Dominando los grupos de seguridad de red de Azure: mejores prácticas para arquitectos cloud

By Mirko Peters · 2026-08-27

Automatically translated with AI from the original post. Read the English original

Cover: Azure Network Security Groups - Simply Explained

¡Bienvenido de nuevo al blog complementario del podcast! Hoy vamos a ampliar un tema que es la base absoluta de la arquitectura cloud y de la protección de cargas de trabajo: los grupos de seguridad de red de Azure. Si diseñas, implementas o mantienes cargas de trabajo en Microsoft Azure, entender cómo proteger correctamente tus redes virtuales no es negociable. En este artículo vamos a profundizar en la arquitectura de los grupos de seguridad de red (NSG) de Azure, aprender a implementar una postura de denegación por defecto, analizar la priorización de reglas y compararlos con otras construcciones de seguridad cloud alternativas.

Antes de entrar en los detalles técnicos, si quieres una explicación hablada y concisa de estos conceptos, no dejes de consultar nuestro episodio relacionado del podcast, Azure Network Security Groups - Simply Explained. Ahora, veamos todo lo que un arquitecto cloud necesita saber para dominar los NSG.

¿Qué son los NSG?

Definición y finalidad

Los grupos de seguridad de red (NSG) de Azure son herramientas fundamentales para gestionar la seguridad de red dentro del ecosistema de Azure. Te permiten definir y aplicar reglas que controlan el tráfico de red entrante y saliente a nivel de subredes o de máquinas virtuales individuales. Esta capacidad permite un control preciso del acceso a la red, garantizando que solo los servicios necesarios permanezcan accesibles. De este modo, los NSG refuerzan tu postura de seguridad general y ayudan a proteger tus recursos frente al acceso no autorizado.

La finalidad principal de los NSG es filtrar el tráfico de red entre los recursos de Azure en una red virtual (VNet). Puedes aplicar NSG a las subredes o directamente a las interfaces de red de las máquinas virtuales. Esta flexibilidad te permite crear un enfoque de seguridad por capas, manteniendo tus cargas de trabajo protegidas y, al mismo tiempo, accesibles para los usuarios legítimos.

Componentes clave de los NSG

Comprender los componentes clave de los NSG es fundamental para gestionar eficazmente la seguridad de tu red. Estos son los elementos principales que forman un grupo de seguridad de red de Azure:

Componente	Descripción
Grupo de seguridad de red	Se usa para filtrar el tráfico de red entre los recursos de Azure en una VNet.
Reglas de seguridad	Permiten o deniegan el tráfico de red entrante y saliente según los criterios especificados.
Aplicación a subredes	Se recomienda aplicar un NSG a cada subred para garantizar una gestión adecuada del tráfico y la seguridad.

Los NSG contienen reglas de seguridad que permiten o deniegan el tráfico a nivel de subred y de máquina virtual dentro de una VNet. Esta estructura facilita una segmentación eficaz de las máquinas virtuales entre distintas subredes. Por ejemplo, puedes crear una red virtual para establecer un límite de red para recursos como las VM. Dentro de esta VNet, puedes crear subredes para segmentar aún más la red en redes más pequeñas.

Al aplicar NSG, obtienes un control granular del flujo de tráfico entre los recursos de tu red virtual. Permiten un enfoque de "denegar por defecto, permitir por excepción", fundamental para aislar cargas de trabajo de alto riesgo. Además, los grupos de seguridad de aplicaciones (ASG) simplifican la gestión de las reglas de seguridad al agrupar las máquinas virtuales según sus roles.

Recuerda que los NSG no solo sirven para bloquear tráfico; también te permiten supervisar y gestionar el tráfico de forma eficaz, garantizando que tu entorno de Azure siga siendo seguro.

Cómo funcionan los NSG

Los grupos de seguridad de red de Azure desempeñan un papel fundamental en el control del tráfico de red. Te permiten definir reglas específicas que regulan el tráfico entrante y saliente de tus recursos de Azure. Entender cómo funcionan estas reglas te ayuda a mantener un entorno seguro.

Reglas de NSG de entrada y de salida

Los NSG constan de dos tipos principales de reglas: de entrada y de salida. Cada tipo cumple una función distinta en la gestión del tráfico de red.

Regla AllowVnetInbound

La regla AllowVnetInbound permite el tráfico procedente de otras redes virtuales (VNet) dentro de Azure. Esta regla es esencial en escenarios en los que los recursos necesitan comunicarse entre sí de forma segura. Por ejemplo, si tienes varias máquinas virtuales en distintas subredes, esta regla les permite intercambiar datos sin exponerlas a internet público.

