O que são grupos de segurança e como controlam o acesso?

Question

Accepted Answer

**Grupos de segurança** são firewalls virtuais que controlam **tráfego de entrada e saída** para recursos AWS (como instâncias EC2) — definindo quais portas, protocolos e origens são permitidas. Eles são fundamentais para a segurança de rede do AWS.

## O que grupos de segurança fazem

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Regras de exemplo

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Um padrão poderoso: referenciar outros grupos de segurança

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Grupos de segurança vs NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Por que isso importa

Compreender grupos de segurança é importante porque eles são fundamentais para **segurança de rede do AWS** — controlando qual tráfego pode alcançar seus recursos — então é conhecimento prático essencial para implantar recursos com segurança.

Grupos de segurança atuam como **firewalls virtuais** definindo qual tráfego (portas, protocolos, origens) é permitido para e de recursos, com um modelo seguro por padrão (apenas regras permitidas; tudo que não é explicitamente permitido é negado) e comportamento com estado (respostas ao tráfego permitido são automaticamente permitidas).

Compreender como configurar regras corretamente é essencial para segurança — por exemplo, permitir HTTP/HTTPS de qualquer lugar para um servidor web mas **restringir acesso SSH a IPs específicos** (não à internet toda — uma prática comum e importante, já que expor SSH para o mundo é um risco de segurança).

O **padrão poderoso de referenciar outros grupos de segurança** (permitir que o grupo de segurança do banco de dados aceite tráfego apenas do grupo de segurança dos servidores de aplicação, independentemente de seus IPs) permite arquiteturas de segurança em camadas limpas (web → app → banco de dados, cada camada aceitando apenas tráfego da anterior) — uma abordagem de melhor prática que limita exposição e segue o princípio do menor privilégio no nível de rede.

Compreender **grupos de segurança vs NACLs** (grupos de segurança no nível de recurso como a ferramenta primária, com estado e apenas permissões; NACLs no nível de subnet como uma camada secundária mais grosseira e sem estado) esclarece o modelo de segurança de rede em camadas.

Como controlar o acesso de rede a recursos é fundamental para segurança do AWS (acesso mal configurado — como portas muito abertas ou SSH/bancos de dados acessíveis mundialmente — causa vulnerabilidades reais), e como grupos de segurança são o mecanismo primário para isso (com o padrão de referência de grupo de segurança habilitando arquiteturas em camadas seguras), compreender grupos de segurança é conhecimento AWS essencial e praticamente importante para implantar recursos com segurança — um tópico de segurança central onde a configuração apropriada (restringindo acesso adequadamente, usando referências de grupos de segurança em camadas) previne diretamente as exposições no nível de rede que levam a violações.