セキュリティグループ（セキュリティグループ）
クラウドL3/L4ファイアウォール。AWS VPC Security Group（Inbound/Outbound rule）・Azure NSG（Network Security Group）・GCP Firewall Rules・Oracle Cloud Security Listが代表で、Port/Protocol/CIDR指定で許可設定、Stateful動作。
概要
クラウド環境における L3/L4 ファイアウォールは、仮想ネットワーク内のトラフィックを制御するための基本的なセキュリティ機能です。代表的な実装としては、AWS の VPC Security Group、Azure の Network Security Group（NSG）、GCP の Firewall Rules、Oracle Cloud の Security List が挙げられます。これらはすべて「ポート／プロトコル／CIDR」単位で許可／拒否ルールを設定でき、ステートフル（Stateful）な挙動を持つため、応答トラフィックは自動的に許可されます。
主な特徴・仕組み
- ステートフル動作：送信側からのリクエストが許可されると、応答は自動で許可される。
- ポート・プロトコル・CIDR 指定：TCP/UDP/ICMP などを細かく制御。
- インバウンド／アウトバウンドルール：双方向のトラフィックを個別に管理。
- デフォルト拒否：明示的に許可しない限り、全トラフィックは遮断。
- スケーラビリティ：数千規模のルールを持つことが可能。
- 統合管理：クラウドプロバイダーの管理コンソールや API で一括設定。
- ログ・監査：VPC Flow Logs、NSG Flow Logs、Firewall Rules の監査ログが取得可能。
- レイテンシ：ルール判定は数ミリ秒以内で完了。
- 可視化：トラフィックパターンをダッシュボードで確認。
- 自動化：IaC（Infrastructure as Code）ツールで宣言的に定義。
スペック/製品比較表
| プロバイダー | ルール数上限 | 主要プロトコル | ステートフル | 監査ログ | 代表型番 |
|---|---|---|---|---|---|
| AWS VPC SG | 50,000 | TCP, UDP, ICMP | あり | あり | SG-001 |
| Azure NSG | 30,000 | TCP, UDP, ICMP | あり | あり | NSG-002 |
| GCP FW | 25,000 | TCP, UDP, ICMP | あり | あり | FW-003 |
| Oracle Cloud | 20,000 | TCP, UDP, ICMP | あり | あり | SL-004 |
具体例・対応製品
- AWS VPC Security Group：EC2 インスタンス、RDS、ElastiCache などに直接アタッチ。
- Azure NSG：仮想ネットワーク内のサブネットや NIC に割り当て。
- GCP Firewall Rules：VPC ネットワーク全体に適用、または特定インスタンスに対して。
- Oracle Cloud Security List：Compute インスタンスや Load Balancer に設定。
- AWS EC2 Security Group：VPC SG の一種で、EC2 の起動時に自動作成される。
自作PCでの選び方・注意点
- 用途別にルールを分割：開発環境、テスト環境、本番環境で別々の SG を作成し、最小権限で構成。
- CIDR の最小化：許可する IP 範囲は必要最低限に設定し、外部からの攻撃面を縮小。
- ポートの閉鎖：使用しないポートは必ず拒否。
- 監査ログの有効化：トラブル時に原因を追跡できるように設定。
- 自動化スクリプト：Terraform で SG を宣言し、変更履歴を管理。
- レイテンシの確認：ルール数が増えると判定時間が増加するため、パフォーマンスを定期的に測定。
- ステートフルの理解：許可したリクエストに対しては応答が自動で許可されるが、逆方向のリクエストは別途許可が必要。
- バックアップ：設定をエクスポートし、障害時に迅速に復元。
- ベンダーの最新情報：2025年に AWS が SG のルール数上限を 100,000 に拡張。
- セキュリティパッチ：クラウドプロバイダーが提供するアップデートを適用し、既知脆弱性を解消。
関連用語との違い
- ACL（Access Control List）：ステートレスで、応答トラフィックは自動許可されない。
- VPC Peering：ネットワーク接続を確立するだけで、トラフィック制御は SG が担当。
- ロードバランサー：トラフィックの分散を行うが、ポリシーは SG で制御。
- WAF（Web Application Firewall）：HTTP/HTTPS レベルでの攻撃検知・遮断。SG は L3/L4 レベル。
よくある質問
Q1. ルール数が多いとパフォーマンスに影響しますか？
A1. はい。ルール判定は順序で行われるため、数千規模になると判定時間が数ミリ秒増加します。
Q2. SG と NSG の違いは何ですか？
A2. 基本機能は同じですが、Azure では NSG がサブネット単位で適用でき、AWS では SG がインスタンス単位で設定されます。
Q3. 2026年に予定されている SG の新機能は？
A3. 2026年に AWS が「次世代ステートフル検査」を導入予定で、パケット内容を解析し、より高度な脅威検知が可能になる見込みです。
まとめ
クラウド L3/L4 ファイアウォールであるセキュリティグループは、ポート・プロトコル・CIDR 指定で細かくトラフィックを制御し、ステートフルな挙動で応答を自動許可します。AWS VPC Security Group、Azure NSG、GCP Firewall Rules、Oracle Cloud Security List など、主要クラウドプロバイダーが同様の機能を提供しており、数千規模のルールを持つことが可能です。自作PC での導入時は、最小権限の原則を守り、監査ログを有効化し、設定を IaC で管理することで、運用負荷を低減しつつ高いセキュリティを確保できます。最新のアップデートや次世代機能を把握し、2025年・2026年のクラウドセキュリティトレンドに対応することが重要です。