Regla DenyAllInbound

La regla DenyAllInbound bloquea todo el tráfico entrante que no coincida con ninguna otra regla definida. Esta regla actúa como red de seguridad y garantiza que solo el tráfico explícitamente permitido llegue a tus recursos. De forma predeterminada, los NSG deniegan todo el tráfico entrante a menos que indiques lo contrario. Este enfoque te ayuda a minimizar la exposición a posibles amenazas.

Tipo de regla	Descripción
Reglas de entrada	Controlan el tráfico entrante a los recursos de Azure, permitiendo el tráfico procedente de redes virtuales y de equilibradores de carga de Azure, y bloqueando todo el resto del tráfico entrante.
Reglas de salida	Controlan el tráfico saliente de los recursos de Azure, permitiendo el acceso a otras redes virtuales e Internet, y denegando todo lo demás.

Prioridad y evaluación de reglas

La prioridad de las reglas de NSG influye de forma significativa en la manera en que Azure las evalúa y aplica. Cada regla tiene un número de prioridad, y los números más bajos indican una prioridad más alta. Cuando el tráfico coincide con varias reglas, Azure las procesa de arriba abajo. La primera regla que coincide con el tráfico determina la acción que se aplica. Una vez encontrada una coincidencia, Azure no evalúa ninguna otra regla.

Tipo de regla	Nivel de prioridad	Orden de evaluación
Reglas de administrador de seguridad	Más alto	Se evalúan primero, antes que las reglas de NSG
Grupos de seguridad de red	Más bajo	Se evalúan después de las reglas de administrador de seguridad
Acciones sobre el tráfico	N/D	Permitir, Permitir siempre, Denegar

Este proceso de evaluación garantiza que las reglas de seguridad críticas tengan prioridad sobre las demás. Por ejemplo, si tienes una regla que permite el tráfico desde una dirección IP específica y otra que deniega todo el tráfico entrante, la regla de permiso se aplicará si tiene una prioridad más alta.

Al entender cómo funcionan los NSG, puedes filtrar el tráfico de red de forma eficaz y reforzar la seguridad de tus recursos de Azure. Una configuración adecuada de los NSG te ayuda a crear una postura de seguridad sólida, garantizando que solo el tráfico legítimo llegue a tus aplicaciones.

Conceptos relacionados: etiquetas de servicio y ASG

Descripción de las etiquetas de servicio

Las etiquetas de servicio simplifican la administración de los grupos de seguridad de red en Azure. Representan grupos de prefijos de direcciones IP que administra Microsoft. Al usar etiquetas de servicio, eliminas la necesidad de hacer un seguimiento y una actualización manuales de las direcciones IP de los servicios de Azure. Esta característica reduce notablemente la complejidad de la administración. Estos son algunos beneficios clave de las etiquetas de servicio:

Se actualizan automáticamente cuando cambian los intervalos de IP de los servicios de Azure.
Permiten un control detallado del tráfico hacia y desde los servicios de Azure.
Te ayudan a mantener un entorno seguro sin ajustes manuales constantes.

Entre los servicios comunes de Azure representados por etiquetas de servicio se incluyen:

Etiqueta	Finalidad	¿Puede usarse para entrada o salida?	¿Puede ser regional?	¿Puede usarse con Azure Firewall?
ActionGroup	Grupo de acciones.	Entrada	No	Sí
ApiManagement	Tráfico de administración para implementaciones dedicadas de Azure API Management.	Entrada	Sí	Sí
ApplicationInsightsAvailability	Disponibilidad de Application Insights.	Entrada	No	Sí
AppConfiguration	App Configuration.	Salida	No	Sí
AppService	Azure App Service. Recomendado para reglas de seguridad de salida hacia aplicaciones web.	Salida	Sí	Sí
AppServiceManagement	Tráfico de administración para App Service Environment.	Ambas	No	Sí
AzureActiveDirectory	Servicios de Microsoft Entra ID.	Salida	No	Sí
AzureAdvancedThreatProtection	Microsoft Defender for Identity.	Salida	No	Sí

Grupos de seguridad de aplicaciones (ASG)

Los grupos de seguridad de aplicaciones (ASG) mejoran la administración de la seguridad de red, ya que permiten agrupar recursos según sus roles de aplicación. Esta agrupación dinámica simplifica la administración de seguridad y reduce la sobrecarga administrativa. Así es como funcionan los ASG con los NSG:

Los ASG facilitan la agrupación de máquinas virtuales (VM) según sus cargas de trabajo.
Definen límites de seguridad entre los niveles de la aplicación.
Los ASG reducen el número de reglas de seguridad necesarias y escalan automáticamente.

