Что такое группы безопасности и как они контролируют доступ?

Question

Accepted Answer

**Группы безопасности** — это виртуальные брандмауэры, которые контролируют **входящий и исходящий трафик** к ресурсам AWS (например, экземплярам EC2) — определяя, какие порты, протоколы и источники разрешены. Они являются фундаментом сетевой безопасности AWS.

## Что делают группы безопасности

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Примеры правил

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Мощный паттерн: ссылка на другие группы безопасности

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Группы безопасности vs NACL

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Почему это важно

Понимание групп безопасности важно, потому что они являются фундаментом **сетевой безопасности AWS** — контролируя, какой трафик может достичь ваших ресурсов — поэтому это важное практическое знание для безопасного развёртывания ресурсов.

Группы безопасности действуют как **виртуальные брандмауэры**, определяя, какой трафик (порты, протоколы, источники) разрешен в ресурсы и из ресурсов, с моделью безопасности по умолчанию (только правила разрешения; всё, что явно не разрешено, блокируется) и stateful-поведением (ответы на разрешённый трафик автоматически пропускаются).

Понимание правильной настройки правил критично для безопасности — например, разрешение HTTP/HTTPS откуда угодно для веб-сервера, но **ограничение доступа SSH только определённым IP** (не всему интернету — распространённая и важная практика, так как открытие SSH всему миру — это риск безопасности).

**Мощный паттерн ссылки на другие группы безопасности** (разрешение группе безопасности базы данных принимать трафик только от группы безопасности серверов приложений, независимо от их IP) включает чистые **многоуровневые архитектуры безопасности** (веб → приложение → база данных, каждый уровень принимает трафик только с предыдущего) — это лучшая практика, которая ограничивает экспозицию и следует принципу наименьших привилегий на сетевом уровне.

Понимание **групп безопасности vs NACL** (группы безопасности на уровне ресурса как основной, stateful, инструмент только разрешения; NACL на уровне подсети как более грубый, stateless вспомогательный слой) уточняет многоуровневую модель сетевой безопасности.

Поскольку контроль сетевого доступа к ресурсам — это фундамент безопасности AWS (неправильная конфигурация — такая как слишком открытые порты или доступные всему миру SSH/базы данных — вызывает реальные уязвимости), и поскольку группы безопасности — это основной механизм для этого (с паттерном ссылок между группами безопасности, включающим безопасные многоуровневые архитектуры), понимание групп безопасности — это критически важное практическое знание AWS для безопасного развёртывания ресурсов — это основная тема безопасности, где правильная конфигурация (надлежащее ограничение доступа, использование многоуровневых ссылок групп безопасности) непосредственно предотвращает сетевые уязвимости, приводящие к взломам.