Menguasai Azure Network Security Groups: Praktik Terbaik untuk Arsitek Cloud

By Mirko Peters · 2026-08-27

Selamat datang kembali di blog pendamping podcast! Hari ini kita membahas topik yang menjadi fondasi utama arsitektur cloud dan perlindungan beban kerja: Azure …

Automatically translated with AI from the original post. Read the English original

Cover: Azure Network Security Groups - Simply Explained

Selamat datang kembali di blog pendamping podcast! Hari ini kita membahas topik yang menjadi fondasi utama arsitektur cloud dan perlindungan beban kerja: Azure Network Security Groups. Jika Anda merancang, menerapkan, atau mengelola beban kerja di Microsoft Azure, memahami cara mengamankan jaringan virtual dengan benar adalah keharusan. Dalam artikel ini, kita akan membahas secara mendalam arsitektur Azure Network Security Groups (NSG), mempelajari cara menerapkan postur deny-by-default, menelaah prioritas aturan, dan membandingkannya dengan konstruksi keamanan cloud lainnya.

Sebelum masuk ke detail teknis, jika Anda ingin penjelasan singkat dan lisan tentang konsep-konsep ini, silakan simak episode podcast terkait kami, Azure Network Security Groups - Simply Explained. Sekarang, mari kita uraikan semua hal yang perlu diketahui arsitek cloud tentang penguasaan NSG.

Apa Itu NSG?

Definisi dan Tujuan

Azure Network Security Groups (NSG) adalah alat dasar untuk mengelola keamanan jaringan dalam ekosistem Azure. Alat ini memungkinkan Anda menetapkan dan menerapkan aturan yang mengontrol lalu lintas jaringan inbound dan outbound, baik di tingkat subnet maupun mesin virtual individual. Kemampuan ini memberikan kontrol yang presisi atas akses jaringan, memastikan hanya layanan yang diperlukan yang tetap dapat diakses. Dengan begitu, NSG meningkatkan postur keamanan secara keseluruhan dan membantu melindungi sumber daya Anda dari akses tidak sah.

Tujuan utama NSG adalah menyaring lalu lintas jaringan antara sumber daya Azure dalam Virtual Network (VNet). Anda dapat menerapkan NSG ke subnet atau langsung ke antarmuka jaringan mesin virtual. Fleksibilitas ini memungkinkan Anda membangun pendekatan keamanan berlapis, sehingga beban kerja tetap aman namun tetap dapat diakses oleh pengguna yang sah.

Komponen Utama NSG

Memahami komponen utama NSG sangat penting untuk mengelola keamanan jaringan secara efektif. Berikut elemen-elemen utama yang membentuk Azure Network Security Group:

Komponen	Deskripsi
Network Security Group	Digunakan untuk menyaring lalu lintas jaringan antar sumber daya Azure dalam VNet.
Aturan Keamanan	Mengizinkan atau menolak lalu lintas jaringan inbound dan outbound berdasarkan kriteria yang ditentukan.
Penerapan Subnet	Disarankan untuk menerapkan NSG ke setiap subnet guna memastikan pengelolaan lalu lintas dan keamanan yang tepat.

NSG berisi aturan keamanan yang mengizinkan atau menolak lalu lintas pada tingkat subnet maupun mesin virtual dalam VNet. Struktur ini memudahkan segmentasi mesin virtual yang efektif di berbagai subnet. Misalnya, Anda dapat membuat jaringan virtual untuk membangun batas jaringan bagi sumber daya seperti VM. Di dalam VNet ini, Anda dapat membuat subnet untuk membagi jaringan lebih lanjut menjadi sub-jaringan yang lebih kecil.

Dengan menerapkan NSG, Anda memperoleh kontrol granular atas aliran lalu lintas antar sumber daya dalam jaringan virtual. NSG memungkinkan pendekatan 'tolak secara default, izinkan berdasarkan pengecualian', yang sangat penting untuk mengisolasi beban kerja berisiko tinggi. Selain itu, Application Security Groups (ASG) menyederhanakan pengelolaan aturan keamanan dengan mengelompokkan mesin virtual berdasarkan perannya.

Ingat, NSG bukan hanya soal memblokir lalu lintas; NSG juga memungkinkan Anda memantau dan mengelola lalu lintas secara efektif, sehingga lingkungan Azure Anda tetap aman.

