Opanowanie grup zabezpieczeń sieci Azure: najlepsze praktyki dla architektów chmury

By Mirko Peters · 2026-08-27

Witamy ponownie w blogu uzupełniającym podcast! Dziś rozwijamy temat, który stanowi absolutny fundament architektury chmury i ochrony obciążeń: grupy zabezpieczeń sieci Azure …

Automatically translated with AI from the original post. Read the English original

Cover: Azure Network Security Groups - Simply Explained

Witamy ponownie w blogu uzupełniającym podcast! Dziś rozwijamy temat, który stanowi absolutny fundament architektury chmury i ochrony obciążeń: grup zabezpieczeń sieci Azure. Jeśli projektujesz, wdrażasz lub utrzymujesz obciążenia w usłudze Microsoft Azure, zrozumienie, jak właściwie zabezpieczać sieci wirtualne, jest absolutnie konieczne. W tym wpisie szczegółowo omówimy architekturę grup zabezpieczeń sieci Azure (NSG), dowiemy się, jak wdrożyć model domyślnej blokady (deny-by-default), przeanalizujemy priorytetyzację reguł i porównamy je z alternatywnymi konstrukcjami bezpieczeństwa w chmurze.

Zanim przejdziemy do szczegółów technicznych, jeśli chcesz zwięzłego, mówionego omówienia tych pojęć, koniecznie sprawdź powiązany odcinek podcastu: Azure Network Security Groups - Simply Explained. A teraz przeanalizujmy wszystko, co architekt chmury powinien wiedzieć o NSG.

Czym są grupy NSG?

Definicja i przeznaczenie

Grupy zabezpieczeń sieci Azure (NSG) to podstawowe narzędzia do zarządzania zabezpieczeniami sieci w ekosystemie Azure. Umożliwiają definiowanie i egzekwowanie reguł kontrolujących zarówno ruch przychodzący, jak i wychodzący na poziomie podsieci lub poszczególnych maszyn wirtualnych. Dzięki temu można precyzyjnie kontrolować dostęp do sieci, zapewniając, że dostępne pozostają wyłącznie niezbędne usługi. Tym samym NSG wzmacniają ogólny poziom bezpieczeństwa i pomagają chronić zasoby przed nieautoryzowanym dostępem.

Podstawowym celem grup NSG jest filtrowanie ruchu sieciowego między zasobami Azure w sieci wirtualnej (VNet). Grupy NSG można stosować do podsieci lub bezpośrednio do interfejsów sieciowych maszyn wirtualnych. Ta elastyczność pozwala budować warstwowe podejście do bezpieczeństwa, dzięki któremu obciążenia pozostają chronione, a jednocześnie są dostępne dla uprawnionych użytkowników.

Kluczowe składniki grup NSG

Znajomość kluczowych składników grup NSG ma zasadnicze znaczenie dla skutecznego zarządzania bezpieczeństwem sieci. Oto główne elementy tworzące grupę zabezpieczeń sieci Azure:

Składnik	Opis
Grupa zabezpieczeń sieci	Służy do filtrowania ruchu sieciowego między zasobami Azure w sieci VNet.
Reguły zabezpieczeń	Zezwalają na ruch przychodzący i wychodzący lub go blokują, na podstawie określonych kryteriów.
Przypisanie do podsieci	Zalecane jest przypisanie grupy NSG do każdej podsieci, co zapewnia prawidłowe zarządzanie ruchem i bezpieczeństwo.

Grupy NSG zawierają reguły zabezpieczeń, które zezwalają na ruch lub go blokują na poziomie podsieci i maszyn wirtualnych w sieci VNet. Taka struktura ułatwia skuteczną segmentację maszyn wirtualnych między różnymi podsieciami. Na przykład można utworzyć sieć wirtualną, aby wyznaczyć granicę sieci dla zasobów, takich jak maszyny wirtualne. W tej sieci można z kolei utworzyć podsieci, aby podzielić ją na mniejsze sieci.

Dzięki zastosowaniu grup NSG zyskujesz szczegółową kontrolę nad przepływem ruchu między zasobami w sieci wirtualnej. Umożliwiają one podejście „deny by default, permit by exception”, czyli domyślną blokadę z wyjątkami, które jest kluczowe dla izolowania obciążeń wysokiego ryzyka. Dodatkowo grupy zabezpieczeń aplikacji (ASG) upraszczają zarządzanie regułami zabezpieczeń, grupując maszyny wirtualne na podstawie ich ról.

