます。

仮想ネットワークインターフェースに割り当てられた NSG は仮想マシンのブレードの [ネットワーク] で確認、編集することができます。

仮想ネットワークインターフェースに割り当てられた NSG は、仮想ネットワークインターフェースのブレードの [ネットワークセキュリティグループ] で変更することができます。

またポータルで仮想ネットワークを作成する際に、[IP アドレス] タブでサブネットの編集・追加を行い、サブネットに対する NSG の割り当てや、NSG の新規作成が行えます。

作成済みのサブネットに対して既存の NSG の割り当てや NSG の変更を行うこともできます。

NSG を作成すると以下のような既定の規則が作成されます。

受信セキュリティ規則・送信セキュリティ規則共に、最も低い優先度ですべてのトラフィックをブロックする規則が作成されます。
これに加えて、受信セキュリティ規則では Azure ロードバランサーから任意の宛先への通信と、仮想ネットワークから仮想ネットワークへの通信を許可する規則が追加されます。送信セキュリティ規則では任意の送信元からインターネットへの通信と、仮想ネットワークから仮想ネットワークへの通信を許可する規則が追加されます。
既定の規則は編集・削除ができません。

NSGの規則を追加・編集するには、以下のいずれかから行います。

規則は 5 タプル情報 (送信元、送信元ポート、宛先、宛先ポート、プロトコル) に基づいて評価および適用されます。ポータルで規則を作成する際は、ソース、ソースポート範囲、宛先、宛先となるサービス（または宛先ポート範囲とプロトコル）、アクション、優先度、名前、説明（必須ではありません）を構成します。

セキュリティ規則にはいくつかの注意事項があります。主な注意事項は以下のとおりです。

先に説明したように、NSG は仮想マシンの仮想ネットワークインターフェースと仮想ネットワークのサブネットの2つに対して構成できます。仮想ネットワークインターフェースとサブネットにそれぞれに設定された NSG は独立して機能するので、両方に構成した場合の動作は以下のようになります。

・受信トラフィック：先にサブネットの NSG で処理され、許可されたトラフィックのみ仮想ネットワークインターフェースに送られ、仮想ネットワークインターフェースの NSG で処理されます。
・送信トラフィック：先に仮想ネットワークインターフェースの NSG で処理され、許可されたトラフィックのみサブネットに送られ、サブネットの NSG で処理されます。

上の図のような規則の競合による複雑さを避けるために、同一サブネット内の特定の仮想マシンにだけ他とは異なる制限を設けなければならない特別な理由がない限り、NSG はサブネットまたは仮想ネットワークインターフェースのいずれか一つに関連付け、両方に関連付けないことが推奨されています。

ネットワークセキュリティグループの動作の仕組みについて詳しくは、以下の記事を参照してください。

ネットワークセキュリティグループの作成・管理について詳しくは、以下の記事を参照してください。

サービスタグについて詳しくは、以下の記事を参照してください。

Azure Firewall は Azure 仮想ネットワーク内に設置できる、ステートフルでフルマネージドな L7 ファイアウォールです。オンプレミスのファイアウォール アプライアンスと同様に、規則を基にしたネットワーク通信の制御を行います。

またロギングも可能なので、ファイアウォール内のトラフィックと操作を監視できます。ログの収集と分析には Azure Monitor を通じて Log Analytics ワークスペースが利用できます。
Azure Firewall は稼働時間と処理データ量の双方に対する従量課金で利用できます。

同じようなネットワークセキュリティ機能であるネットワークセキュリティグループ（NSG）と Azure Firewall を比較すると、以下のようにまとめることができます。

NSG が仮想ネットワークインターフェースやサブネットの機能として動作するのに対して、Azure Firewall はネットワークの境界に配置される独立したアプライアンスとして動作します。
またアプリケーション層（L7）で機能しますので、IP アドレス/ポート番号だけでなく FQDN ベースでのフィルター処理や、アプリケーションレベルのフィルター処理、脅威インテリジェンスベースのフィルター処理が行えます。
NSG が無料のサービスであるのに対して、Azure Firewall は従量課金制の有償サービスです。

Azure Firewall には Standard、Premium、Basic の3つの SKU が用意されています。

Azure Firewall は仮想ネットワーク内に専用のサブネット（ Azure Firewall Subnet ）に設置し、保護の対象となるワークロードを実行する仮想マシンは Azure Firewall Subnet を経由して他のネットワークと通信するように構成します。
Azure Firewall Subnet はワークロードを実行する仮想マシンと同じ仮想ネットワーク内に設置できますし、別の仮想ネットワーク（Firewall 専用の仮想ネットワーク）に設置してハブアンドスポークの構成とすることもできます。

Azure Firewall についての詳しい情報は、以下を参照してください。

Azure Firewall の料金についての詳しい情報は、以下を参照してください。

Azure Firewall を作成する方法については、以下を参照してください。

ネットワークセキュリティに役立つ Azure のサービスはネットワークセキュリティグループと Azure Firewall 以外にもいくつか用意されています。それらについて簡単に紹介します。

Azure 仮想ネットワークとインターネットの通信で利用できる、フルマネージドな NAT ゲートウェイサービスです。
Azure NAT Gateway を使用すると、プライベート サブネット内のすべての仮想マシンはプライベート IP アドレスのみ（パブリック IP なし）でインターネットにアウトバウンド接続できます。インターネットからの未承諾のインバウンド接続は、NAT Gatewayでブロックされます。

Azure NAT Gateway についての詳しい情報は、以下を参照してください。

Azure 仮想ネットワークにはサードパーティ製のセキュリティアプライアンスを設置できます。
提供されている仮想セキュリティアプライアンスには次世代ファイアウォール製品も多く揃っています。
Palo Alt、Fortinet、Cisco、F5、Sophos、Barracuda などオンプレミスのネットワークセキュリティでメジャーなベンダーの製品が提供されていますので、すでにオンプレミスネットワークで利用している製品と同じものを Azure で利用することも可能です。
提供されている製品は、以下のリンクから確認できます。

Azure の仮想ネットワークや仮想ネットワーク内の仮想マシンのネットワークセキュリティを保護する機能としては、ネットワークセキュリティグループと Azure Firewall が代表的です。どちらもファイアウォールとして機能しますが、動作のレイヤーが異なるので、確保すべきセキュリティの要件に応じて選択して利用してください。また Azure NAT Gateway やサードパーティ製の次世代ファイアウォール製品を利用することもできます。
セキュリティに対する要件はさまざまですが、Azure では多くの機能やサービスが提供されていますので、要件を満たすものを見つけることができるでしょう。
Azure で利用するセキュリティ機能の選定・選択や構成についてのご相談は、当社担当営業までご連絡ください。
またこれから Azure の利用を開始してセキュリティの強化を図りたいというお客様も、ぜひ当社担当営業までご相談ください。