Cara Kerja NSG

Azure Network Security Groups berperan penting dalam mengontrol lalu lintas jaringan. Anda dapat mendefinisikan aturan spesifik yang mengatur lalu lintas inbound dan outbound ke sumber daya Azure Anda. Memahami cara kerja aturan ini membantu Anda menjaga lingkungan yang aman.

Aturan NSG Inbound dan Outbound

NSG terdiri dari dua jenis aturan utama: inbound dan outbound. Setiap jenis memiliki fungsi yang berbeda dalam mengelola lalu lintas jaringan.

Aturan AllowVnetInbound

Aturan AllowVnetInbound mengizinkan lalu lintas dari jaringan virtual (VNet) lain di dalam Azure. Aturan ini penting untuk skenario di mana sumber daya perlu saling berkomunikasi secara aman. Misalnya, jika Anda memiliki beberapa mesin virtual di subnet yang berbeda, aturan ini memungkinkan mereka bertukar data tanpa terekspos ke internet publik.

Aturan DenyAllInbound

Aturan DenyAllInbound memblokir semua lalu lintas masuk yang tidak cocok dengan aturan lain yang telah ditentukan. Aturan ini berfungsi sebagai jaring pengaman, memastikan hanya lalu lintas yang secara eksplisit diizinkan yang dapat menjangkau sumber daya Anda. Secara default, NSG menolak semua lalu lintas masuk kecuali Anda menentukan sebaliknya. Pendekatan ini membantu Anda meminimalkan paparan terhadap potensi ancaman.

Jenis Aturan	Deskripsi
Aturan Masuk	Mengontrol lalu lintas masuk ke sumber daya Azure dengan mengizinkan lalu lintas dari VNet dan Azure load balancer, sambil memblokir semua lalu lintas masuk lainnya.
Aturan Keluar	Mengontrol lalu lintas keluar dari sumber daya Azure dengan mengizinkan akses ke jaringan virtual lain dan internet, tetapi menolak semua lainnya.

Prioritas Aturan dan Evaluasi

Prioritas aturan NSG sangat memengaruhi cara Azure mengevaluasi dan menerapkannya. Setiap aturan memiliki nomor prioritas, dengan angka yang lebih kecil menunjukkan prioritas yang lebih tinggi. Ketika lalu lintas cocok dengan beberapa aturan, Azure memprosesnya secara top-down. Aturan pertama yang cocok dengan lalu lintas menentukan tindakan yang diambil. Setelah kecocokan ditemukan, Azure tidak mengevaluasi aturan lain lagi.

Jenis Aturan	Tingkat Prioritas	Urutan Evaluasi
Security Admin Rules	Lebih tinggi	Dievaluasi terlebih dahulu sebelum aturan NSG
Network Security Groups	Lebih rendah	Dievaluasi setelah Security Admin Rules
Tindakan pada Lalu Lintas	Tidak berlaku	Izinkan, Selalu Izinkan, Tolak

Proses evaluasi ini memastikan bahwa aturan keamanan yang kritis didahulukan dibanding aturan lainnya. Misalnya, jika Anda memiliki aturan yang mengizinkan lalu lintas dari alamat IP tertentu dan aturan lain yang menolak semua lalu lintas masuk, aturan izin tersebut akan berlaku jika memiliki prioritas yang lebih tinggi.

Dengan memahami cara kerja NSG, Anda dapat memfilter lalu lintas jaringan secara efektif dan meningkatkan keamanan sumber daya Azure Anda. NSG yang dikonfigurasi dengan benar membantu Anda membangun postur keamanan yang tangguh, memastikan hanya lalu lintas yang sah yang mencapai aplikasi Anda.

Konsep Terkait: Service Tags dan ASG

Memahami Service Tags

Service tags menyederhanakan pengelolaan network security group di Azure. Tag ini mewakili kelompok prefiks alamat IP yang dikelola oleh Microsoft. Dengan menggunakan service tags, Anda tidak perlu lagi melacak dan memperbarui alamat IP secara manual untuk layanan Azure. Fitur ini secara signifikan mengurangi kompleksitas pengelolaan. Berikut beberapa manfaat utama service tags:

Tag ini diperbarui secara otomatis ketika rentang IP layanan Azure berubah.
Tag ini memungkinkan kontrol granular atas lalu lintas jaringan ke dan dari layanan Azure.
Tag ini membantu Anda menjaga lingkungan yang aman tanpa penyesuaian manual yang terus-menerus.

