Što su sigurnosne grupe i kako kontroliraju pristup?

Question

Accepted Answer

**Sigurnosne grupe** su virtualni vatrozidi koji kontroliraju **dolazni i odlazni promet** prema AWS resursima (poput EC2 instanci) — definirajući koji portovi, protokoli i izvori su dozvoljeni. Fundamentalne su za AWS mrežnu sigurnost.

## Što sigurnosne grupe rade

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Primjer pravila

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Moćan obrazac: referenciranje ostalih sigurnosnih grupa

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Sigurnosne grupe vs NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Zašto je važno

Razumijevanje sigurnosnih grupa je važno jer su fundamentalne za **AWS mrežnu sigurnost** — kontroliraju koji promet može dosegnuti vaše resurse — pa je to važno praktično znanje za sigurnu implementaciju resursa.

Sigurnosne grupe djeluju kao **virtualni vatrozidi** koji definiraju koji promet (portovi, protokoli, izvori) je dozvoljen prema i od resursa, sa modelom sigurnim po zadanom postavkom (samo dozvoli pravila; sve što nije eksplicitno dozvoljeno je odbijeno) i stacionarnim ponašanjem (odgovori na dozvoljeni promet su automatski dozvoljeni).

Razumijevanje kako pravilno konfigurirati pravila je bitno za sigurnost — na primjer, dozvoljivanje HTTP/HTTPS iz bilo kojeg mjesta za web server ali **ograničavanje SSH pristupa na određene IP adrese** (ne cijeli internet — važna, česta praksa, jer izlaganje SSH svijetu je sigurnosni rizik).

**Moćan obrazac referenciranja ostalih sigurnosnih grupa** (dozvoljivanje sigurnosnoj grupi baze podataka da prihvati promet samo od sigurnosne grupe aplikacijskih servera, bez obzira na njihove IP adrese) omogućuje čist **slojeviti arhitekturni pristup sigurnosti** (web → aplikacija → baza podataka, svaki sloj prihvaća promet samo od prethodnog) — best-practice pristup koji ograničava izloženost i slijedi princip najmanje privilegije na mrežnoj razini.

Razumijevanje **sigurnosnih grupa nasuprot NACLs** (sigurnosne grupe na razini resursa kao primarni, stacionarni, samo-dozvoli alat; NACLs na razini podmreže kao grublji, bezstacionarni sekundarni sloj) pojašnjava slojeviti model mrežne sigurnosti.

Jer je kontrola mrežnog pristupa resursima fundamentalna za AWS sigurnost (pogrešno konfigurirani pristup — poput previše otvorenih portova ili dostupnih SSH/baza podataka cijelom svijetu — uzrokuje pravi ranjivosti), i jer su sigurnosne grupe primarni mehanizam za ovo (sa obrazcem referenciranja sigurnosne grupe koji omogućuje sigurne slojevite arhitekture), razumijevanje sigurnosnih grupa je bitno, praktično važno AWS znanje za sigurnu implementaciju resursa — temeljni sigurnosni tema gdje ispravna konfiguracija (odgovarajuće ograničavanje pristupa, korištenje slojevitih referenci sigurnosne grupe) direktno sprječava mrežne izloženosti koje dovode do kršenja.