Pamiętaj, że grupy NSG nie służą wyłącznie do blokowania ruchu. Pozwalają również skutecznie monitorować i zarządzać ruchem, dbając o bezpieczeństwo środowiska Azure.

Jak działają grupy NSG

Grupy zabezpieczeń sieci Azure odgrywają kluczową rolę w kontrolowaniu ruchu sieciowego. Umożliwiają definiowanie konkretnych reguł regulujących ruch przychodzący i wychodzący do zasobów Azure. Zrozumienie sposobu działania tych reguł pomaga utrzymać bezpieczne środowisko.

Reguły przychodzące i wychodzące grup NSG

Grupy NSG obejmują dwa główne typy reguł: przychodzące i wychodzące. Każdy z nich pełni odrębną funkcję w zarządzaniu ruchem sieciowym.

Reguła AllowVnetInbound

Reguła AllowVnetInbound zezwala na ruch z innych sieci wirtualnych (VNet) w ramach Azure. Jest niezbędna w scenariuszach, w których zasoby muszą bezpiecznie komunikować się ze sobą. Na przykład jeśli masz kilka maszyn wirtualnych w różnych podsieciach, ta reguła pozwala im wymieniać dane bez narażania ich na dostęp z publicznego internetu.

Reguła DenyAllInbound

Reguła DenyAllInbound blokuje cały ruch przychodzący, który nie pasuje do żadnej innej zdefiniowanej reguły. Ta reguła działa jak siatka bezpieczeństwa i zapewnia, że do zasobów mogą dotrzeć wyłącznie ruch jawnie dozwolony. Domyślnie grupy NSG blokują cały ruch przychodzący, chyba że określisz inaczej. Takie podejście pomaga ograniczyć narażenie na potencjalne zagrożenia.

Typ reguły	Opis
Reguły ruchu przychodzącego	Kontrolują ruch przychodzący do zasobów platformy Azure, zezwalając na ruch z sieci wirtualnych i modułów równoważenia obciążenia platformy Azure, a blokując cały pozostały ruch przychodzący.
Reguły ruchu wychodzącego	Kontrolują ruch wychodzący z zasobów platformy Azure, zezwalając na dostęp do innych sieci wirtualnych i do Internetu, a odrzucając wszystko inne.

Priorytet reguł i kolejność ich oceny

Priorytet reguł NSG w istotny sposób wpływa na to, jak platforma Azure je ocenia i egzekwuje. Każda reguła ma numer priorytetu, przy czym niższe liczby oznaczają wyższy priorytet. Gdy ruch pasuje do wielu reguł, platforma Azure przetwarza je z góry na dół. Pierwsza reguła pasująca do ruchu determinuje podjęte działanie. Po znalezieniu dopasowania platforma Azure nie ocenia już kolejnych reguł.

Typ reguły	Poziom priorytetu	Kolejność oceny
Reguły administratora zabezpieczeń	Wyższy	Oceniane jako pierwsze, przed regułami NSG
Grupy zabezpieczeń sieci	Niższy	Oceniane po regułach administratora zabezpieczeń
Działania wobec ruchu	Nie dotyczy	Zezwalaj, Zawsze zezwalaj, Odmów

Taki proces oceny gwarantuje, że krytyczne reguły zabezpieczeń mają pierwszeństwo przed pozostałymi. Na przykład jeśli masz regułę zezwalającą na ruch z określonego adresu IP i inną regułę blokującą cały ruch przychodzący, reguła zezwalająca zadziała, jeśli ma wyższy priorytet.

Rozumiejąc sposób działania grup NSG, możesz skutecznie filtrować ruch sieciowy i zwiększać bezpieczeństwo zasobów platformy Azure. Prawidłowo skonfigurowane grupy NSG pomagają zbudować solidne zabezpieczenia, dzięki którym do aplikacji dotrze wyłącznie uprawniony ruch.

Pojęcia pokrewne: tagi usług i grupy zabezpieczeń aplikacji

Zrozumienie tagów usług

Tagi usług upraszczają zarządzanie grupami zabezpieczeń sieci w platformie Azure. Reprezentują grupy prefiksów adresów IP zarządzanych przez firmę Microsoft. Dzięki tagom usług nie trzeba ręcznie śledzić i aktualizować adresów IP usług platformy Azure. Ta funkcja znacząco redukuje złożoność zarządzania. Oto najważniejsze korzyści płynące z tagów usług:

Są automatycznie aktualizowane, gdy zmieniają się zakresy adresów IP usług platformy Azure.
Umożliwiają szczegółową kontrolę ruchu sieciowego do i z usług platformy Azure.
Pomagają utrzymać bezpieczne środowisko bez ciągłych ręcznych zmian.

