Network Security Group NSG

Définition

Un Network Security Group (NSG) Azure est l'équivalent Azure des Security Groups AWS : un pare-feu virtuel stateful contrôlant le trafic réseau entrant et sortant pour les ressources Azure dans un Virtual Network (VNet). Les NSGs peuvent être associés à des subnets (affectant toutes les ressources du subnet) ou directement à des interfaces réseau (NIC) individuelles de VMs. Un NSG contient des règles de sécurité définissant : la priorité (100 à 4096, les valeurs plus basses ont priorité), la direction (Inbound ou Outbound), l'action (Allow ou Deny), le protocole (TCP, UDP, ICMP, ESP, AH, ou Any), la plage de ports source/destination, et la source/destination (adresse IP, plage CIDR, Service Tag, ou Application Security Group). Les Service Tags Azure sont une fonctionnalité puissante des NSGs : ils représentent des groupes de préfixes IP pour les services Azure (AzureCloud, Storage, Sql, AppService, AzureActiveDirectory, etc.) mis à jour automatiquement par Microsoft. Utiliser les Service Tags plutôt que des plages IP spécifiques simplifie la maintenance des règles NSG et élimine le risque de règles obsolètes quand Azure modifie ses plages IP. Les Application Security Groups (ASG) permettent de grouper des VMs par rôle applicatif (ex: ASG-WebServers, ASG-AppServers, ASG-DbServers) et de référencer ces groupes dans les règles NSG. Cela crée des politiques de segmentation basées sur la logique applicative plutôt que sur les adresses IP, rendant les règles plus lisibles et maintenant leur validité même lors des changements d'IPs. Les NSG Flow Logs (activables via Azure Network Watcher) enregistrent le trafic autorisé et refusé, permettant l'analyse forensique du réseau, la détection des mouvements latéraux et l'audit des communications entre ressources Azure.