ネットワークACLとセキュリティグループの違い

ネットワークACLとセキュリティグループは、AWSのVPC（Virtual Private Cloud）環境でネットワークセキュリティを管理するための2つの異なるツールです。主な違いは以下の通りです：

1. 適用レベル：

• ネットワークACLはサブネットレベルで動作し、サブネット全体のトラフィックを制御します。
• セキュリティグループはインスタンスレベルで動作し、個々のEC2インスタンスのトラフィックを制御します。

2. ルールの種類：

• ネットワークACLは許可（Allow）と拒否（Deny）の両方のルールを設定できます。
• セキュリティグループは許可（Allow）ルールのみを設定できます。

3. ステートフル vs ステートレス：

• ネットワークACLはステートレスです。つまり、インバウンドとアウトバウンドのトラフィックを別々に評価します。
• セキュリティグループはステートフルです。許可されたインバウンドトラフィックの戻りトラフィックは自動的に許可されます。

4. ルールの評価：

• ネットワークACLはルール番号の順番に従って評価され、最初に一致したルールが適用されます。
• セキュリティグループはすべてのルールを評価し、最も制限の少ない設定が適用されます。

5. デフォルトの動作：

• デフォルトのネットワークACLはすべてのトラフィックを許可します。
• デフォルトのセキュリティグループはインバウンドトラフィックをすべて拒否し、アウトバウンドトラフィックをすべて許可します。

これらの違いを理解し、適切に組み合わせて使用することで、より強固なセキュリティ体制を構築できます。
Sources
Work with network ACLs - Amazon Virtual Private Cloud
Security Hub controls for Amazon EC2 - AWS Security Hub