Czym są grupy bezpieczeństwa i jak kontrolują dostęp?

Question

Accepted Answer

**Grupy bezpieczeństwa** to wirtualne zapory, które kontrolują **ruch przychodzący i wychodzący** do zasobów AWS (takich jak instancje EC2) — definiując, które porty, protokoły i źródła są dozwolone. Są fundamentem bezpieczeństwa sieci AWS.

## Co robią grupy bezpieczeństwa

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Przykładowe reguły

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Potężny wzorzec: referencjonowanie innych grup bezpieczeństwa

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Grupy bezpieczeństwa vs NACL

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Dlaczego to ważne

Zrozumienie grup bezpieczeństwa jest ważne, ponieważ są one fundamentem **bezpieczeństwa sieci AWS** — kontrolują jaki ruch może dotrzeć do Twoich zasobów — dlatego jest to niezbędna praktyczna wiedza dla bezpiecznego wdrażania zasobów.

Grupy bezpieczeństwa działają jako **wirtualne zapory** definiując, jaki ruch (porty, protokoły, źródła) jest dozwolony do i z zasobów, z bezpiecznym domyślnym modelem (tylko reguły zezwalające; wszystko, co nie jest wyraźnie dozwolone, jest odrzucane) i stanowym zachowaniem (odpowiedzi na dozwolony ruch są automatycznie dozwalane).

Zrozumienie, jak prawidłowo konfigurować reguły, jest niezbędne dla bezpieczeństwa — na przykład, zezwalanie HTTP/HTTPS z dowolnego miejsca dla serwera webowego, ale **ograniczenie dostępu SSH do konkretnych adresów IP** (nie całemu internetowi — powszechna i ważna praktyka, ponieważ udostępnianie SSH dla całego świata jest ryzykiem bezpieczeństwa).

**Potężny wzorzec referencjonowania innych grup bezpieczeństwa** (pozwalanie grupie bezpieczeństwa bazy danych na akceptowanie ruchu tylko z grupy bezpieczeństwa serwerów aplikacyjnych, niezależnie od ich adresów IP) umożliwia czystą **architekturę bezpieczeństwa warstwowego** (web → app → baza danych, każda warstwa akceptuje ruch tylko z poprzedniej) — podejście najlepszych praktyk, które ogranicza ekspozycję i podąża za zasadą najmniejszych uprawnień na poziomie sieci.

Zrozumienie **grup bezpieczeństwa vs NACL** (grupy bezpieczeństwa na poziomie zasobu jako główne, stanowe, narzędzie do samego zezwalania; NACL na poziomie podsieci jako grubsza, bezstanowa warstwa wtórna) wyjaśnia warstwowy model bezpieczeństwa sieci.

Ponieważ kontrolowanie dostępu sieciowego do zasobów jest fundamentem bezpieczeństwa AWS (błędnie skonfigurowany dostęp — takie jak zbyt otwarte porty lub SSH/bazy danych dostępne dla całego świata — powoduje realne luki w zabezpieczeniach), a grupy bezpieczeństwa są głównym mechanizmem do tego (ze wzorcem referencjonowania grupy bezpieczeństwa umożliwiającym bezpieczne architektury warstwowe), zrozumienie grup bezpieczeństwa jest niezbędną, praktycznie ważną wiedzą AWS dla bezpiecznego wdrażania zasobów — kluczowym tematem bezpieczeństwa, gdzie właściwa konfiguracja (odpowiednie ograniczenie dostępu, używanie warstwowych referencji grup bezpieczeństwa) bezpośrednio zapobiega ekspozycji na poziomie sieci, która prowadzi do naruszeń.