Kas yra saugos grupės ir kaip jos kontroliuoja prieigą?

Question

Accepted Answer

**Saugos grupės** yra virtualios užklydos, kontroliuojančios **gautą ir išsiųstą srautą** AWS ištekliais (pvz., EC2 instancijomis) — apibrėždamos, kurie prievadai, protokolai ir šaltiniai yra leidžiami. Jos yra esminės AWS tinklo saugai.

## Ką daro saugos grupės

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Taisyklių pavyzdžiai

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Galingas šablonas: kitų saugos grupių nuoroda

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Saugos grupės ir NACL-ai

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Kodėl tai svarbu

Saugos grupių supratimas yra svarbus, nes jos yra esminės **AWS tinklo saugai** — kontroliuoja, koks srautas gali pasiekti jūsų išteklius — todėl tai būtina praktinė žinių sritis ištekliams saugiai įdiegti.

Saugos grupės veikia kaip **virtualios užklydos** apibrėždamos, koks srautas (prievadai, protokolai, šaltiniai) yra leidžiamas į išteklius ir iš jų, naudodamos saugų numatytuosius nustatymus (tik leisti taisykles; viskas, kas nėra aiškiai leista, yra atmetama) ir valstybinį elgesį (atsakai į leistą srautą automatiškai leidžiami).

Suprasti, kaip taisykles konfigūruoti teisingai, yra esminė saugai — pavyzdžiui, HTTP/HTTPS leidimas iš bet kur tinklalapio serveriui, bet **SSH prieigos ribojimas konkrečiomis IP adresais** (ne visuotinėje internete — svarbi praktika, nes SSH atidarymas pasauliui yra saugos rizika).

**Galingas šablonas nukreipiant į kitas saugos grupes** (duomenų bazės saugos grupės leidimas priimti srautą tik iš programų serverių saugos grupės, neatsižvelgiant į jų IP) leidžia kurti švarias **sluoksninės saugos architektūras** (žiniatinklis → programa → duomenų bazė, kiekvienas sluoksnis priima srautą tik iš ankstesnio) — geroji praktika, sumažinanti ekspoziciją ir laikantis mažiausios privilegijos tinklo lygiu.

Supratimas apie **saugos grupes vs NACL-ai** (saugos grupės išteklių lygiu kaip pagrindinė, valstybinė, tik-leidžianti priemonė; NACL-ai potinklio lygiu kaip grubesnė, valstybės neturinčia antrinė sluoksniai) paaiškina sluoksninį tinklo saugos modelį.

Kadangi išteklių tinklo prieigos kontrolavimas yra esminė AWS saugai (blogai sukonfigūruota prieiga — pvz., per plačiai atidaryti prievadai arba visuotinai pasiekiamas SSH/duomenų bazės — sukelia tikras spragomis), ir kadangi saugos grupės yra pagrindinė šio mechanizmo priemonė (naudojant saugos grupių nuorodų šabloną, galima kurti saugias sluoksninės architektūras), saugos grupių supratimas yra esminės, praktiškai svarbios AWS žinios ištekliams saugiai įdiegti — pagrindinė saugos tema, kurioje tinkama konfigūracija (tinkama prieigos suvaržymas, sluoksninių saugos grupių nuorodų naudojimas) tiesiogiai sumažina tinklo lygio ekspozicijas, kurios veda prie sulauž­ymų.