Layanan Azure umum yang diwakili oleh service tags meliputi:

Tag	Tujuan	Dapat digunakan untuk masuk atau keluar?	Dapat bersifat regional?	Dapat digunakan dengan Azure Firewall?
ActionGroup	Action Group.	Masuk	Tidak	Ya
ApiManagement	Lalu lintas manajemen untuk deployment khusus Azure API Management.	Masuk	Ya	Ya
ApplicationInsightsAvailability	Application Insights Availability.	Masuk	Tidak	Ya
AppConfiguration	App Configuration.	Keluar	Tidak	Ya
AppService	Azure App Service. Direkomendasikan untuk aturan keamanan keluar ke web app.	Keluar	Ya	Ya
AppServiceManagement	Lalu lintas manajemen untuk App Service Environment.	Keduanya	Tidak	Ya
AzureActiveDirectory	Layanan Microsoft Entra ID.	Keluar	Tidak	Ya
AzureAdvancedThreatProtection	Microsoft Defender for Identity.	Keluar	Tidak	Ya

Application Security Groups (ASG)

Application Security Groups (ASG) meningkatkan pengelolaan keamanan jaringan dengan memungkinkan Anda mengelompokkan sumber daya berdasarkan peran aplikasinya. Pengelompokan dinamis ini menyederhanakan pengelolaan keamanan dan mengurangi beban administratif. Berikut cara ASG bekerja bersama NSG:

ASG memfasilitasi pengelompokan virtual machine (VM) berdasarkan beban kerja.
ASG menetapkan batas keamanan antar tier aplikasi.
ASG mengurangi jumlah aturan keamanan yang dibutuhkan dan dapat diskalakan secara otomatis.

Manfaat penggunaan ASG dalam deployment Azure skala besar meliputi:

Manfaat	Deskripsi
Efisiensi Operasional	ASG menurunkan risiko gangguan layanan selama pemeliharaan dengan mengurangi kesalahan terkait IP.
Postur Keamanan	ASG mendukung segmentasi yang lebih ketat dengan mengontrol akses antar tier aplikasi.
Kemudahan Pemeliharaan	ASG memungkinkan aturan keamanan jaringan yang lebih rapi dan fleksibel.
Skalabilitas	ASG membantu menjaga jumlah aturan keamanan tetap ringkas seiring pertumbuhan lingkungan.
Otomatisasi	ASG cocok dengan baik dalam alur kerja deployment otomatis.
Pemecahan Masalah	ASG menyederhanakan pemecahan masalah karena memungkinkan tim melacak lalu lintas berdasarkan peran.

Dengan memanfaatkan service tags dan ASG, Anda dapat meningkatkan konfigurasi NSG. Alat ini memberi Anda fleksibilitas dan kontrol yang dibutuhkan untuk mengamankan lingkungan Azure Anda secara efektif.

Pentingnya NSG Flow Logs

Memantau Lalu Lintas

Log alir NSG di Azure memegang peran penting dalam memantau lalu lintas jaringan. Log ini memberi Anda wawasan rinci tentang aliran data masuk dan keluar dari sumber daya Azure Anda. Dengan mengaktifkan log alir NSG, Anda dapat melacak lalu lintas mana yang diizinkan atau ditolak berdasarkan aturan keamanan yang Anda tentukan. Visibilitas ini membantu Anda memastikan isolasi jaringan dan kepatuhan terhadap regulasi akses perusahaan.

Berikut beberapa manfaat utama menggunakan log alir NSG untuk pemantauan:

Visibilitas: Log alir memberi Anda gambaran yang jelas tentang lalu lintas jaringan yang sebenarnya. Visibilitas ini membantu Anda mengidentifikasi pola akses yang dapat melanggar kebijakan organisasi.
Kepatuhan: Menyimpan catatan lalu lintas jaringan sangat penting untuk memenuhi kewajiban regulasi atau hukum. Log alir membantu menunjukkan kepatuhan terhadap standar keamanan.
Deteksi Ancaman: Pemantauan menyeluruh terhadap lalu lintas NSG sangat penting untuk memastikan keamanan jaringan. Pemantauan ini membantu Anda mendeteksi potensi ancaman dan memverifikasi efektivitas aturan NSG Anda.