Popularne usługi platformy Azure reprezentowane przez tagi usług:

Tag	Przeznaczenie	Czy można używać dla ruchu przychodzącego lub wychodzącego?	Czy może być regionalny?	Czy można używać z Azure Firewall?
ActionGroup	Grupa akcji.	Przychodzący	Nie	Tak
ApiManagement	Ruch zarządzania dla wdrożeń dedykowanych usługi Azure API Management.	Przychodzący	Tak	Tak
ApplicationInsightsAvailability	Dostępność Application Insights.	Przychodzący	Nie	Tak
AppConfiguration	App Configuration.	Wychodzący	Nie	Tak
AppService	Azure App Service. Zalecany do wychodzących reguł zabezpieczeń dla aplikacji internetowych.	Wychodzący	Tak	Tak
AppServiceManagement	Ruch zarządzania dla środowiska App Service Environment.	Oba kierunki	Nie	Tak
AzureActiveDirectory	Usługi Microsoft Entra ID.	Wychodzący	Nie	Tak
AzureAdvancedThreatProtection	Microsoft Defender for Identity.	Wychodzący	Nie	Tak

Grupy zabezpieczeń aplikacji (ASG)

Grupy zabezpieczeń aplikacji (ASG) usprawniają zarządzanie zabezpieczeniami sieci, pozwalając grupować zasoby według ról aplikacyjnych. To dynamiczne grupowanie upraszcza zarządzanie zabezpieczeniami i zmniejsza obciążenie administracyjne. Oto, jak ASG współpracują z grupami NSG:

ASG ułatwiają grupowanie maszyn wirtualnych (VM) według obciążeń.
Definiują granice bezpieczeństwa między warstwami aplikacji.
ASG zmniejszają liczbę wymaganych reguł zabezpieczeń i skalują się automatycznie.

Korzyści z używania ASG w rozległych wdrożeniach platformy Azure obejmują:

Korzyść	Opis
Efektywność operacyjna	ASG zmniejszają ryzyko awarii podczas konserwacji dzięki ograniczeniu błędów związanych z adresami IP.
Postawa bezpieczeństwa	Umożliwiają ściślejszą segmentację, kontrolując dostęp między warstwami aplikacji.
Łatwość utrzymania	ASG pozwalają tworzyć bardziej przejrzyste i elastyczne reguły zabezpieczeń sieci.
Skalowalność	Pomagają utrzymać zwięzłe reguły zabezpieczeń w miarę rozrastania się środowisk.
Automatyzacja	ASG dobrze wpisują się w zautomatyzowane procesy wdrażania.
Rozwiązywanie problemów	Upraszczają diagnostykę, pozwalając zespołom śledzić ruch według roli.

Wykorzystując tagi usług i ASG, możesz ulepszyć konfigurację grup NSG. Te narzędzia dają elastyczność i kontrolę potrzebną do skutecznego zabezpieczenia środowiska platformy Azure.

Znaczenie dzienników przepływu NSG

Monitorowanie ruchu

Dzienniki przepływu NSG w Azure odgrywają kluczową rolę w monitorowaniu ruchu sieciowego. Dają szczegółowy wgląd w przepływ danych do i z zasobów Azure. Dzięki włączeniu dzienników przepływu NSG możesz śledzić, który ruch jest dozwolony, a który odrzucany, zgodnie z zdefiniowanymi przez Ciebie regułami zabezpieczeń. Ta widoczność pomaga potwierdzić izolację sieci i zgodność z firmowymi zasadami dostępu.

Oto najważniejsze korzyści płynące z używania dzienników przepływu NSG do monitorowania:

Widoczność: Dzienniki przepływu dają jasny obraz rzeczywistego ruchu sieciowego. Ta widoczność pozwala zidentyfikować wzorce dostępu, które mogą naruszać zasady organizacji.
Zgodność: Prowadzenie zapisów ruchu sieciowego jest niezbędne do spełnienia wymogów regulacyjnych lub prawnych. Dzienniki przepływu pomagają wykazać zgodność ze standardami bezpieczeństwa.
Wykrywanie zagrożeń: Dokładne monitorowanie ruchu NSG jest kluczowe dla zapewnienia bezpieczeństwa sieci. Pomaga wykrywać potencjalne zagrożenia i weryfikować skuteczność reguł NSG.

