【入門編】 クラウド環境におけるネットワークACLとセキュリティグループの使い分け – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド

クラウドの「門番」を使い分けよう！ネットワークACLとセキュリティグループで多層防御を実現する方法

皆さん、こんにちは！サイバーセキュリティの世界へようこそ！

「クラウドって便利だけど、セキュリティってどうなってるの？」
「ネットワークACL？セキュリティグループ？なんか難しそう…」

そんな風に思っていませんか？大丈夫です！今日のブログでは、クラウド環境におけるネットワークの「門番」とも言える、ネットワークACL（Access Control List）とセキュリティグループの役割と、それぞれの賢い使い方を、身近な例え話を交えながら、とことん優しく解説していきます。

まるで、あなたのお家を泥棒から守るための、効果的な防犯対策を一緒に考えるような感覚で読んでみてくださいね。

1. まずは基本！「共通鍵暗号」と「公開鍵暗号」って何？

ちょっとだけ、セキュリティの基礎の基礎に触れておきましょう。クラウドの門番の話に入る前に、データを安全にやり取りするための、２つの鍵の仕組みについて、さっくりと理解しておきましょう。

  • 共通鍵暗号（AESなど）:

これは、「秘密の合言葉」のようなものです。送り手と受け手が、あらかじめ同じ「合言葉」を決めておき、その合言葉を使ってデータを暗号化（秘密の言葉に変換）したり、復号（元の言葉に戻す）したりします。
メリット: 暗号化・復号が速い！
デメリット: 合言葉をどうやって安全に共有するかが課題。

  • 公開鍵暗号（RSA、楕円曲線暗号 ECCなど）:

こちらは、「郵便ポスト」に例えられます。

  • 公開鍵: 誰でも使える「ポストの投函口」です。この公開鍵で暗号化されたデータは、対応する「秘密の鍵」でしか開けられません。
  • 秘密鍵: 自分だけが持っている「ポストの鍵」です。この秘密鍵で、公開鍵で暗号化されたデータを復号できます。

メリット: 秘密鍵を安全に渡す必要がないので、安全に鍵を共有できる。
デメリット: 暗号化・復号に時間がかかる。

つまり、共通鍵暗号は「スピード重視」、公開鍵暗号は「安全な鍵の共有」に長けている、というイメージでOKです。

2. クラウドの「門番」登場！ネットワークACLとセキュリティグループ

さて、いよいよ本題です。クラウド環境では、仮想サーバー（EC2インスタンスなど）やデータベースなど、様々なリソースがネットワークに繋がっています。これらのリソースに、誰が、どのような通信を許可（または拒否）するかを管理するのが、ネットワークACLとセキュリティグループの役割です。

2.1 ネットワークACL：家の「番地」と「門」で、広範囲を管理！

ネットワークACLは、サブネットという、ネットワークの「地域」や「区画」に対して設定される、ステートレス（Stateless）なルールです。

  • ステートレスとは？:

これは、「一度通った道でも、次に来るときはもう一度ルールを確認する」ということです。例えば、あなたが家の郵便受けに手紙を入れたとします。その手紙がちゃんとポストに入ったかどうかは、郵便屋さんは次に配達に来たときに改めて確認します。

イメージとしては、「この番地（サブネット）に入ってきたり、出ていったりする車（通信）は、このリスト（ACL）を見て、通していいか、ダメか、判断してね」という感じです。

ネットワークACLのポイント:

  • サブネット単位で設定: ネットワークの「地域」全体に適用されます。
  • ステートレス: 入ってくる通信と出ていく通信、それぞれ個別にルールを評価します。
  • 許可/拒否ルール: 特定のIPアドレスやポート番号に対して、「許可」または「拒否」を細かく設定できます。
  • 順序が重要: ルールには番号が振られており、番号の小さい方から順に評価されます。最初に一致したルールが適用されます。

【家への例え】
家の「番地」全体に貼られた「通行止め」の看板や、「この道は許可車両のみ」といった、地域全体に適用される広範な交通規制のようなものです。

2.2 セキュリティグループ：サーバーごとの「玄関ドア」と「ドアマン」で、きめ細かく管理！

一方、セキュリティグループは、個々の仮想サーバー（インスタンス）に対して設定される、ステートフル（Stateful）なルールです。

  • ステートフルとは？:

これは、「一度通った道は覚えていて、戻ってくるのはそのまま通してあげる」ということです。例えば、あなたが玄関のドアを開けて友達を招き入れたとします。友達が出ていくときは、わざわざもう一度「どうぞ」と言わなくても、自然に出ていけますよね。

