¿Qué son los grupos de seguridad y cómo controlan el acceso?

Question

Accepted Answer

Los **grupos de seguridad** son firewalls virtuales que controlan el **tráfico de entrada y salida** hacia recursos de AWS (como instancias EC2) — definiendo qué puertos, protocolos y orígenes están permitidos. Son fundamentales para la seguridad de red de AWS.

## Qué hacen los grupos de seguridad

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Reglas de ejemplo

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Un patrón poderoso: referenciar otros grupos de seguridad

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Grupos de seguridad vs NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Por qué es importante

Comprender los grupos de seguridad es importante porque son fundamentales para la **seguridad de red de AWS** — controlando qué tráfico puede llegar a tus recursos — por lo que es conocimiento práctico esencial para desplegar recursos de forma segura.

Los grupos de seguridad actúan como **firewalls virtuales** que definen qué tráfico (puertos, protocolos, orígenes) está permitido hacia y desde los recursos, con un modelo seguro por defecto (solo reglas de permitir; todo lo que no está explícitamente permitido es denegado) y comportamiento con estado (las respuestas al tráfico permitido se permiten automáticamente).

Comprender cómo configurar las reglas correctamente es esencial para la seguridad — por ejemplo, permitir HTTP/HTTPS desde cualquier lugar para un servidor web pero **restringir el acceso SSH a IPs específicas** (no a internet completa — una práctica importante y común, ya que exponer SSH al mundo es un riesgo de seguridad).

El **patrón poderoso de referenciar otros grupos de seguridad** (permitir que el grupo de seguridad de la base de datos acepte tráfico solo del grupo de seguridad de los servidores de aplicación, independientemente de sus IPs) permite **arquitecturas de seguridad en capas limpias** (web → app → base de datos, donde cada capa solo acepta tráfico de la anterior) — un enfoque de mejores prácticas que limita la exposición y sigue el principio de menor privilegio a nivel de red.

Comprender los **grupos de seguridad vs NACLs** (grupos de seguridad a nivel de recurso como la herramienta principal, con estado y solo de permitir; NACLs a nivel de subred como una capa secundaria más gruesa y sin estado) clarifica el modelo de seguridad de red en capas.

Ya que controlar el acceso de red a recursos es fundamental para la seguridad de AWS (el acceso mal configurado — como puertos demasiado abiertos o SSH/bases de datos accesibles desde cualquier lugar — causa vulnerabilidades reales), y ya que los grupos de seguridad son el mecanismo principal para esto (con el patrón de referencia de grupos de seguridad habilitando arquitecturas seguras en capas), comprender los grupos de seguridad es conocimiento esencial y práctico de AWS para desplegar recursos de forma segura — un tema de seguridad fundamental donde la configuración adecuada (restringir el acceso apropiadamente, usar referencias de grupos de seguridad en capas) previene directamente las exposiciones a nivel de red que llevan a brechas.