La protezione della rete è uno dei pilastri della sicurezza in Azure e rientra nel principio di defense in depth: più livelli di controllo che si sovrappongono, così che il cedimento di uno non comprometta l’intera infrastruttura. In questa unità vediamo i principali servizi di sicurezza di rete di Azure e, soprattutto, quando usare l’uno rispetto all’altro — la domanda tipica dell’esame SC-900.

Network Security Group (NSG)

Un Network Security Group è un filtro del traffico di rete basato su regole, applicabile a livello di subnet o di NIC (scheda di rete di una VM). Ogni regola valuta traffico in ingresso e in uscita in base a IP di origine/destinazione, porta e protocollo, con una priorità numerica.

  • È stateful: se consenti una connessione in ingresso, la risposta in uscita è automaticamente permessa.
  • È gratuito e rappresenta il controllo di base per segmentare la rete.
  • Filtra su indirizzi e porte, non ispeziona il contenuto del traffico.

Pensa all’NSG come a un elenco di regole “consenti/nega” per decidere chi può parlare con chi, non come a un firewall intelligente.

Azure Firewall

Azure Firewall è un firewall gestito, cloud-native e stateful, con alta disponibilità e scalabilità integrate. Offre funzionalità molto più avanzate dell’NSG:

  • Threat intelligence: blocca traffico da/verso IP e domini malevoli noti.
  • Regole di applicazione basate su FQDN (nomi di dominio), oltre alle regole di rete.
  • Network Address Translation (NAT) e logging centralizzato del traffico.

Si usa tipicamente per proteggere il perimetro di un’intera rete virtuale (VNet) o di una topologia hub-spoke, controllando il traffico che entra ed esce dall’ambiente.

Web Application Firewall (WAF)

Il Web Application Firewall protegge specificamente le applicazioni web dagli attacchi a livello applicativo (Layer 7), come SQL injection e cross-site scripting (XSS). Si integra con Azure Application Gateway, Azure Front Door e Azure CDN.

Il WAF si basa sulle regole OWASP core rule set e ispeziona le richieste HTTP/HTTPS. Se la domanda parla di “proteggere un’app web da SQL injection”, la risposta è sempre WAF.

Azure DDoS Protection

Azure DDoS Protection difende dagli attacchi Distributed Denial of Service, cioè tentativi di saturare le risorse con traffico massiccio.

  • Il livello Basic è attivo automaticamente e gratuito per tutti.
  • Il livello DDoS Network Protection (a pagamento) aggiunge tuning adattivo, metriche, alert e protezione dedicata per le risorse in una VNet.

Azure Bastion

Azure Bastion consente di connettersi in RDP/SSH alle VM in modo sicuro, direttamente dal portale Azure via browser, senza esporre un IP pubblico sulle macchine. Questo riduce drasticamente la superficie di attacco, eliminando le porte RDP (3389) e SSH (22) aperte su Internet.

Quando usare cosa

  • NSG → filtro base per porte/IP a livello di subnet o NIC.
  • Azure Firewall → protezione centralizzata e avanzata del perimetro di rete, con threat intelligence e regole su FQDN.
  • WAF → protezione delle applicazioni web da attacchi Layer 7.
  • DDoS Protection → difesa dalla saturazione da traffico volumetrico.
  • Bastion → accesso amministrativo RDP/SSH sicuro senza IP pubblici.

NSG e Azure Firewall non sono alternativi: spesso coesistono in un modello a più livelli.

Trappole tipiche d’esame

  • Scenario: vuoi proteggere un’app web da SQL injection e cross-site scripting → Web Application Firewall (WAF), non NSG né Azure Firewall (l’NSG filtra porte/IP, non ispeziona il payload HTTP).
  • Scenario: devi consentire agli amministratori l’accesso RDP alle VM senza aprire porte pubbliche né assegnare IP pubblici → Azure Bastion.
  • Scenario: serve un filtro semplice e gratuito per limitare il traffico tra due subnet in base a porta e IP → Network Security Group (NSG); Azure Firewall sarebbe sovradimensionato e a pagamento.
  • Scenario: serve threat intelligence e filtro del traffico in uscita basato su nomi di dominio (FQDN) per l’intera VNet → Azure Firewall, non NSG (che non conosce gli FQDN).
  • Scenario: un sito pubblico deve restare disponibile durante un attacco volumetrico che punta a saturare la banda → Azure DDoS Protection, non WAF (che agisce sugli attacchi applicativi, non sulla saturazione di rete).