Apa itu security groups dan bagaimana cara mereka mengontrol akses?

Question

Accepted Answer

**Security groups** adalah firewall virtual yang mengontrol **traffic inbound dan outbound** ke resource AWS (seperti EC2 instances) — mendefinisikan port, protokol, dan sumber mana yang diizinkan. Mereka fundamental untuk keamanan jaringan AWS.

## Apa yang dilakukan security groups

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Contoh rules

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Pola yang powerful: referensi security groups lain

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Security groups vs NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Mengapa ini penting

Memahami security groups penting karena mereka fundamental untuk **keamanan jaringan AWS** — mengontrol traffic apa yang dapat menjangkau resources Anda — jadi pengetahuan praktis ini sangat penting untuk deploy resources dengan aman.

Security groups bertindak sebagai **firewall virtual** yang mendefinisikan traffic mana (port, protokol, sumber) yang diizinkan ke dan dari resources, dengan model secure-by-default (hanya allow rules; semua yang tidak secara eksplisit diizinkan ditolak) dan perilaku stateful (respons terhadap traffic yang diizinkan secara otomatis diizinkan).

Memahami cara configure rules dengan benar sangat penting untuk keamanan — misalnya, mengizinkan HTTP/HTTPS dari mana saja untuk web server tetapi **membatasi akses SSH ke IP spesifik** (bukan seluruh internet — praktik penting yang umum, karena expose SSH ke dunia adalah risiko keamanan).

**Pola powerful dari referensi security groups lain** (memungkinkan database's security group menerima traffic hanya dari app servers' security group, terlepas dari IP mereka) mengaktifkan **tiered security architectures yang bersih** (web → app → database, setiap layer hanya menerima traffic dari layer sebelumnya) — pendekatan best-practice yang membatasi exposure dan mengikuti least privilege pada level jaringan.

Memahami **security groups vs NACLs** (security groups pada resource level sebagai tool primary, stateful, allow-only; NACLs pada subnet level sebagai secondary layer yang lebih kasar, stateless) memperjelas model keamanan jaringan berlapis.

Karena mengontrol akses jaringan ke resources adalah fundamental untuk keamanan AWS (akses yang salah konfigurasi — seperti port yang terlalu terbuka atau SSH/database yang world-accessible — menyebabkan vulnerabilities nyata), dan karena security groups adalah mekanisme utama untuk ini (dengan pola security-group-referencing yang mengaktifkan tiered architectures yang aman), memahami security groups adalah pengetahuan AWS yang essential, practically-important untuk deploy resources dengan aman — topik keamanan inti di mana konfigurasi yang tepat (membatasi akses dengan tepat, menggunakan tiered security-group references) secara langsung mencegah network-level exposures yang menyebabkan breaches.