Azure Network Security Groups meistern: Bewährte Methoden für Cloud-Architekten

Von Mirko Peters · 2026-08-27

Willkommen zurück im Begleitblog zu unserem Podcast! Heute gehen wir auf ein Thema ein, das das absolute Fundament von Cloud-Architektur und Workload-Schutz bildet: Azure Network Security Groups. Wenn Sie Workloads in Microsoft Azure entwerfen, implementieren oder betreiben, ist es unverzichtbar, Ihre virtuellen Netzwerke richtig abzusichern. In diesem Beitrag schauen wir uns die Architektur von A

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Begleitblog zu unserem Podcast! Heute gehen wir auf ein Thema ein, das das absolute Fundament von Cloud-Architektur und Workload-Schutz bildet: Azure Network Security Groups. Wenn Sie Workloads in Microsoft Azure entwerfen, implementieren oder betreiben, ist es unverzichtbar, Ihre virtuellen Netzwerke richtig abzusichern. In diesem Beitrag schauen wir uns die Architektur von Azure Network Security Groups (NSGs) im Detail an, zeigen Ihnen, wie Sie eine standardmäßige Verweigerung („Deny by Default“) umsetzen, untersuchen die Priorisierung von Regeln und vergleichen NSGs mit alternativen Cloud-Sicherheitskonzepten.

Bevor wir in die technischen Details einsteigen: Wenn Sie die Konzepte kompakt und als gesprochene Erklärung hören möchten, sehen Sie sich unbedingt unsere passende Podcast-Folge an: Azure Network Security Groups - Simply Explained. Schauen wir uns nun an, was Cloud-Architekten über NSGs wissen müssen.

Was sind NSGs?

Definition und Zweck

Azure Network Security Groups (NSGs) sind grundlegende Werkzeuge für die Verwaltung der Netzwerksicherheit im Azure-Ökosystem. Sie legen Regeln fest und setzen sie durch, die den eingehenden und ausgehenden Netzwerkverkehr steuern, und zwar auf Ebene von Subnetzen oder einzelnen virtuellen Maschinen. Damit behalten Sie den Netzwerkzugriff präzise unter Kontrolle und stellen sicher, dass nur notwendige Dienste erreichbar sind. So stärken NSGs Ihre gesamte Sicherheitslage und helfen, Ihre Ressourcen vor unbefugtem Zugriff zu schützen.

Der Hauptzweck von NSGs besteht darin, den Netzwerkverkehr zwischen Azure-Ressourcen in einem virtuellen Netzwerk (VNet) zu filtern. Sie können NSGs auf Subnetze oder direkt auf die Netzwerkschnittstellen virtueller Maschinen anwenden. Diese Flexibilität ermöglicht einen mehrschichtigen Sicherheitsansatz, sodass Ihre Workloads geschützt bleiben und gleichzeitig für berechtigte Benutzer erreichbar sind.

Die wichtigsten Komponenten von NSGs

Das Verständnis der zentralen Komponenten von NSGs ist entscheidend für eine effektive Verwaltung Ihrer Netzwerksicherheit. Dies sind die Hauptelemente einer Azure Network Security Group:

NSGs enthalten Sicherheitsregeln, die Datenverkehr auf Subnetz- und VM-Ebene innerhalb eines VNets erlauben oder verweigern. Diese Struktur erleichtert die wirksame Segmentierung virtueller Maschinen über verschiedene Subnetze hinweg. Beispielsweise können Sie ein virtuelles Netzwerk erstellen, um eine Netzwerkgrenze für Ressourcen wie VMs festzulegen. Innerhalb dieses VNets können Sie Subnetze anlegen, um das Netzwerk weiter in kleinere Teilnetze zu unterteilen.

Mit NSGs erhalten Sie eine detaillierte Kontrolle über den Datenfluss zwischen Ressourcen in Ihrem virtuellen Netzwerk. Sie ermöglichen einen Ansatz nach dem Prinzip „standardmäßig verweigern, per Ausnahme erlauben“ („deny by default, permit by exception“), der besonders wichtig ist, um Workloads mit hohem Risiko zu isolieren. Zusätzlich vereinfachen Application Security Groups (ASGs) die Verwaltung von Sicherheitsregeln, indem sie virtuelle Maschinen anhand ihrer Rollen gruppieren.