Sumber	Bukti
Flow logging untuk network security groups	Data alir dapat digunakan untuk memastikan isolasi jaringan dan kepatuhan terhadap regulasi akses perusahaan.
Memahami Log Azure dari perspektif keamanan	Log alir memberikan visibilitas ke lalu lintas jaringan yang sebenarnya, yang membantu mengidentifikasi pola akses yang dapat melanggar kebijakan organisasi.
Apa Itu Network Security Groups (NSG) di Azure?	Menyimpan catatan lalu lintas jaringan sangat penting untuk memenuhi kewajiban regulasi atau hukum.
Cloud Network Security and Automation	Pemantauan menyeluruh terhadap lalu lintas NSG sangat penting untuk memastikan keamanan jaringan, mendeteksi potensi ancaman, dan memverifikasi efektivitas aturan NSG.

Menganalisis Pola Lalu Lintas

Menganalisis log alir NSG memungkinkan Anda mengidentifikasi pola lalu lintas yang tidak biasa atau potensi ancaman keamanan. Dengan memeriksa data tersebut, Anda dapat menemukan anomali yang mungkin mengindikasikan akses tidak sah atau aktivitas berbahaya lainnya. Berikut beberapa jenis anomali yang perlu diwaspadai:

Jenis Anomali	Deskripsi
Lalu Lintas Tak Terduga	Deteksi lalu lintas dari alamat IP yang tidak dikenal, yang dapat mengindikasikan upaya akses tidak sah.
Lonjakan Transfer Data Mendadak	Identifikasi peningkatan transfer data yang tidak biasa, yang dapat mengindikasikan upaya eksfiltrasi data.
Percobaan Koneksi Gagal Berulang	Pemantauan terhadap banyak percobaan koneksi yang gagal, yang dapat menunjukkan serangan brute-force.
Pemindaian Port	Pengenalan banyak permintaan koneksi ke port berbeda dari satu alamat IP.
Indikator DDoS	Volume besar lalu lintas masuk dari berbagai IP, yang dapat mengindikasikan serangan Distributed Denial of Service.
Akses Geografis yang Tidak Biasa	Percobaan akses dari lokasi yang tidak memiliki pengguna sah, yang mengindikasikan potensi ancaman.
Komunikasi C2 Malware	Koneksi berulang ke IP berbahaya yang diketahui, yang dapat mengindikasikan aktivitas command and control.

Untuk memaksimalkan efektivitas analisis Anda, pertimbangkan praktik terbaik berikut:

Aktifkan log alir NSG pada subnet kritis untuk memastikan audit dan keamanan.
Aktifkan log alir NSG pada semua network security group yang terpasang ke sumber daya untuk menangkap seluruh lalu lintas.
Siapkan penyimpanan sesuai dengan perkiraan volume log alir.
Pastikan nama network security group berada dalam batas karakter untuk menghindari pemotongan nama.

Dengan memanfaatkan alat seperti Azure Traffic Analytics, Anda dapat memvisualisasikan dan menginterpretasikan data log alir NSG secara efektif. Hal ini memungkinkan Anda mengotomatiskan deteksi ancaman dan mengonfigurasi peringatan untuk volume tinggi percobaan akses yang ditolak.

Untuk memvisualisasikan dan melakukan kueri log alir NSG di dalam Microsoft Sentinel, konfigurasikan diagnostic settings agar log dialirkan ke Log Analytics Workspace yang terhubung dengan Sentinel.

Dengan wawasan ini, Anda dapat memperkuat postur keamanan dan merespons potensi ancaman secara proaktif.

NSG vs. Azure Firewall

Dalam hal mengamankan lingkungan Azure Anda, baik Azure Network Security Groups (NSG) maupun Azure Firewall memainkan peran penting. Namun, keduanya memiliki tujuan dan fungsi yang berbeda. Memahami perbedaan ini membantu Anda memilih alat yang tepat untuk kebutuhan keamanan Anda.