イメージとしては、「このサーバー（インスタンス）への出入りは、このドアマン（セキュリティグループ）が管理しているよ。一度許可した通信の『返し』は、ちゃんと覚えていて通してくれるから安心ね」という感じです。

セキュリティグループのポイント:

  • インスタンス単位で設定: サーバー一つ一つに適用されます。
  • ステートフル: 送信した通信に対する応答は、自動的に許可されます。
  • 許可ルールのみ: 基本的に「許可」のルールのみを設定します。
  • 設定がシンプル: ACLのように順序を気にする必要があまりありません。

【家への例え】
あなたの家の「玄関ドア」にいる「ドアマン」のようなものです。
「この友達（特定のIPアドレス）は、この時間帯（ポート番号）なら、中に入っていいですよ」と、個別に判断してくれます。そして、一度中に入った友達が外に出るときは、ドアマンは「あ、さっき入っていった人ね！」と覚えていて、スムーズに通してくれます。

3. 多層防御！ネットワークACLとセキュリティグループの賢い使い分け

さて、この２つの「門番」を、どうやって組み合わせて使うのが効果的でしょうか？それは、「多層防御」という考え方です。

お家を想像してみてください。

  • まず、家の周りの「地域全体」に、不審な車が簡単に近づけないように、「広範な交通規制」（ネットワークACL）を敷きます。
  • 次に、家の「玄関ドア」には、信頼できる人だけが入れるように、「厳重なドアマン」（セキュリティグループ）を配置します。

このように、複数の防御層を重ねることで、たとえ一つの防御が破られても、次の防御層で食い止めることができるのです。

3.1 具体的な使い分けの例

シナリオ1：Webサーバーを公開する場合

  • ネットワークACL（サブネット全体に適用）:
  • インバウンド（入ってくる通信）:
  • ポート 80 (HTTP) と 443 (HTTPS) は、インターネット全体から許可。
  • それ以外のポートは、基本的にすべて拒否。
  • アウトバウンド（出ていく通信）:
  • 通常は、すべて許可しておいて問題ないことが多いですが、セキュリティを強化したい場合は、必要なポート（例: データベースへの接続ポート）のみ許可し、他は拒否することも検討します。
  • セキュリティグループ（Webサーバーインスタンスに適用）:
  • インバウンド（入ってくる通信）:
  • ポート 80 と 443 は、インターネット全体 (0.0.0.0/0) から許可。
  • アウトバウンド（出ていく通信）:
  • 通常は、すべて許可しておきます。Webサーバーは、外部のAPIを呼び出したり、データベースに接続したりする必要があるからです。

【解説】
ネットワークACLで、まず「Webサイトを見るための道」だけを、インターネット全体に開けておきます。それ以外の道は、最初から塞いでおくイメージです。
そして、Webサーバー自体の「玄関ドア」では、セキュリティグループで「ポート80と443なら、誰でもどうぞ」と設定します。

シナリオ2：データベースサーバーを、Webサーバーからのみアクセス可能にする場合

  • ネットワークACL（データベースサーバーが属するサブネット全体に適用）:
  • インバウンド（入ってくる通信）:
  • データベースのポート（例: 3306 for MySQL, 5432 for PostgreSQL）は、Webサーバーが稼働しているサブネットのIPアドレス範囲からのみ許可。
  • それ以外の通信は、すべて拒否。
  • アウトバウンド（出ていく通信）:
  • Webサーバーへの通信など、必要な通信のみ許可。
  • セキュリティグループ（データベースサーバーインスタンスに適用）:
  • インバウンド（入ってくる通信）:
  • データベースのポートは、Webサーバーインスタンスに紐づけられたセキュリティグループからのみ許可。
  • アウトバウンド（出ていく通信）:
  • Webサーバーへの通信など、必要な通信のみ許可。

【解説】
ネットワークACLで、まず「データベースのある地域」には、Webサーバーの地域からしか入れないように、大まかな壁を作ります。
そして、データベースサーバー自体の「玄関ドア」では、セキュリティグループで「Webサーバーのインスタンスからだけ」という、より具体的な許可を出します。

このように、ネットワークACLで「大まかな入口制限」を行い、セキュリティグループで「個々のサーバーへの詳細なアクセス制御」を行うことで、強固な多層防御が実現できるわけです。

