რა არის უსაფრთხოების ჯგუფები და როგორ კონტროლირებენ ისინი წვდომას?

Question

Accepted Answer

**უსაფრთხოების ჯგუფები** არის ვირტუალური FireWall-ები, რომლებიც აკონტროლებენ **შემომავალი და გამომავალი ტრაფიკი** AWS რესურსებისკენ (მაგ. EC2 instances) — განსაზღვრავენ რომელი პორტები, პროტოკოლები და წყაროები ნებადართია. ისინი AWS ქსელის უსაფრთხოების ფუნდამენტურია.

## რას აკეთებენ უსაფრთხოების ჯგუფები

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## წესების მაგალითები

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## ძლევამოსილი შაბლონი: სხვა უსაფრთხოების ჯგუფების მითითება

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## უსაფრთხოების ჯგუფები vs NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## რატომ აქვს ეს მნიშვნელობა

უსაფრთხოების ჯგუფების გაცნობიერება მნიშვნელოვანია, რადგან ისინი ფუნდამენტურია **AWS ქსელის უსაფრთხოების** — კონტროლირებენ რა ტრაფიკი შეუძლია თქვენი რესურსებამდე მიაღწიოს — ამიტომ ეს აუცილებელი პრაქტიკული ცოდნაა რესურსების უსაფრთხოდ განთავსებისთვის.

უსაფრთხოების ჯგუფები ფუნქციონირებენ როგორც **ვირტუალური FireWall-ები**, რომლებიც განსაზღვრავენ რა ტრაფიკი (პორტები, პროტოკოლები, წყაროები) ნებადართია რესურსებისკენ და რესურსებიდან, უსაფრთხო-by-default მოდელით (მხოლოდ ნებართვის წესები; ყველაფერი, რაც ცალსახად არ არის ნებადართული, უარყოფილია) და stateful ქცევით (ნებადართული ტრაფიკის პასუხები ავტომატურად ნებადართულია).

წესების სწორად კონფიგურაციის გაცნობიერება აუცილებელია უსაფრთხოების თვალსაზრისით — მაგალითად, HTTP/HTTPS ნებართვა ყველგან ვებ-სერვერისთვის, მაგრამ **SSH წვდომის შეზღუდვა კონკრეტულ IP-ებამდე** (არა მთელი ინტერნეტი — მნიშვნელოვანი, გავრცელებული პრაქტიკა, რადგან SSH ღია ინტერნეტის წინაშე წარმოადგენს უსაფრთხოების რისკს).

**სხვა უსაფრთხოების ჯგუფების მითითების ძლევამოსილი შაბლონი** (ბაზის უსაფრთხოების ჯგუფის ნება პირდაპირ აპ სერვერის უსაფრთხოების ჯგუფიდან ტრაფიკი მიიღოს, მათი IP-ის მიუხედავად) ამ როგორი საშუალებას იძლევა **იერარქიული უსაფრთხოების არქიტექტურის** შექმნას (ვებ → აპ → ბაზა, თითოეული ფენა მხოლოდ წინა ფენიდან ტრაფიკი იღებს) — best-practice მეთოდი, რომელიც სიმძიმეს შეზღუდავს და ღირებულების უმცირეს პრინციპს მიჰყვება ქსელის დონეზე.

**უსაფრთხოების ჯგუფები vs NACLs** გაცნობიერება (უსაფრთხოების ჯგუფები რესურსის დონეზე, როგორც პირველადი, stateful, მხოლოდ-ნებართვის ხელსაწყო; NACLs ქვესახის დონეზე, როგორც უხეში, stateless მეორადი ფენა) ადასტურებს ფენიან ქსელის უსაფრთხოების მოდელს.

რადგან ქსელის წვდომის კონტროლი რესურსებისთვის ფუნდამენტურია AWS უსაფრთხოების (არასწორად კონფიგურირებული წვდომა — მაგ. გადმეტი პორტები ან მთელ სამყაროსთვის ღია SSH/ბაზები — იწვევს რეალურ სიმძიმეებს), და რადგან უსაფრთხოების ჯგუფები წარმოადგენენ ამის პირველადი მექანიზმს (უსაფრთხოების-ჯგუფის-მითითების შაბლონი ხელმისაწვდომი იერარქიული არქიტექტურების შესაძლებლობას იძლევა), უსაფრთხოების ჯგუფების გაცნობიერება აუცილებელია, პრაქტიკულად აქტუალური AWS ცოდნა რესურსების უსაფრთხოდ განთავსებისთვის — ბირთვული უსაფრთხოების თემა, სადაც სწორი კონფიგურაცია (წვდომის შესაბამისი შეზღუდვა, იერარქიული უსაფრთხოების-ჯგუფის მითითებების გამოყენება) პირდაპირ აკვეყებს ქსელის დონის სიმძიმეებს, რომლებიც აღტაცებამდე მივყავართ.