Kaj so varnostne skupine in kako nadzorujejo dostop?

Question

Accepted Answer

**Varnostne skupine** so virtualni požarni zidovi, ki nadzorujejo **dohodne in izhodne prometne tokove** do AWS virov (kot so EC2 instance) — definirajući, kateri porti, protokoli in viri so dovoljeni. So temeljni za varnost omrežja AWS.

## Kaj počnejo varnostne skupine

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Primer pravil

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Zmogljiv vzorec: sklicevanje na druge varnostne skupine

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Varnostne skupine v primerjavi z NACL

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Zakaj je to pomembno

Razumevanje varnostnih skupin je pomembno, ker so temeljne za **varnost omrežja AWS** — nadzorujejo, kateri promet lahko doseže vaše vire — zato je to bistveno praktično znanje za varno uvajanje virov.

Varnostne skupine delujejo kot **virtualni požarni zidovi**, ki definirajajo, kateri promet (porti, protokoli, viri) je dovoljen do in od virov, z varnostnim modelom privzetega zavrnitve (samo dovolilna pravila; vse, kar ni izrecno dovoljeno, je zavrnjeno) in stanjem polnega obtoka (odgovori na dovoljen promet se samodejno dovolijo).

Razumevanje, kako pravilno konfigurirati pravila, je bistvenega pomena za varnost — na primer, omogočanje HTTP/HTTPS od kjerkoli za spletni strežnik, vendar **omejitev dostopa SSH na specifične IP naslove** (ne celo internet — pogosta, pomembna praksa, ker je izpostavljanje SSH svetovnemu omrežju varnostno tveganje).

**Zmogljiv vzorec sklicevanja na druge varnostne skupina** (omogočanje, da baza podatkov prejme promet le od varnostne skupine strežnikov aplikacije, ne glede na njihove IP naslove) omogoča čiste **arhitekture varnosti z več plastmi** (splet → aplikacija → baza podatkov, vsaka plast prejema promet le od prejšnje) — najboljša praksa, ki omejuje izpostavljenost in sledi načelu najmanjšega privilegija na ravni omrežja.

Razumevanje **varnostnih skupin v primerjavi z NACL** (varnostne skupine na ravni virov kot primarno, stalno, samo-dovolilno orodje; NACL na ravni podomrežja kot bolj groba, brez stanja druga plast) pojasnjuje plastovit model varnosti omrežja.

Ker je nadzor dostopa omrežja do virov temeljni za varnost AWS (slabo konfigurirani dostop — kot preširoki porti ali dostop SSH/baz podatkov za vsega — povzroči prave ranljivosti), in ker so varnostne skupina primarni mehanizem za to (z vzorcem sklicevanja varnostnih skupin, ki omogoča varne arhitekture z več plastmi), je razumevanje varnostnih skupin bistveno, praktično važno znanje AWS za varno uvajanje virov — temeljno varnostno temo, pri kateri je pravilna konfiguracija (ustrezno omejevanje dostopa, uporaba sklicevanj varnostnih skupin z več plastmi) neposredno preprečuje izpostavljenosti na ravni omrežja, ki vodijo do kršitev.