Denken Sie daran: NSGs dienen nicht nur dem Blockieren von Datenverkehr. Sie ermöglichen es Ihnen auch, den Datenverkehr effektiv zu überwachen und zu verwalten, damit Ihre Azure-Umgebung sicher bleibt.

So funktionieren NSGs

Azure Network Security Groups spielen eine zentrale Rolle bei der Steuerung des Netzwerkverkehrs. Sie definieren damit konkrete Regeln, die den ein- und ausgehenden Datenverkehr zu Ihren Azure-Ressourcen bestimmen. Wenn Sie verstehen, wie diese Regeln wirken, können Sie eine sichere Umgebung aufrechterhalten.

Ein- und ausgehende NSG-Regeln

NSGs umfassen zwei Haupttypen von Regeln: eingehende und ausgehende. Jeder Typ erfüllt einen eigenen Zweck bei der Verwaltung des Netzwerkverkehrs.

AllowVnetInbound-Regel

Die AllowVnetInbound-Regel erlaubt Datenverkehr aus anderen virtuellen Netzwerken (VNets) innerhalb von Azure. Diese Regel ist für Szenarien unverzichtbar, in denen Ressourcen sicher miteinander kommunizieren müssen. Wenn Sie beispielsweise mehrere virtuelle Maschinen in verschiedenen Subnetzen haben, erlaubt diese Regel den Datenaustausch, ohne diese dem öffentlichen Internet auszusetzen.

DenyAllInbound-Regel

Die Regel DenyAllInbound blockiert den gesamten eingehenden Datenverkehr, der keiner anderen definierten Regel entspricht. Diese Regel fungiert als Sicherheitsnetz und stellt sicher, dass nur ausdrücklich erlaubter Datenverkehr Ihre Ressourcen erreichen kann. Standardmäßig verweigern NSGs den gesamten eingehenden Datenverkehr, sofern Sie nichts anderes festlegen. Dieser Ansatz hilft Ihnen, die Angriffsfläche für potenzielle Bedrohungen gering zu halten.

Regelpriorität und Auswertung

Die Priorität der NSG-Regeln hat großen Einfluss darauf, wie Azure sie auswertet und durchsetzt. Jede Regel besitzt eine Prioritätsnummer, wobei niedrigere Zahlen eine höhere Priorität bedeuten. Passt Datenverkehr auf mehrere Regeln, verarbeitet Azure diese von oben nach unten. Die erste Regel, die zum Datenverkehr passt, bestimmt die Aktion. Sobald eine Übereinstimmung gefunden ist, wertet Azure keine weiteren Regeln aus.

Diese Auswertungsreihenfolge stellt sicher, dass kritische Sicherheitsregeln Vorrang vor anderen haben. Wenn Sie beispielsweise eine Regel haben, die Datenverkehr von einer bestimmten IP-Adresse zulässt, und eine andere Regel, die sämtlichen eingehenden Datenverkehr verweigert, greift die Zulassungsregel, sofern sie die höhere Priorität besitzt.

Wenn Sie verstehen, wie NSGs funktionieren, können Sie den Netzwerkverkehr gezielt filtern und die Sicherheit Ihrer Azure-Ressourcen erhöhen. Richtig konfigurierte NSGs helfen Ihnen, eine robuste Sicherheitsarchitektur aufzubauen, die sicherstellt, dass nur legitimer Datenverkehr Ihre Anwendungen erreicht.

Verwandte Konzepte: Dienst-Tags und ASGs

Dienst-Tags verstehen

Dienst-Tags vereinfachen die Verwaltung von Netzwerksicherheitsgruppen in Azure. Sie repräsentieren Gruppen von IP-Adresspräfixen, die von Microsoft verwaltet werden. Mit Dienst-Tags entfällt das manuelle Nachverfolgen und Aktualisieren von IP-Adressen für Azure-Dienste. Diese Funktion reduziert die Verwaltungskomplexität erheblich. Dies sind die wichtigsten Vorteile von Dienst-Tags:

• Sie werden automatisch aktualisiert, wenn sich die IP-Adressbereiche von Azure-Diensten ändern.
• Sie ermöglichen eine detaillierte Steuerung des Netzwerkverkehrs zu und von Azure-Diensten.
• Sie helfen Ihnen, eine sichere Umgebung ohne ständige manuelle Anpassungen aufrechtzuerhalten.