Los beneficios de usar ASG en implementaciones de Azure a gran escala incluyen:

Beneficio	Descripción
Eficiencia operativa	Los ASG reducen el riesgo de interrupciones durante el mantenimiento al disminuir los errores relacionados con las direcciones IP.
Postura de seguridad	Admiten una segmentación más estricta, controlando el acceso entre los niveles de la aplicación.
Facilidad de mantenimiento	Los ASG permiten reglas de seguridad de red más limpias y flexibles.
Escalabilidad	Ayudan a mantener reglas de seguridad concisas a medida que crecen los entornos.
Automatización	Los ASG encajan bien en flujos de trabajo de implementación automatizados.
Solución de problemas	Simplifican la solución de problemas al permitir que los equipos sigan el tráfico por rol.

Al aprovechar las etiquetas de servicio y los ASG, puedes mejorar la configuración de tus NSG. Estas herramientas te ofrecen la flexibilidad y el control necesarios para proteger tu entorno de Azure de forma eficaz.

Importancia de los registros de flujo de NSG

Supervisión del tráfico

Los NSG flow logs de Azure desempeñan un papel fundamental en la supervisión del tráfico de red. Te ofrecen información detallada sobre el flujo de datos hacia y desde tus recursos de Azure. Al habilitar los NSG flow logs, puedes saber qué tráfico se permite o se deniega según las reglas de seguridad que hayas definido. Esta visibilidad te ayuda a confirmar el aislamiento de la red y el cumplimiento de las normativas de acceso de tu empresa.

Estos son algunos beneficios clave de usar NSG flow logs para la supervisión:

Visibilidad: Los flow logs te ofrecen una visión clara del tráfico de red real. Esta visibilidad te ayuda a identificar patrones de acceso que puedan incumplir las directivas de la organización.
Cumplimiento: Conservar registros del tráfico de red es esencial para cumplir con obligaciones regulatorias o legales. Los flow logs ayudan a demostrar el cumplimiento de los estándares de seguridad.
Detección de amenazas: Una supervisión exhaustiva del tráfico de los NSG es crucial para garantizar la seguridad de la red. Te ayuda a detectar posibles amenazas y a verificar la eficacia de tus reglas de NSG.

Fuente	Evidencia
Flow logging for network security groups	Los datos de flujo pueden utilizarse para confirmar el aislamiento de la red y el cumplimiento de las normativas de acceso de la empresa.
Understanding Azure Logs from a security perspective	Los flow logs ofrecen visibilidad sobre el tráfico de red real, lo que ayuda a identificar patrones de acceso que puedan incumplir las directivas de la organización.
¿Qué son los grupos de seguridad de red (NSG) en Azure?	Conservar registros del tráfico de red es esencial para cumplir con obligaciones regulatorias o legales.
Cloud Network Security and Automation	Una supervisión exhaustiva del tráfico de los NSG es crucial para garantizar la seguridad de la red, detectar posibles amenazas y verificar la eficacia de las reglas de NSG.

Análisis de patrones de tráfico

Analizar los NSG flow logs te permite identificar patrones de tráfico inusuales o posibles amenazas de seguridad. Al examinar los datos, puedes detectar anomalías que podrían indicar accesos no autorizados u otras actividades maliciosas. Estos son algunos tipos comunes de anomalías a vigilar:

Tipo de anomalía	Descripción
Tráfico inesperado	Detección de tráfico desde direcciones IP desconocidas que podría indicar intentos de acceso no autorizado.
Picos repentinos de transferencia de datos	Identificar aumentos inusuales en la transferencia de datos que podrían indicar intentos de exfiltración de datos.
Intentos de conexión fallidos repetidos	Supervisar múltiples intentos de conexión fallidos que podrían sugerir un ataque de fuerza bruta.
Escaneo de puertos	Detectar múltiples solicitudes de conexión a distintos puertos desde una misma dirección IP.
Indicadores de DDoS	Grandes volúmenes de tráfico entrante desde diversas IP que podrían indicar un ataque de denegación de servicio distribuido (DDoS).
Acceso geográfico inusual	Intentos de acceso desde ubicaciones donde no hay usuarios legítimos, lo que indica posibles amenazas.
Comunicaciones C2 de malware	Conexiones repetidas a IP maliciosas conocidas que podrían indicar actividades de comando y control.

Para maximizar la eficacia de tu análisis, ten en cuenta estas buenas prácticas:

Habilita los NSG flow logs en las subredes críticas para garantizar la auditoría y la seguridad.
Habilita los NSG flow logs en todos los grupos de seguridad de red asociados a un recurso para capturar todo el tráfico.
Aprovisiona el almacenamiento según el volumen previsto de flow logs.
Asegúrate de que los nombres de los grupos de seguridad de red no superen los límites de caracteres para evitar truncamientos.