3.2 コード例：セキュリティグループの設定（AWS CLI風）

実際にクラウドで設定する際は、コンソール画面を操作するか、CLI（Command Line Interface）ツールを使います。ここでは、AWS CLIをイメージした例で、セキュリティグループのルール設定を見てみましょう。

# Webサーバー用のセキュリティグループを作成する例
aws ec2 create-security-group --group-name WebServerSecurityGroup --description "Web server inbound and outbound rules"

# WebサーバーへのHTTP(80)とHTTPS(443)のインバウンドルールを追加する例
# 0.0.0.0/0 はインターネット全体を指します
aws ec2 authorize-security-group-ingress --group-name WebServerSecurityGroup --protocol tcp --port 80 --cidr 0.0.0.0/0
aws ec2 authorize-security-group-ingress --group-name WebServerSecurityGroup --protocol tcp --port 443 --cidr 0.0.0.0/0

# Webサーバーからインターネットへのアウトバウンドルールを追加する例 (通常はデフォルトで許可されますが、明示的に設定する場合)
# -1 は全てのプロトコルを指します
aws ec2 authorize-security-group-egress --group-name WebServerSecurityGroup --protocol -1 --port -1 --cidr 0.0.0.0/0

# データベースサーバー用のセキュリティグループを作成する例
aws ec2 create-security-group --group-name DatabaseServerSecurityGroup --description "Database server inbound rules"

# WebサーバーのセキュリティグループからのMySQL(3306)インバウンドルールを追加する例
# ここで「sg-xxxxxxxxxxxxxxxxx」は、先ほど作成したWebServerSecurityGroupのIDに置き換えてください
aws ec2 authorize-security-group-ingress --group-name DatabaseServerSecurityGroup --protocol tcp --port 3306 --source-group sg-xxxxxxxxxxxxxxxxx

# データベースサーバーからWebサーバーへのアウトバウンドルールを追加する例 (必要に応じて)
# ここで「sg-xxxxxxxxxxxxxxxxx」は、WebServerSecurityGroupのIDに置き換えてください
aws ec2 authorize-security-group-egress --group-name DatabaseServerSecurityGroup --protocol tcp --port 3306 --destination-group sg-xxxxxxxxxxxxxxxxx

【コメント】

  • aws ec2 create-security-group で、新しい門番（セキュリティグループ）を作っています。
  • authorize-security-group-ingress は「入ってくる通信を許可する」命令です。
  • authorize-security-group-egress は「出ていく通信を許可する」命令です。
  • --protocol tcp や --port 80 で、通信の種類や行き先を具体的に指定しています。
  • --cidr 0.0.0.0/0 は「どこからでもOK」という意味です。
  • --source-group sg-xxxxxxxxxxxxxxxxx のように、他のセキュリティグループを指定することで、「あの門番（セキュリティグループ）を通ってきた人だけOK」という、よりセキュアな設定ができます。

【注意点】

  • 実際のクラウド環境では、各サービス（AWS, Azure, GCPなど）でコマンドや設定方法が異なります。
  • 設定を間違えると、サーバーにアクセスできなくなったり、逆にセキュリティホールを作ってしまったりするので、慎重に作業しましょう。

4. まとめ：セキュリティは「迷信」ではなく「実践」！

今日は、クラウド環境におけるネットワークACLとセキュリティグループの役割、そして賢い使い分け方について解説しました。

  • ネットワークACL: サブネット全体に適用される、ステートレスな「広範な交通規制」。
  • セキュリティグループ: 個々のインスタンスに適用される、ステートフルな「個別の玄関ドアとドアマン」。

この２つを組み合わせることで、まるで鉄壁の要塞のような、多層的な防御システムを構築することができます。

「セキュリティって難しそう…」と感じるかもしれませんが、今日お話ししたような身近な例え話を思い出しながら、一つずつ理解を深めていけば、必ずできるようになります。

サイバー攻撃は日々巧妙化していますが、私たちIT担当者や開発者が、こうした基本的なセキュリティ対策をしっかりと行うことで、被害を最小限に抑えることができます。

まずは、ご自身の担当しているクラウド環境で、これらの設定がどうなっているかを確認することから始めてみてください。そして、「もっとこうしたら安全になるかも！」というアイデアがあれば、ぜひ積極的に試してみてくださいね。

セキュリティは、特別な人だけのものではありません。私たち一人ひとりが、意識と行動を変えることで、より安全なデジタル社会を築いていくことができるのです。

それでは、また次回のブログでお会いしましょう！

スポンサーリンク

コメント

タイトルとURLをコピーしました