Azure Network Security Groups onder de knie krijgen: best practices voor cloud architecten

By Mirko Peters · 2026-08-27

Welkom terug bij de blog die bij de podcast hoort! Vandaag gaan we dieper in op een onderwerp dat de absolute basis vormt van cloudarchitectuur en workloadbescherming: Azure Network Security Groups. Als je workloads in Microsoft Azure ontwerpt, implementeert of beheert, is het niet optioneel om te begrijpen hoe je je virtuele netwerken goed beveiligt. In deze post duiken we diep in de architectuur

Automatically translated with AI from the original post. Read the English original

Welkom terug bij de blog die bij de podcast hoort! Vandaag gaan we dieper in op een onderwerp dat de absolute basis vormt van cloudarchitectuur en workloadbescherming: Azure Network Security Groups. Als je workloads in Microsoft Azure ontwerpt, implementeert of beheert, is het niet optioneel om te begrijpen hoe je je virtuele netwerken goed beveiligt. In deze post duiken we diep in de architectuur van Azure Network Security Groups (NSG's), leren we hoe je een deny-by-default-houding implementeert, bekijken we de prioriteitsvolgorde van regels en vergelijken we NSG's met andere beveiligingsconstructies in de cloud.

Voordat we in de technische details duiken: wil je een beknopte, gesproken uitleg van deze concepten, luister dan zeker naar onze bijbehorende podcastaflevering, Azure Network Security Groups - Simply Explained. Laten we nu alles doornemen wat een cloudarchitect moet weten om NSG's onder de knie te krijgen.

Wat zijn NSG's?

Definitie en doel

Azure Network Security Groups (NSG's) zijn essentiële hulpmiddelen voor het beheren van netwerkbeveiliging binnen het Azure-ecosysteem. Ze maken het mogelijk regels in te stellen en af te dwingen die zowel inkomend als uitgaand netwerkverkeer beheersen, op het niveau van subnets of afzonderlijke virtuele machines. Hiermee houd je de netwerktoegang nauwkeurig in de hand, zodat alleen noodzakelijke services bereikbaar blijven. Zo versterken NSG's je algehele beveiligingshouding en beschermen ze je resources tegen ongeautoriseerde toegang.

Het belangrijkste doel van NSG's is het filteren van netwerkverkeer tussen Azure-resources in een virtueel netwerk (VNet). Je kunt NSG's toepassen op subnets of rechtstreeks op de netwerkinterfaces van virtuele machines. Die flexibiliteit maakt een gelaagde beveiligingsaanpak mogelijk, waarbij je workloads veilig blijven en tegelijkertijd bereikbaar voor legitieme gebruikers.

Belangrijkste onderdelen van NSG's

Inzicht in de belangrijkste onderdelen van NSG's is cruciaal om je netwerkbeveiliging effectief te beheren. Dit zijn de belangrijkste elementen van een Azure Network Security Group:

NSG's bevatten beveiligingsregels die verkeer toestaan of blokkeren op zowel subnetniveau als VM-niveau binnen een VNet. Deze opzet maakt effectieve segmentatie van virtuele machines over verschillende subnets mogelijk. Je kunt bijvoorbeeld een virtueel netwerk maken als netwerkgrens voor resources zoals VM's. Binnen dit VNet maak je subnets aan om het netwerk verder op te delen in kleinere subnetwerken.

Door NSG's toe te passen krijg je nauwkeurige controle over de verkeersstroom tussen resources in je virtuele netwerk. Ze maken een aanpak van 'deny by default, permit by exception' mogelijk, wat cruciaal is om workloads met een hoog risico te isoleren. Daarnaast vereenvoudigen Application Security Groups (ASG's) het beheer van beveiligingsregels doordat ze virtuele machines op basis van hun rol groeperen.

Onthoud dat NSG's niet alleen draaien om het blokkeren van verkeer; ze stellen je ook in staat verkeer effectief te monitoren en te beheren, zodat je Azure-omgeving veilig blijft.

Hoe NSG's werken

Azure Network Security Groups spelen een cruciale rol bij het beheersen van netwerkverkeer. Je definieert specifieke regels die bepalen hoe inkomend en uitgaand verkeer naar je Azure-resources verloopt. Inzicht in hoe deze regels werken, helpt je een veilige omgeving te behouden.

Inkomende en uitgaande NSG-regels

NSG's bestaan uit twee hoofdtypen regels: inkomend en uitgaand. Elk type heeft een eigen doel bij het beheren van netwerkverkeer.

AllowVnetInbound-regel

De AllowVnetInbound-regel staat verkeer toe vanuit andere virtuele netwerken (VNets) binnen Azure. Deze regel is essentieel in scenario's waarin resources veilig met elkaar moeten communiceren. Als je bijvoorbeeld meerdere virtuele machines in verschillende subnets hebt, laat deze regel hen gegevens uitwisselen zonder ze aan het publieke internet bloot te stellen.