Zu den gängigen Azure-Diensten, die durch Dienst-Tags abgebildet werden, gehören:

Application Security Groups (ASGs)

Application Security Groups (ASGs) verbessern die Verwaltung der Netzwerksicherheit, indem Sie Ressourcen anhand ihrer Anwendungsrollen gruppieren können. Diese dynamische Gruppierung vereinfacht die Sicherheitsverwaltung und reduziert den administrativen Aufwand. So arbeiten ASGs mit NSGs zusammen:

• ASGs erleichtern die Gruppierung virtueller Maschinen (VMs) nach Workloads.
• Sie definieren Sicherheitsgrenzen zwischen Anwendungsebenen.
• ASGs reduzieren die Anzahl der benötigten Sicherheitsregeln und skalieren automatisch.

Die Vorteile von ASGs in großen Azure-Bereitstellungen umfassen:

Mit Dienst-Tags und ASGs können Sie Ihre NSG-Konfigurationen verbessern. Diese Werkzeuge bieten Ihnen die Flexibilität und Kontrolle, die Sie benötigen, um Ihre Azure-Umgebung wirksam abzusichern.

Bedeutung von NSG-Flow-Logs

Verkehrsüberwachung

Azure-NSG-Flowprotokolle spielen eine wichtige Rolle bei der Überwachung des Netzwerkverkehrs. Sie liefern Ihnen detaillierte Einblicke in den Datenfluss zu und von Ihren Azure-Ressourcen. Wenn Sie NSG-Flowprotokolle aktivieren, können Sie nachvollziehen, welcher Datenverkehr auf Basis Ihrer definierten Sicherheitsregeln zugelassen oder abgelehnt wird. Diese Transparenz hilft Ihnen, die Netzwerkisolation und die Einhaltung unternehmensweiter Zugriffsvorgaben zu überprüfen.

Die folgenden Vorteile bieten NSG-Flowprotokolle für die Überwachung:

• Transparenz: Flowprotokolle geben Ihnen einen klaren Überblick über den tatsächlichen Netzwerkverkehr. Dadurch erkennen Sie Zugriffsmuster, die gegen Unternehmensrichtlinien verstoßen könnten.
• Compliance: Die Aufbewahrung von Netzwerkverkehrsdaten ist unverzichtbar, um gesetzliche oder regulatorische Anforderungen zu erfüllen. Flowprotokolle unterstützen Sie dabei, die Einhaltung von Sicherheitsstandards nachzuweisen.
• Erkennung von Bedrohungen: Eine gründliche Überwachung des NSG-Datenverkehrs ist entscheidend für die Netzwerksicherheit. Sie hilft Ihnen, potenzielle Bedrohungen zu erkennen und die Wirksamkeit Ihrer NSG-Regeln zu überprüfen.

Analyse von Datenverkehrsmustern

Die Analyse von NSG-Flowprotokollen ermöglicht es Ihnen, ungewöhnliche Datenverkehrsmuster und potenzielle Sicherheitsbedrohungen zu erkennen. Bei der Auswertung der Daten können Sie Anomalien identifizieren, die auf unautorisierten Zugriff oder andere böswillige Aktivitäten hindeuten. Diese gängigen Anomalietypen sollten Sie im Blick behalten:

Um die Wirksamkeit Ihrer Analyse zu maximieren, sollten Sie folgende Best Practices berücksichtigen:

1. Aktivieren Sie NSG-Flowprotokolle auf kritischen Subnetzen, um Auditierbarkeit und Sicherheit zu gewährleisten.
2. Aktivieren Sie NSG-Flowprotokolle für alle Netzwerksicherheitsgruppen, die einer Ressource zugeordnet sind, um den gesamten Datenverkehr zu erfassen.
3. Dimensionieren Sie den Speicher entsprechend dem erwarteten Volumen der Flowprotokolle.
4. Achten Sie darauf, dass die Namen der Netzwerksicherheitsgruppen die zulässigen Zeichenlängen einhalten, damit keine Kürzungen entstehen.

Mit Werkzeugen wie Azure Traffic Analytics können Sie NSG-Flowprotokolldaten effektiv visualisieren und auswerten. So lässt sich die Erkennung von Bedrohungen automatisieren und ein Alarm für hohe Volumina abgelehnter Zugriffsversuche konfigurieren.