Źródło	Dowód
Rejestrowanie przepływu dla grup zabezpieczeń sieci	Dane przepływu można wykorzystać do potwierdzenia izolacji sieci i zgodności z firmowymi zasadami dostępu.
Zrozumienie dzienników Azure z perspektywy bezpieczeństwa	Dzienniki przepływu zapewniają widoczność rzeczywistego ruchu sieciowego, co pomaga zidentyfikować wzorce dostępu, które mogą naruszać zasady organizacji.
Czym są grupy zabezpieczeń sieci (NSG) w Azure?	Prowadzenie zapisów ruchu sieciowego jest niezbędne do spełnienia wymogów regulacyjnych lub prawnych.
Chmurowe zabezpieczenia sieci i automatyzacja	Dokładne monitorowanie ruchu NSG jest kluczowe dla zapewnienia bezpieczeństwa sieci, wykrywania potencjalnych zagrożeń i weryfikowania skuteczności reguł NSG.

Analiza wzorców ruchu

Analiza dzienników przepływu NSG pozwala wykrywać nietypowe wzorce ruchu lub potencjalne zagrożenia bezpieczeństwa. Badając dane, możesz dostrzec anomalie, które mogą wskazywać na nieautoryzowany dostęp lub inne złośliwe działania. Oto najczęstsze typy anomalii, na które warto zwrócić uwagę:

Typ anomalii	Opis
Nieoczekiwany ruch	Wykrycie ruchu z nieznanych adresów IP, który może wskazywać na próby nieautoryzowanego dostępu.
Nagłe skoki transferu danych	Wykrywanie nietypowych wzrostów transferu danych, które mogą świadczyć o próbach eksfiltracji danych.
Powtarzające się nieudane próby połączenia	Monitorowanie wielokrotnych nieudanych prób połączenia, które mogą sugerować atak brute-force.
Skanowanie portów	Rozpoznawanie wielu żądań połączenia do różnych portów z jednego adresu IP.
Wskaźniki ataków DDoS	Duże ilości ruchu przychodzącego z różnych adresów IP, które mogą wskazywać na atak typu Distributed Denial of Service.
Nietypowy dostęp geograficzny	Próby dostępu z lokalizacji, w których nie ma uprawnionych użytkowników, co wskazuje na potencjalne zagrożenia.
Komunikacja C2 złośliwego oprogramowania	Powtarzające się połączenia ze znanymi złośliwymi adresami IP, które mogą świadczyć o działaniach typu command and control.

Aby zmaksymalizować skuteczność analizy, rozważ następujące najlepsze praktyki:

Włącz dzienniki przepływu NSG w krytycznych podsieciach, aby zapewnić audytowalność i bezpieczeństwo.
Włącz dzienniki przepływu NSG dla wszystkich grup zabezpieczeń sieci przypisanych do zasobu, aby rejestrować cały ruch.
Zapewnij magazyn danych odpowiedni do oczekiwanej ilości dzienników przepływu.
Upewnij się, że nazwy grup zabezpieczeń sieci mieszczą się w limicie znaków, aby uniknąć ich obcinania.

Korzystając z narzędzi takich jak Azure Traffic Analytics, możesz skutecznie wizualizować i interpretować dane z dzienników przepływu NSG. Pozwala to automatyzować wykrywanie zagrożeń i konfigurować alerty dla dużej liczby odrzuconych prób dostępu.

Aby wizualizować i wykonywać zapytania do dzienników przepływu NSG w Microsoft Sentinel, skonfiguruj ustawienia diagnostyczne tak, aby strumieniować dzienniki do obszaru roboczego Log Analytics połączonego z Sentinelem.

Dzięki tym wnioskom możesz wzmocnić swoją postawę bezpieczeństwa i proaktywnie reagować na potencjalne zagrożenia.

NSG a Azure Firewall

Zabezpieczając środowisko Azure, zarówno grupy zabezpieczeń sieci (NSG) Azure, jak i Azure Firewall odgrywają ważną rolę. Mają jednak różne przeznaczenie i odmienne funkcjonalności. Zrozumienie tych różnic pomaga wybrać właściwe narzędzie do potrzeb w zakresie bezpieczeństwa.

