Cloud Network Security Groups

Définition

Les Network Security Groups (NSGs) cloud sont des pare-feux virtuels stateful permettant de contrôler le trafic réseau entrant et sortant vers les ressources cloud. Chaque cloud provider a son implémentation : AWS Security Groups (attachés aux ENIs et instances EC2), Azure Network Security Groups (attachés aux subnets et NICs), et GCP Firewall Rules (appliquées au niveau VPC avec ciblage par tags ou Service Accounts). Ils constituent le premier niveau de défense réseau pour les workloads cloud. Les Security Groups AWS sont stateful : si une connexion entrante est autorisée, le trafic de réponse sortant est automatiquement autorisé. Ils s'attachent aux interfaces réseau (ENI) des instances EC2, des instances RDS, des Load Balancers. Les règles peuvent référencer d'autres Security Groups comme source/destination (plutôt que des IPs), permettant la micro-segmentation dynamique qui s'adapte à l'autoscaling. Une règle par défaut autorise tout le trafic sortant (outbound) - recommandation de restreindre également le trafic sortant. Les Azure Network Security Groups s'appliquent au niveau subnet (toutes les VMs dans le subnet sont affectées) ou au niveau NIC (une VM spécifique). Chaque NSG contient des Security Rules avec des priorités (100-4096, lower = higher priority) et des actions Allow/Deny. L'Augmented Security Rules permet de référencer des Application Security Groups (ASGs) comme source/destination, permettant de grouper logiquement les VMs (ex: ASG frontend, ASG backend) et de créer des règles entre ces groupes. Les GCP Firewall Rules opèrent au niveau VPC et s'appliquent aux instances via des tags réseau (network tags assignés aux instances) ou des Service Accounts (attachés aux instances). Les règles Ingress et Egress contrôlent les flux entrants et sortants. L'ordre d'évaluation des règles est basé sur la priorité (0-65535, lower = higher priority). Les erreurs communes avec les NSGs cloud incluent : les règles autorisant 0.0.0.0/0 sur des ports administratifs (SSH 22, RDP 3389), les règles de groupe par défaut trop larges (SG AWS avec all traffic inbound depuis le même SG), l'absence de règles egress restrictives (tout le trafic sortant autorisé par défaut), et les règles obsolètes permettant des accès à des services ou IPs qui n'existent plus.