Um NSG-Flowprotokolle in Microsoft Sentinel zu visualisieren und abzufragen, konfigurieren Sie Diagnoseeinstellungen so, dass die Protokolle in einen mit Sentinel verbundenen Log Analytics-Arbeitsbereich gestreamt werden.

Mit diesen Erkenntnissen können Sie Ihre Sicherheitslage stärken und proaktiv auf potenzielle Bedrohungen reagieren.

NSGs im Vergleich zu Azure Firewall

Beim Schutz Ihrer Azure-Umgebung spielen sowohl Azure-Netzwerksicherheitsgruppen (NSGs) als auch Azure Firewall eine wichtige Rolle. Sie erfüllen jedoch unterschiedliche Zwecke und besitzen verschiedene Funktionen. Wenn Sie diese Unterschiede verstehen, können Sie das passende Werkzeug für Ihre Sicherheitsanforderungen auswählen.

Die wichtigsten Unterschiede

Anwendungsfälle für beide

In mehreren Szenarien können NSGs die bessere Wahl sein. Hier sind einige Gründe, NSGs gegenüber Azure Firewall vorzuziehen:

• NSGs sind im Vergleich zur Azure Firewall eine kostengünstige Lösung.
• Sie lassen sich einfach verwalten und sind daher für grundlegende Anforderungen an die Netzwerksicherheit leichter zu administrieren.
• NSGs eignen sich ideal für Szenarien, die eine granulare Steuerung auf Netzwerkebene erfordern, und ermöglichen angepasste Sicherheitskonfigurationen für einzelne virtuelle Maschinen oder Subnetze.
• Sie sind die günstigere Option und eignen sich daher für einfache Anforderungen an die Netzwerksicherheit.
• NSGs sind die bevorzugte Wahl, wenn das Hauptziel darin besteht, Datenverkehr auf Netzwerkebene zu erlauben oder einzuschränken.

Azure Firewall eignet sich dagegen besser für komplexere Sicherheitsanforderungen. Die folgenden Szenarien zeigen, wo Azure Firewall besonders stark ist:

• Wenn Sie eine zentrale Verwaltung für mehrere Ressourcen in einem virtuellen Netzwerk benötigen.
• Wenn Ihre Bereitstellung erweiterte Filterung auf Anwendungsebene und Threat Intelligence erfordert.
• In Hybrid-Architekturen, in denen Sie NSGs und Azure Firewall für mehrschichtige Sicherheit kombinieren möchten. Sie können beispielsweise ein Hub-and-Spoke-Modell aufbauen. Der Hub enthält gemeinsam genutzte Dienste wie Azure Firewall, während in den Spokes Workloads wie virtuelle Maschinen laufen. Der gesamte Datenverkehr aus den Spokes wird zur Prüfung an den Hub weitergeleitet.

Wenn Sie die Unterschiede und Anwendungsfälle von NSGs und Azure Firewall kennen, können Sie fundierte Entscheidungen für Ihre Azure-Sicherheitsstrategie treffen.

Zusammengefasst sind Azure Network Security Groups (NSGs) für die Absicherung Ihrer Cloud-Umgebung unverzichtbar. Sie bieten eine granulare Zugriffssteuerung und ermöglichen es Ihnen, den Datenverkehr wirksam zu steuern. Mit Funktionen wie Mikrosegmentierung und der Integration mit Private Endpoints stärken NSGs Ihre Sicherheitslage.

Um ihre Wirksamkeit zu maximieren, sollten Sie diese Strategien berücksichtigen:

• Überprüfen Sie NSG-Regeln regelmäßig, damit sie zu Ihren Sicherheitsanforderungen passen.
• Stellen Sie eine sichere Konfiguration Ihrer virtuellen Netzwerke (VNets) sicher.
• Integrieren Sie Azure Firewall mit NSGs für eine gestaffelte Sicherheit.

Wenn Sie diese Vorgehensweisen umsetzen, stärken Sie Ihre Azure-Sicherheitsstrategie und schützen Ihre Ressourcen vor möglichen Bedrohungen. Für eine Audio-Diskussion von Experten, die diese Konzepte noch genauer erläutert, hören Sie unbedingt unsere Episode Azure Network Security Groups - Simply Explained.

Denken Sie daran: Ein proaktiver Umgang mit NSGs kann Risiken deutlich verringern und Ihre allgemeine Cloud-Sicherheit verbessern.