Ce sunt grupurile de securitate și cum controlează accesul?

Question

Accepted Answer

**Grupurile de securitate** sunt firewall-uri virtuale care controlează **traficul de intrare și ieșire** către resursele AWS (cum ar fi instanțele EC2) — definind care porturi, protocoale și surse sunt permise. Acestea sunt fundamentale pentru securitatea rețelei AWS.

## Ce fac grupurile de securitate

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Exemple de reguli

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Un model puternic: referențierea altor grupuri de securitate

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Grupuri de securitate vs NACL-uri

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## De ce contează

Înțelegerea grupurilor de securitate este importantă deoarece sunt fundamentale pentru **securitatea rețelei AWS** — controlând ce trafic poate ajunge la resursele dvs. — deci este cunoaștere practică esențială pentru implementarea resurselor în siguranță.

Grupurile de securitate acționează ca **firewall-uri virtuale** definind ce trafic (porturi, protocoale, surse) este permis spre și de la resurse, cu un model secure-by-default (doar reguli de permisiune; tot ceea ce nu este explicit permis este refuzat) și comportament stateful (răspunsurile la traficul permis sunt automat acceptate).

Înțelegerea modului corect de configurare a regulilor este esențială pentru securitate — de exemplu, permiterea HTTP/HTTPS de oriunde pentru un server web, dar **restricționarea accesului SSH la IP-uri specifice** (nu la toată internetul — o practică comună și importantă, deoarece expunerea SSH la lume este un risc de securitate).

**Modelul puternic de referențiere a altor grupuri de securitate** (permițând grupului de securitate al bazei de date să accepte trafic doar din grupul de securitate al serverelor de aplicații, indiferent de IP-urile lor) permite **arhitecturi de securitate stratificate curate** (web → app → bază de date, fiecare strat acceptând trafic doar din stratul anterior) — o abordare best-practice care limitează expunerea și urmează principiul celui mai mic privilegiu la nivel de rețea.

Înțelegerea **grupurilor de securitate vs NACL-uri** (grupuri de securitate la nivel de resursă ca instrument primar, stateful, numai cu permisiuni; NACL-uri la nivel de subrețea ca strat secundar mai grosier, stateless) clarifică modelul de securitate rețelei stratificate.

Deoarece controlul accesului rețelei la resurse este fundamental pentru securitatea AWS (accesul incorect configurat — cum ar fi porturi prea deschise sau SSH/baze de date accesibile din lume — provoacă vulnerabilități reale), și deoarece grupurile de securitate sunt mecanismul primar pentru aceasta (cu modelul de referențiere a grupurilor de securitate permiţând arhitecturi stratificate sigure), înțelegerea grupurilor de securitate este cunoaștere AWS esențială și practic importantă pentru implementarea resurselor în siguranță — un subiect de securitate fundamental în care configurația corectă (restricționarea accesului în mod corespunzător, folosind referințe de grupuri de securitate stratificate) previne direct expunerile la nivel de rețea care conduc la breșe.