Con herramientas como Azure Traffic Analytics puedes visualizar e interpretar los datos de NSG flow logs de forma eficaz. Esto te permite automatizar la detección de amenazas y configurar alertas ante grandes volúmenes de intentos de acceso denegados.

Para visualizar y consultar los NSG flow logs en Microsoft Sentinel, configura la configuración de diagnóstico para enviar los registros a un Log Analytics Workspace conectado a Sentinel.

Con estos datos, puedes reforzar tu postura de seguridad y responder de forma proactiva a posibles amenazas.

NSG frente a Azure Firewall

Para proteger tu entorno de Azure, tanto los grupos de seguridad de red (NSG) de Azure como Azure Firewall desempeñan un papel importante. Sin embargo, tienen finalidades distintas y funcionalidades diferentes. Entender estas diferencias te ayuda a elegir la herramienta adecuada para tus necesidades de seguridad.

Diferencias clave

Característica/Funcionalidad	Azure Firewall	Azure Network Security Group (NSG)
Tipo de servicio	Servicio de seguridad de red gestionado y basado en la nube	Servicio de firewall lógico
Nivel de filtrado	Inspección de paquetes con estado y protección a nivel de aplicación	Filtrado en la capa de red (capa 4)
Gestión centralizada	Sí, proporciona seguridad centralizada para todos los recursos de una red virtual	No, opera sobre recursos individuales
Filtrado granular de aplicaciones	Sí, permite el filtrado avanzado a nivel de aplicación	No, reglas básicas para el tráfico entrante y saliente
Inteligencia de amenazas	Sí, incluye filtrado basado en inteligencia de amenazas	No, no ofrece protección avanzada contra amenazas
Caso de uso	Adecuado para implementaciones más grandes que requieren funciones de seguridad avanzadas	Adecuado para el filtrado básico de tráfico entre recursos
Uso combinado	Funciona bien con los NSG para una seguridad multicapa	Puede utilizarse junto con Azure Firewall para reforzar la seguridad

Casos de uso de cada uno

Podrías preferir los NSG en varios escenarios. Estas son algunas razones para elegir los NSG en lugar de Azure Firewall:

Los NSG son una solución rentable en comparación con Azure Firewall.
Ofrecen una gestión sencilla, lo que facilita su administración para necesidades básicas de seguridad de red.
Los NSG son ideales para escenarios que requieren un control granular a nivel de red, lo que permite configuraciones de seguridad personalizadas para máquinas virtuales o subredes individuales.
Son una opción más económica, lo que los hace adecuados para necesidades sencillas de seguridad de red.
Los NSG son la opción preferida cuando el objetivo principal es gestionar la permisividad o la restricción del tráfico en la capa de red.

Por otro lado, Azure Firewall está mejor preparado para requisitos de seguridad más complejos. Estos son algunos escenarios en los que Azure Firewall destaca:

Cuando necesitas una administración centralizada de varios recursos dentro de una red virtual.
Si tu implementación requiere filtrado avanzado a nivel de aplicación e inteligencia de amenazas.
En arquitecturas híbridas en las que quieres combinar NSG y Azure Firewall para una seguridad multicapa. Por ejemplo, puedes configurar un modelo de concentrador y radios (hub-and-spoke). El concentrador contiene servicios compartidos como Azure Firewall, mientras que los radios alojan cargas de trabajo como máquinas virtuales. Todo el tráfico de los radios se enruta al concentrador para su inspección.

Al comprender las diferencias y los casos de uso de los NSG y de Azure Firewall, podrás tomar decisiones fundamentadas sobre tu estrategia de seguridad en Azure.

En resumen, los grupos de seguridad de red (NSG) de Azure son fundamentales para proteger tu entorno en la nube. Ofrecen control de acceso granular, lo que te permite gestionar el flujo de tráfico de forma eficaz. Con funciones como la microsegmentación y la integración con puntos de conexión privados, los NSG refuerzan tu postura de seguridad.

Para sacarles el máximo partido, considera estas estrategias:

Revisa periódicamente las reglas de los NSG para que se ajusten a tus necesidades de seguridad.
Asegúrate de que la configuración de tus redes virtuales (VNet) sea segura.
Integra Azure Firewall con los NSG para disponer de seguridad por capas.

Si aplicas estas prácticas, podrás reforzar tu estrategia de seguridad en Azure y proteger tus recursos frente a posibles amenazas. Para un debate en audio de experto que desglosa estos conceptos aún más, no dejes de escuchar nuestro episodio dedicado, Azure Network Security Groups - Simply Explained.

Recuerda que un enfoque proactivo en la gestión de los NSG puede reducir significativamente los riesgos y mejorar tu seguridad general en la nube.