Çfarë janë grupet e sigurisë dhe si kontrollojnë ato aksesin?

Question

Accepted Answer

**Grupet e sigurisë** janë firewall-e virtuale që kontrollojnë **trafikun ardhës dhe dalës** drejt resurseve AWS (si instancave EC2) — duke përcaktuar cilat porta, protokolle dhe burime janë të lejuara. Ato janë themelore për sigurinë e rrjetit AWS.

## Çfarë bëjnë grupet e sigurisë

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Rregulla shembulli

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Një model i fuqishëm: referencimi i grupeve të tjera të sigurisë

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Grupet e sigurisë kundrejt NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Pse ka rëndësi

Kuptimi i grupeve të sigurisë është i rëndësishëm sepse ato janë themelore për **sigurinë e rrjetit AWS** — kontrollojnë se çili trafik mund të arrijë tek burimet tuaja — kështu që është njohuri themelore praktike për të shpërndarë burime në mënyrë të sigurt.

Grupet e sigurisë veprojnë si **firewall-e virtuale** që përcaktojnë se cilat trafik (porta, protokolle, burime) lejohen drejt dhe nga burimet, me një model të sigurt si parazgjedhje (vetëm rregulla të lejimit; gjithçka që nuk lejohet në mënyrë eksplicite refuzohet) dhe sjellje stateful (përgjigjet ndaj trafikut të lejuar lejohen automatikisht).

Kuptimi se si të konfiguroni rregullat në mënyrë korrekte është thelbësor për sigurinë — për shembull, të lejojë HTTP/HTTPS nga kudo për një server web por **të kufizojë aksesin SSH ndaj IP-ve specifike** (jo në të gjithë internetin — një praktikë e zakonshme, e rëndësishme, sepse ekspozimi i SSH në botë është rrezik sigurie).

Modeli **i fuqishëm i referencimit të grupeve të tjera të sigurisë** (duke lejuar grupin e sigurisë të bazës së të dhënave të pranojë trafik vetëm nga grupi i sigurisë i serverëve të aplikacionit, pavarësisht nga IP-të e tyre) mundëson arkitektura të pastër **sigurie të ndarë në shtresa** (web → app → bazë të dhënash, çdo shtresë pranon trafik vetëm nga shtresa e mëparshme) — një qasje e mire praktike që kufizon ekspozimin dhe ndjek privilegjet minimale në nivelin e rrjetit.

Kuptimi i **grupeve të sigurisë kundrejt NACLs** (grupet e sigurisë në nivelin e resursit si mjeti primar, stateful, vetëm-lejimi; NACLs në nivelin e nënrrjetit si një shtresë sekondare më e trashë, stateless) sqarot modelin e shtresuar të sigurisë së rrjetit.

Sepse kontrolli i aksesat në rrjet drejt resurseve është themelor për sigurinë AWS (aksesi i keq-konfiguruar — si porta të hapura shumë ose SSH/bazat të dhënash që mund të aksesohen nga botë — shkakton cenime reale), dhe sepse grupet e sigurisë janë mekanizmi primar për këtë (me modelin e referencimit të grupit të sigurisë që mundëson arkitektura të sigurta të ndarë në shtresa), kuptimi i grupeve të sigurisë është njohuri themelore, praktike AWS për të shpërndarë burime në mënyrë të sigurt — një temë sigurie thelbësore ku konfigurimi i duhur (kufizimi i aksesat në mënyrë të përshtatshme, përdorimi i referencave të grupeve të sigurisë të ndarë në shtresa) parandalon direkt ekspozimin në nivelin e rrjetit që çon në cenime.