Perbedaan Utama

Fitur/Fungsi	Azure Firewall	Azure Network Security Group (NSG)
Jenis Layanan	Layanan keamanan jaringan terkelola berbasis cloud	Layanan firewall logis
Tingkat Pemfilteran	Inspeksi paket stateful, perlindungan tingkat aplikasi	Pemfilteran lapisan jaringan (Layer 4)
Manajemen Terpusat	Ya, menyediakan keamanan terpusat untuk semua sumber daya dalam virtual network	Tidak, beroperasi pada masing-masing sumber daya
Pemfilteran Aplikasi yang Terperinci	Ya, memungkinkan pemfilteran tingkat aplikasi yang canggih	Tidak, hanya aturan dasar untuk lalu lintas masuk dan keluar
Intelijen Ancaman	Ya, mencakup pemfilteran berbasis intelijen ancaman	Tidak, tidak menyediakan perlindungan ancaman tingkat lanjut
Kasus Penggunaan	Cocok untuk penerapan berskala besar yang memerlukan fitur keamanan tingkat lanjut	Cocok untuk pemfilteran lalu lintas dasar antarsumber daya
Penggunaan Kombinasi	Bekerja dengan baik bersama NSG untuk keamanan multilapis	Dapat digunakan bersama Azure Firewall untuk keamanan yang lebih baik

Kasus Penggunaan untuk Masing-masing

Anda mungkin lebih memilih NSG dalam beberapa skenario. Berikut beberapa alasan memilih NSG dibandingkan Azure Firewall:

NSG adalah solusi yang hemat biaya dibandingkan Azure Firewall.
NSG menawarkan pengelolaan yang sederhana sehingga lebih mudah dikelola untuk kebutuhan keamanan jaringan dasar.
NSG ideal untuk skenario yang memerlukan kontrol terperinci di tingkat jaringan, dengan konfigurasi keamanan yang disesuaikan untuk setiap mesin virtual atau subnet.
NSG merupakan opsi yang lebih ramah anggaran sehingga cocok untuk kebutuhan keamanan jaringan yang sederhana.
NSG lebih disukai ketika tujuan utamanya adalah mengelola izin atau pembatasan lalu lintas di lapisan jaringan.

Di sisi lain, Azure Firewall lebih sesuai untuk kebutuhan keamanan yang lebih kompleks. Berikut beberapa skenario ketika Azure Firewall unggul:

Ketika Anda membutuhkan pengelolaan terpusat untuk banyak sumber daya dalam satu jaringan virtual.
Jika penerapan Anda memerlukan pemfilteran tingkat aplikasi yang canggih dan intelijen ancaman.
Dalam arsitektur hibrida ketika Anda ingin menggabungkan NSG dan Azure Firewall untuk keamanan multilapis. Misalnya, Anda dapat menerapkan model hub-and-spoke. Hub berisi layanan bersama seperti Azure Firewall, sementara spoke menjalankan beban kerja seperti mesin virtual. Seluruh lalu lintas dari spoke diarahkan ke hub untuk diperiksa.

Dengan memahami perbedaan dan kasus penggunaan NSG serta Azure Firewall, Anda dapat mengambil keputusan yang tepat untuk strategi keamanan Azure Anda.

Singkatnya, Azure Network Security Groups (NSG) sangat penting untuk mengamankan lingkungan cloud Anda. NSG memberikan kontrol akses yang terperinci sehingga Anda dapat mengelola alur lalu lintas secara efektif. Dengan fitur seperti mikrosegmentasi dan integrasi dengan private endpoint, NSG memperkuat postur keamanan Anda.

Untuk memaksimalkan efektivitasnya, pertimbangkan strategi berikut:

Tinjau aturan NSG secara berkala agar selaras dengan kebutuhan keamanan Anda.
Pastikan konfigurasi jaringan virtual (VNet) Anda aman.
Integrasikan Azure Firewall dengan NSG untuk keamanan berlapis.

Dengan menerapkan praktik-praktik ini, Anda dapat memperkuat strategi keamanan Azure dan melindungi sumber daya Anda dari potensi ancaman. Untuk diskusi audio yang lebih mendalam tentang konsep-konsep ini, jangan lewatkan episode khusus kami, Azure Network Security Groups - Simply Explained.

Ingat, pendekatan proaktif dalam mengelola NSG dapat secara signifikan mengurangi risiko dan meningkatkan keamanan cloud Anda secara keseluruhan.