DenyAllInbound-regel

De DenyAllInbound-regel blokkeert al het inkomende verkeer dat niet overeenkomt met een andere gedefinieerde regel. Deze regel fungeert als vangnet en zorgt ervoor dat alleen expliciet toegestaan verkeer je resources kan bereiken. Standaard weigeren NSG's al het inkomende verkeer, tenzij je iets anders instelt. Zo beperk je de blootstelling aan potentiële dreigingen.

Regelprioriteit en evaluatie

De prioriteit van NSG-regels bepaalt in belangrijke mate hoe Azure ze evalueert en afdwingt. Elke regel heeft een prioriteitsnummer, waarbij lagere nummers een hogere prioriteit aangeven. Wanneer verkeer overeenkomt met meerdere regels, verwerkt Azure ze van boven naar beneden. De eerste regel die overeenkomt met het verkeer bepaalt de actie. Zodra er een overeenkomst is, evalueert Azure geen verdere regels.

Dit evaluatieproces zorgt ervoor dat kritieke beveiligingsregels voorrang krijgen op andere regels. Stel dat je een regel hebt die verkeer van een specifiek IP-adres toestaat, en een andere regel die al het inkomende verkeer weigert. Dan geldt de toestaan-regel als die een hogere prioriteit heeft.

Door te begrijpen hoe NSG's werken, kun je het netwerkverkeer effectief filteren en de beveiliging van je Azure-resources verbeteren. Goed geconfigureerde NSG's helpen je een robuuste beveiligingsopzet te realiseren, zodat alleen legitiem verkeer je applicaties bereikt.

Gerelateerde concepten: service tags en ASG's

Service tags begrijpen

Service tags vereenvoudigen het beheer van netwerkbeveiligingsgroepen in Azure. Ze vertegenwoordigen groepen IP-adresprefixen die door Microsoft worden beheerd. Met service tags hoef je IP-adressen voor Azure-services niet meer handmatig bij te houden en bij te werken. Deze functie vermindert de beheercomplexiteit aanzienlijk. Hier zijn enkele belangrijke voordelen van service tags:

• Ze worden automatisch bijgewerkt wanneer de IP-bereiken van Azure-services wijzigen.
• Ze maken gedetailleerde controle over het netwerkverkeer naar en van Azure-services mogelijk.
• Ze helpen je een veilige omgeving te behouden zonder voortdurende handmatige aanpassingen.

Veelvoorkomende Azure-services die met service tags worden weergegeven, zijn:

Application Security Groups (ASG's)

Application Security Groups (ASG's) verbeteren het beheer van netwerkbeveiliging doordat je resources kunt groeperen op basis van hun applicatierol. Deze dynamische groepering vereenvoudigt het beveiligingsbeheer en verlaagt de administratieve last. Zo werken ASG's samen met NSG's:

• ASG's maken het mogelijk virtuele machines (VM's) op basis van workloads te groeperen.
• Ze definiëren beveiligingsgrenzen tussen applicatielagen.
• ASG's verminderen het aantal benodigde beveiligingsregels en schalen automatisch mee.

De voordelen van het gebruik van ASG's in grootschalige Azure-implementaties zijn:

Door service tags en ASG's te gebruiken, kun je je NSG-configuraties verbeteren. Deze hulpmiddelen geven je de flexibiliteit en controle die nodig zijn om je Azure-omgeving effectief te beveiligen.

Belangrijkheid van NSG-flowlogs

Verkeer monitoren

Azure NSG-stroomlogboeken spelen een cruciale rol bij het monitoren van netwerkverkeer. Ze geven je gedetailleerd inzicht in de datastroom van en naar je Azure-resources. Door NSG-stroomlogboeken in te schakelen, kun je bijhouden welk verkeer is toegestaan of geblokkeerd op basis van je gedefinieerde beveiligingsregels. Dit inzicht helpt je om netwerkisolatie en naleving van de toegangsregels van je organisatie te bevestigen.

Dit zijn enkele belangrijke voordelen van het gebruik van NSG-stroomlogboeken voor monitoring:

• Zichtbaarheid: Stroomlogboeken geven je een helder beeld van het werkelijke netwerkverkeer. Dit inzicht helpt je toegangspatronen te identificeren die in strijd kunnen zijn met het beleid van de organisatie.
• Compliance: Het bijhouden van registraties van netwerkverkeer is essentieel om aan wettelijke of regelgevende verplichtingen te voldoen. Stroomlogboeken helpen je aan te tonen dat je voldoet aan beveiligingsnormen.
• Dreigingsdetectie: Grondige monitoring van NSG-verkeer is cruciaal voor het waarborgen van netwerkbeveiliging. Het helpt je potentiële dreigingen te detecteren en de effectiviteit van je NSG-regels te verifiëren.