Kluczowe różnice

Funkcja/możliwość	Azure Firewall	Grupa zabezpieczeń sieci Azure (NSG)
Typ usługi	Zarządzana, chmurowa usługa zabezpieczeń sieci	Logiczna usługa zapory
Poziom filtrowania	Stanowa inspekcja pakietów, ochrona na poziomie aplikacji	Filtrowanie na poziomie warstwy sieciowej (warstwa 4)
Scentralizowane zarządzanie	Tak, zapewnia scentralizowane zabezpieczenia dla wszystkich zasobów w sieci wirtualnej	Nie, działa na poszczególnych zasobach
Szczegółowe filtrowanie aplikacji	Tak, umożliwia zaawansowane filtrowanie na poziomie aplikacji	Nie, podstawowe reguły dla ruchu przychodzącego i wychodzącego
Threat Intelligence	Tak, obejmuje filtrowanie oparte na informacjach o zagrożeniach	Nie, nie zapewnia zaawansowanej ochrony przed zagrożeniami
Przypadek użycia	Odpowiednie dla większych wdrożeń wymagających zaawansowanych funkcji zabezpieczeń	Odpowiednie do podstawowego filtrowania ruchu między zasobami
Łączne użycie	Dobrze współpracuje z grupami NSG w ramach wielowarstwowych zabezpieczeń	Może być używana razem z Azure Firewall w celu zwiększenia poziomu bezpieczeństwa

Przypadki użycia dla każdego z rozwiązań

Grupy NSG warto wybrać w kilku sytuacjach. Oto kilka powodów, dla których warto wybrać grupy NSG zamiast Azure Firewall:

Grupy NSG są opłacalnym rozwiązaniem w porównaniu z Azure Firewall.
Zapewniają proste zarządzanie, dzięki czemu łatwiej nimi administrować w podstawowych scenariuszach zabezpieczeń sieci.
Grupy NSG sprawdzają się idealnie w scenariuszach wymagających szczegółowej kontroli na poziomie sieci, umożliwiając dostosowane konfiguracje zabezpieczeń dla poszczególnych maszyn wirtualnych lub podsieci.
Są one tańszą opcją, dzięki czemu nadają się do prostych potrzeb w zakresie zabezpieczeń sieci.
Grupy NSG są preferowane, gdy głównym celem jest zarządzanie zezwalaniem lub blokowaniem ruchu na warstwie sieciowej.

Z drugiej strony Azure Firewall lepiej sprawdza się w bardziej złożonych wymaganiach dotyczących bezpieczeństwa. Oto scenariusze, w których Azure Firewall sprawdza się najlepiej:

Gdy potrzebujesz scentralizowanego zarządzania wieloma zasobami w obrębie sieci wirtualnej.
Gdy wdrożenie wymaga zaawansowanego filtrowania na poziomie aplikacji i opierania się na informacjach o zagrożeniach.
W architekturach hybrydowych, w których chcesz połączyć grupy NSG i Azure Firewall w celu wielowarstwowych zabezpieczeń. Na przykład możesz skonfigurować model hub-and-spoke. Centrum (hub) zawiera usługi współdzielone, takie jak Azure Firewall, a gałęzie (spoke) hostują obciążenia, na przykład maszyny wirtualne. Cały ruch z gałęzi jest kierowany do centrum w celu inspekcji.

Rozumiejąc różnice i przypadki użycia grup NSG oraz Azure Firewall, możesz podejmować świadome decyzje dotyczące strategii zabezpieczeń w Azure.

Podsumowując, grupy zabezpieczeń sieci Azure (NSG) są kluczowe dla zabezpieczenia środowiska chmurowego. Zapewniają szczegółową kontrolę dostępu, umożliwiając skuteczne zarządzanie przepływem ruchu. Dzięki takim funkcjom jak mikrosegmentacja i integracja z punktami końcowymi prywatnymi grupy NSG wzmacniają Twoją postawę bezpieczeństwa.

Aby zmaksymalizować ich skuteczność, rozważ następujące strategie:

Regularnie przeglądaj reguły grup NSG, aby były zgodne z Twoimi potrzebami w zakresie bezpieczeństwa.
Zadbaj o bezpieczne konfiguracje sieci wirtualnych (VNet).
Zintegruj Azure Firewall z grupami NSG, aby zapewnić bezpieczeństwo warstwowe.

Wdrażając te praktyki, możesz wzmocnić strategię bezpieczeństwa w Azure i chronić zasoby przed potencjalnymi zagrożeniami. Aby posłuchać eksperckiej dyskusji, która jeszcze dokładniej wyjaśnia te zagadnienia, koniecznie zapoznaj się z naszym dedykowanym odcinkiem Azure Network Security Groups - Simply Explained.

Pamiętaj, że proaktywne zarządzanie grupami NSG może znacząco zmniejszyć ryzyko i poprawić ogólne bezpieczeństwo Twojego środowiska chmurowego.