Τι είναι οι ομάδες ασφαλείας και πώς ελέγχουν την πρόσβαση;

Question

Accepted Answer

**Οι ομάδες ασφαλείας** είναι εικονικά firewalls που ελέγχουν την **εισερχόμενη και εξερχόμενη κυκλοφορία** σε πόρους AWS (όπως EC2 instances) — ορίζοντας ποιες θύρες, πρωτόκολλα και πηγές επιτρέπονται. Είναι θεμελιώδη για την ασφάλεια δικτύου του AWS.

## Τι κάνουν οι ομάδες ασφαλείας

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Παραδείγματα κανόνων

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Ένα ισχυρό pattern: αναφορά σε άλλες ομάδες ασφαλείας

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Ομάδες ασφαλείας έναντι NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Γιατί έχει σημασία

Η κατανόηση των ομάδων ασφαλείας είναι σημαντική επειδή είναι θεμελιώδης για την **ασφάλεια δικτύου του AWS** — ελέγχοντας ποια κυκλοφορία μπορεί να φτάσει στους πόρους σας — επομένως είναι απαραίτητη πρακτική γνώση για την ασφαλή ανάπτυξη πόρων.

Οι ομάδες ασφαλείας λειτουργούν ως **εικονικά firewalls** που ορίζουν ποια κυκλοφορία (θύρες, πρωτόκολλα, πηγές) επιτρέπεται να προσέλθει και να φύγει από πόρους, με ένα ασφαλές-by-default μοντέλο (μόνο κανόνες επιτρόπησης· οτιδήποτε δεν επιτρέπεται ρητά απορρίπτεται) και stateful συμπεριφορά (οι απαντήσεις στην επιτρεπόμενη κυκλοφορία επιτρέπονται αυτόματα).

Η κατανόηση του τρόπου σωστής διαμόρφωσης των κανόνων είναι απαραίτητη για την ασφάλεια — για παράδειγμα, επιτρέποντας HTTP/HTTPS από οπουδήποτε για έναν web server αλλά **περιορίζοντας την πρόσβαση SSH σε συγκεκριμένες IP** (όχι σε ολόκληρο το internet — μια σημαντική, σημαντική πρακτική, καθώς η έκθεση SSH στον κόσμο είναι κίνδυνος ασφαλείας).

Το **ισχυρό pattern αναφοράς άλλων ομάδων ασφαλείας** (επιτρέποντας στη security group της βάσης δεδομένων να δεχθεί κυκλοφορία μόνο από τη security group των app servers, ανεξάρτητα από τις IP τους) δυνατοποιεί **καθαρές tiered security architectures** (web → app → database, κάθε επίπεδο δέχεται κυκλοφορία μόνο από το προηγούμενο) — μια best-practice approach που περιορίζει την έκθεση και ακολουθεί least privilege σε επίπεδο δικτύου.

Η κατανόηση των **ομάδων ασφαλείας έναντι NACLs** (security groups σε επίπεδο πόρων ως το πρωτεύον, stateful, μόνο-επιτρόπησης εργαλείο· NACLs σε επίπεδο subnet ως ένα πιο σταθερό, stateless δευτερεύον επίπεδο) διευκρινίζει το layered network security model.

Επειδή ο έλεγχος της πρόσβασης δικτύου στους πόρους είναι θεμελιώδης για την ασφάλεια του AWS (λανθασμένα διαμορφωμένη πρόσβαση — όπως υπερβολικά ανοιχτές θύρες ή world-accessible SSH/databases — προκαλεί πραγματικές ευπάθειες), και επειδή οι ομάδες ασφαλείας είναι ο κύριος μηχανισμός για αυτό (με το security-group-referencing pattern να δυνατοποιεί ασφαλείς tiered architectures), η κατανόηση των ομάδων ασφαλείας είναι απαραίτητη, πρακτικά-σημαντική γνώση AWS για την ασφαλή ανάπτυξη πόρων — ένα κύριο θέμα ασφαλείας όπου η σωστή διαμόρφωση (περιορισμός της πρόσβασης κατάλληλα, χρήση tiered security-group references) αποτρέπει άμεσα τις exposures σε επίπεδο δικτύου που οδηγούν σε παραβιάσεις.