네트워크 보안 그룹(NSG)이 필요한 이유
클라우드 환경에서 애플리케이션과 데이터를 외부 위협으로부터 보호하려면 네트워크 트래픽을 체계적으로 통제하는 장치가 필수적입니다. 네트워크 보안 그룹(Network Security Group, NSG)은 바로 이 역할을 담당하는 핵심 도구로, 어떤 트래픽을 허용하고 어떤 트래픽을 차단할지 결정하는 보안 규칙의 집합입니다.
네트워크 보안 그룹의 핵심 역할
NSG의 가장 큰 장점은 동일한 보안 정책을 여러 클라우드 리소스에 일괄 적용할 수 있다는 점입니다. 예를 들어 하나의 클러스터에서 같은 작업을 수행하는 여러 컴퓨팅 인스턴스가 있다면, 각각 따로 설정할 필요 없이 하나의 규칙 세트로 묶어 관리할 수 있어 운영 효율성이 크게 향상됩니다.
Azure 네트워크 보안 그룹(NSG)이란?
Azure에서 NSG는 접근 제어 목록(ACL)을 생성하여 가상 머신이 접근할 수 있는 네트워크 트래픽과 접근할 수 없는 트래픽을 결정합니다. NSG는 서브넷에 직접 연결하거나, 서브넷 내부의 개별 가상 머신 인스턴스에 연결할 수 있습니다.
NSG와 VNet(가상 네트워크)의 관계
NSG는 Azure VNet 리소스 간에 누가 통신할 수 있고 누가 할 수 없는지 정의하는 보안 정책 역할을 하며, 사실상 네트워크 필터(방화벽)처럼 작동합니다. 인바운드와 아웃바운드 양쪽 방향의 트래픽을 규칙으로 관리할 수 있으며, NSG를 서브넷에 연결하는 순간 해당 서브넷에 연결된 모든 리소스에 규칙이 자동으로 적용됩니다.
NSG 적용 범위와 유연성
보안 규칙 세트를 만들어 서브넷 전체에 적용할 수도 있고 특정 리소스에만 적용할 수도 있습니다. 하나의 NSG를 여러 서브넷과 네트워크 인터페이스에 연결할 수 있으며, 반대로 하나의 서브넷이나 네트워크 인터페이스에 여러 NSG를 적용하는 것도 가능합니다. 이러한 유연성 덕분에 환경이 복잡해져도 접근 제어를 일관되게 유지할 수 있습니다.
Azure Portal에서 NSG 생성하기
- Azure Portal 메뉴 또는 홈 페이지에서 리소스 만들기를 선택합니다.
- 네트워킹 카테고리에서 네트워크 보안 그룹을 검색해 선택합니다.
- 구독을 선택합니다.
- 기존 리소스 그룹을 고르거나 새 리소스 그룹을 생성합니다.
- 고유한 이름을 입력하고 지역을 지정한 뒤 검토 + 만들기를 클릭합니다.
NSG vs ASG vs Azure Firewall
많은 분들이 혼동하는 부분이 바로 이 세 가지의 차이입니다.
- NSG(네트워크 보안 그룹): 네트워크 트래픽을 강제하고 제어하는 Azure 리소스로, OSI 3~4계층(IP 주소, 포트)에서 작동하는 기본 방화벽에 가깝습니다.
- ASG(애플리케이션 보안 그룹): NSG 내부에서 사용되는 객체입니다. IP 주소 대신 애플리케이션의 역할을 기준으로 가상 머신을 그룹화해 보안 규칙을 훨씬 단순하게 만들어 줍니다.
- Azure Firewall: OSI 4~7계층을 아우르는 종합적이고 강력한 관리형 방화벽 서비스입니다. NSG보다 훨씬 많은 기능을 제공하지만 비용과 관리 부담도 더 큽니다.
AWS의 네트워크 ACL(NACL)과 보안 그룹
AWS에도 유사한 개념이 존재합니다. 네트워크 액세스 제어 목록(NACL)은 인바운드·아웃바운드 규칙 세트에 따라 서브넷으로 오가는 트래픽을 제어하는 정책입니다. NACL은 VPC의 서브넷 수준에서 작동하기 때문에 하나의 NACL을 VPC 내 여러 서브넷에 연결할 수 있지만, 각 서브넷에는 반드시 하나의 NACL만 할당됩니다.
NACL로 VPC 보안 강화하기
NACL은 VPC 내 서브넷의 트래픽을 제어하는 추가 보안 계층 역할을 합니다. 보안 그룹과 유사한 규칙으로 NACL을 함께 구성하면 VPC 전체 보안을 한층 더 강화할 수 있습니다.
AWS에서 NACL 생성하기
- AWS 관리 콘솔에서 VPC 대시보드로 이동합니다.
- 네트워크 ACL > 네트워크 ACL 생성을 선택하고 이름 태그와 VPC를 지정합니다.
- 생성된 NACL에서 인바운드 규칙 / 아웃바운드 규칙 탭을 열어 필요한 규칙을 편집합니다.
- 서브넷 연결 탭에서 해당 NACL을 적용할 서브넷을 연결합니다.
보안 그룹과 NACL의 차이
두 기능은 작동 계층이 다릅니다. 보안 그룹은 인스턴스 수준에서 작동하며, 인스턴스를 시작할 때 지정해야 적용됩니다(별도 지정이 없으면 기본 보안 그룹이 적용됩니다). 반면 NACL은 서브넷 수준에서 작동하며, VPC 생성 시 자동으로 만들어지는 기본 NACL이 서브넷에 기본 적용됩니다. 또한 보안 그룹은 상태 저장(stateful) 방식으로 응답 트래픽이 자동 허용되지만, NACL은 상태 비저장(stateless) 방식이라 반환 트래픽도 규칙으로 명시해야 합니다. 궁극적으로 두 도구 모두 데이터의 기밀성을 지키는 방어선이라는 점에서 목표는 같습니다.
마무리
네트워크 보안 그룹은 클라우드 보안의 첫 번째 방어선입니다. Azure의 NSG와 AWS의 보안 그룹·NACL은 이름은 달라도 '허용된 트래픽만 통과시키겠다'는 원칙은 동일합니다. 자신의 워크로드에 맞는 계층(인스턴스/서브넷)과 도구를 조합해 최소 권한 원칙에 따라 규칙을 설계한다면, 훨씬 안전한 클라우드 환경을 구축할 수 있습니다.