Verkeerspatronen analyseren

Door NSG-stroomlogboeken te analyseren, kun je ongebruikelijke verkeerspatronen of potentiële beveiligingsdreigingen herkennen. Door de gegevens te onderzoeken, zie je afwijkingen die kunnen wijzen op ongeautoriseerde toegang of andere kwaadaardige activiteiten. Dit zijn enkele veelvoorkomende soorten afwijkingen om in de gaten te houden:

Om de effectiviteit van je analyse te maximaliseren, kun je deze best practices overwegen:

1. Schakel NSG-stroomlogboeken in op kritieke subnets om controle en beveiliging te waarborgen.
2. Schakel NSG-stroomlogboeken in op alle netwerkbeveiligingsgroepen die aan een resource zijn gekoppeld om al het verkeer vast te leggen.
3. Zorg voor opslagcapaciteit die past bij het verwachte volume aan stroomlogboeken.
4. Zorg dat namen van netwerkbeveiligingsgroepen binnen de tekenlimieten blijven om afkapping te voorkomen.

Met tools zoals Azure Traffic Analytics kun je NSG-stroomlogboekgegevens visualiseren en effectief interpreteren. Zo kun je dreigingsdetectie automatiseren en waarschuwingen instellen voor grote aantallen geweigerde toegangspogingen.

Om NSG-stroomlogboeken binnen Microsoft Sentinel te visualiseren en te bevragen, configureer je diagnostische instellingen zodat de logboeken worden doorgestuurd naar een Log Analytics-werkruimte die met Sentinel is verbonden.

Met deze inzichten kun je je beveiligingspositie versterken en proactief reageren op potentiële dreigingen.

NSG's versus Azure Firewall

Bij het beveiligen van je Azure-omgeving spelen zowel Azure-netwerkbeveiligingsgroepen (NSG's) als Azure Firewall een belangrijke rol. Ze hebben echter verschillende doelen en andere functionaliteiten. Als je deze verschillen begrijpt, kun je de juiste tool kiezen voor je beveiligingsbehoeften.

Belangrijkste verschillen

Gebruiksscenario's per optie

Er zijn verschillende scenario's waarin je NSG's zou kunnen verkiezen. Hier zijn enkele redenen om voor NSG's te kiezen in plaats van Azure Firewall:

• NSG's zijn een kosteneffectieve oplossing in vergelijking met Azure Firewall.
• Ze zorgen voor eenvoudig beheer, waardoor ze gemakkelijker te beheren zijn voor basisbehoeften op het gebied van netwerkbeveiliging.
• NSG's zijn ideaal voor scenario's die granulaire controle op netwerkniveau vereisen, waarbij je beveiligingsconfiguraties per virtuele machine of subnet kunt aanpassen.
• Ze zijn een voordeligere optie en daarom geschikt voor eenvoudige behoeften op het gebied van netwerkbeveiliging.
• NSG's hebben de voorkeur wanneer het belangrijkste doel is om het toestaan of blokkeren van verkeer op netwerkniveau te beheren.

Aan de andere kant is Azure Firewall beter geschikt voor complexere beveiligingseisen. Hier zijn enkele scenario's waarin Azure Firewall uitblinkt:

• Wanneer je gecentraliseerd beheer nodig hebt voor meerdere resources binnen een virtueel netwerk.
• Als je implementatie geavanceerde filtering op applicatieniveau en threat intelligence vereist.
• In hybride architecturen waarin je NSG's en Azure Firewall wilt combineren voor beveiliging op meerdere lagen. Je kunt bijvoorbeeld een hub-and-spoke-model opzetten. De hub bevat gedeelde services zoals Azure Firewall, terwijl de spokes workloads zoals virtuele machines hosten. Al het verkeer van de spokes wordt naar de hub geleid voor inspectie.

Door de verschillen en gebruiksscenario's van NSG's en Azure Firewall te begrijpen, kun je weloverwogen beslissingen nemen over je Azure-beveiligingsstrategie.

Kort samengevat zijn Azure Network Security Groups (NSG's) essentieel voor het beveiligen van je cloudomgeving. Ze bieden granulaire toegangscontrole, waarmee je het verkeer effectief kunt beheren. Met functies zoals micro-segmentatie en integratie met private endpoints versterken NSG's je beveiligingspositie.

Om het maximale uit ze te halen, kun je de volgende strategieën overwegen:

• Controleer NSG-regels regelmatig om ervoor te zorgen dat ze aansluiten bij je beveiligingsbehoeften.
• Zorg voor veilige configuraties van je virtuele netwerken (VNets).
• Integreer Azure Firewall met NSG's voor gelaagde beveiliging.

Door deze praktijken toe te passen, versterk je je Azure-beveiligingsstrategie en bescherm je je resources tegen mogelijke bedreigingen. Voor een expertdiscussie in audioformaat die deze concepten nog verder uitlegt, kun je onze speciale aflevering beluisteren: Azure Network Security Groups - Simply Explained.

Onthoud dat een proactieve aanpak van NSG's de risico's aanzienlijk kan verkleinen en je algehele cloudbeveiliging kan verbeteren.