Mik a biztonsági csoportok, és hogyan szabályozzák a hozzáférést?

Question

Accepted Answer

A **biztonsági csoportok** virtuális tűzfalak, amelyek szabályozzák az **bejövő és kimenő forgalmat** az AWS-erőforrások felé (például EC2-példányok) — meghatározzák, hogy mely portok, protokollok és források engedélyezettek. Az AWS hálózati biztonság alapjául szolgálnak.

## Mit csinálnak a biztonsági csoportok

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Szabálypéldák

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Egy hatékony minta: más biztonsági csoportokra való hivatkozás

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Biztonsági csoportok vs NACL-ek

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Miért fontos

A biztonsági csoportok megértése azért fontos, mert az **AWS hálózati biztonság** alapját képezik — szabályozzák, hogy milyen forgalom érheti el az erőforrásokat — így elengedhetetlen gyakorlati ismeret az erőforrások biztonságos telepítéséhez.

A biztonsági csoportok **virtuális tűzfalakként** működnek, amelyek meghatározzák, hogy mely forgalom (portok, protokollok, források) engedélyezett az erőforrások felé és felöl, biztonsággal alapchartázott modellel (csak engedélyezési szabályok; minden kifejezetten nem engedélyezett forgalom tiltott) és állapottartó viselkedéssel (az engedélyezett forgalomra adott válaszok automatikusan engedélyezve vannak).

A szabályok helyes konfigurálásának megértése alapvető a biztonság szempontjából — például egy webszerver HTTP/HTTPS-ét bárhonnan engedélyezhetjük, de **az SSH-hozzáférést specifikus IP-kre kell korlátozni** (nem az egész internetre — egy gyakori, fontos gyakorlat, mivel az SSH világra való kitettségét biztonsági kockázat jelenti).

A **más biztonsági csoportokra való hivatkozás hatékony mintája** (az adatbázis biztonsági csoportjának csak az alkalmazásszerver biztonsági csoportjából fogadnia az adatforgalmat, az IP-címektől függetlenül) lehetővé teszi a tiszta **rétegzett biztonsági architektúrákat** (web → alkalmazás → adatbázis, minden réteg csak az előzőtől fogad forgalmat) — egy legjobb gyakorlati megközelítés, amely korlátozza a kitettséget és a legkisebb jogosultság elvét követi hálózati szinten.

A **biztonsági csoportok vs NACL-ek megértése** (biztonsági csoportok az erőforrás szintjén az elsődleges, állapottartó, csak engedélyezési eszközként; NACL-ek az alhálózat szintjén egy durvább, állapotmentes másodlagos rétegként) tisztázza a rétegzett hálózati biztonsági modellt.

Szabályozottam, hogy az erőforrásokhoz való hálózati hozzáférés az AWS-biztonság alapja (rosszul konfigurált hozzáférés — például túlzottan nyitott portok vagy világra nyitott SSH/adatbázisok — valós sebezhetőségeket okoznak), és mivel a biztonsági csoportok ennek az elsődleges mechanizmusa (a biztonsági csoportra való hivatkozási minta lehetővé teszi a biztonságos rétegzett architektúrákat), a biztonsági csoportok megértése elengedhetetlen, gyakorlatilag fontos AWS-ismeret az erőforrások biztonságos telepítéséhez — egy olyan alapvető biztonsági téma, ahol a helyes konfiguráció (a hozzáférés megfelelő korlátozása, rétegzett biztonsági csoportok használata) közvetlenül megakadályozza a hálózati szintű kitettségeket, amelyek megsértésekhez vezetnek.