Apakah itu security groups dan bagaimana ia mengawal akses?

Question

Accepted Answer

**Security groups** ialah firewall maya yang mengawal **trafik masuk dan keluar** ke sumber AWS (seperti EC2 instances) — menentukan port, protokol, dan sumber yang dibenarkan. Ia adalah asas kepada keselamatan rangkaian AWS.

## Apa yang security groups lakukan

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Contoh peraturan

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Corak yang berkuasa: merujuk security group lain

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Security groups lwn NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Mengapa ia penting

Memahami security groups adalah penting kerana ia merupakan asas kepada **keselamatan rangkaian AWS** — mengawal trafik yang boleh mencapai sumber anda — jadi ia merupakan pengetahuan praktikal yang penting untuk menggunakan sumber secara selamat.

Security groups bertindak sebagai **firewall maya** yang menentukan trafik mana (port, protokol, sumber) yang dibenarkan ke dan dari sumber, dengan model selamat-secara-lalai (hanya peraturan allow; segala-galanya yang tidak dibenarkan secara eksplisit dinafikan) dan tingkah laku stateful (tindak balas kepada trafik yang dibenarkan secara automatik diizinkan).

Memahami cara untuk mengkonfigurasi peraturan dengan betul adalah penting untuk keselamatan — contohnya, membenarkan HTTP/HTTPS dari mana-mana untuk web server tetapi **menghadkan akses SSH kepada IP tertentu** (bukan keseluruhan internet — amalan biasa dan penting, kerana mendedahkan SSH kepada dunia ialah risiko keselamatan).

**Corak berkuasa merujuk security group lain** (membenarkan security group pangkalan data menerima trafik hanya daripada security group pelayan aplikasi, tanpa mengira IP mereka) membolehkan **seni bina keselamatan berlapis** yang bersih (web → app → database, setiap lapisan hanya menerima trafik daripada yang sebelumnya) — pendekatan amalan terbaik yang mengehadkan pendedahan dan mengikut least privilege pada peringkat rangkaian.

Memahami **security groups lwn NACLs** (security groups pada peringkat sumber sebagai alat utama, stateful, allow-only; NACLs pada peringkat subnet sebagai lapisan sekunder yang lebih kasar, stateless) menjelaskan model keselamatan rangkaian berlapis.

Memandangkan mengawal akses rangkaian ke sumber adalah asas kepada keselamatan AWS (akses yang tersilap konfigurasi — seperti port yang terlalu terbuka atau SSH/pangkalan data yang boleh diakses dunia — menyebabkan kelemahan sebenar), dan memandangkan security groups ialah mekanisme utama untuk ini (dengan corak merujuk security group yang membolehkan seni bina berlapis yang selamat), memahami security groups ialah pengetahuan AWS yang penting dan penting secara praktikal untuk menggunakan sumber secara selamat — topik keselamatan teras di mana konfigurasi yang betul (menghadkan akses dengan sewajarnya, menggunakan rujukan security-group berlapis) secara langsung menghalang pendedahan peringkat rangkaian yang membawa kepada pelanggaran.