Vad är säkerhetsgrupper och hur styr de åtkomst?

Question

Accepted Answer

**Säkerhetsgrupper** är virtuella brandväggar som styr **inkommande och utgående trafik** till AWS-resurser (som EC2-instanser) — de definierar vilka portar, protokoll och källor som är tillåtna. De är grundläggande för AWS nätverkssäkerhet.

## Vad säkerhetsgrupper gör

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Exempel på regler

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Ett kraftfullt mönster: referera andra säkerhetsgrupper

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Säkerhetsgrupper jämfört med NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Varför det är viktigt

Att förstå säkerhetsgrupper är viktigt eftersom de är grundläggande för **AWS nätverkssäkerhet** — de styr vilken trafik som kan nå dina resurser — så det är väsentlig praktisk kunskap för att distribuera resurser säkert.

Säkerhetsgrupper fungerar som **virtuella brandväggar** som definierar vilken trafik (portar, protokoll, källor) som är tillåten till och från resurser, med en säker-som-standard-modell (endast tillåt-regler; allt som inte uttryckligen tillåts nekas) och tillståndsful beteende (svar på tillåten trafik tillåts automatiskt).

Att förstå hur man konfigurerar regler korrekt är väsentligt för säkerhet — till exempel att tillåta HTTP/HTTPS från var som helst för en webbserver men **begränsa SSH-åtkomst till specifika IP-adresser** (inte hela internet — en vanlig, viktig praxis, eftersom exponering av SSH mot världen är en säkerhetrisk).

Det **kraftfulla mönstret att referera andra säkerhetsgrupper** (låta databasens säkerhetgrupp acceptera trafik endast från appservrars säkerhetgrupp, oavsett deras IP-adresser) möjliggör rena **nivåindelade säkeretsarkitekturer** (webb → app → databas, varje lager accepterar endast trafik från föregående) — en best-practice-metod som begränsar exponering och följer principen om minsta behörighet på nätverksnivå.

Att förstå **säkerhetsgrupper jämfört med NACLs** (säkerhetsgrupper på resursnivå som det primära, tillståndsulla, endast-tillåt-verktyget; NACLs på subnetnivå som ett grövre, tillståndsöst sekundärt lager) klargör den nivåindelade nätverkssäkerhetmodellen.

Eftersom kontroll av nätverkåtkomst till resurser är grundläggande för AWS-säkerhet (felkonfigurerad åtkomst — som alltför öppna portar eller världsåtkomlig SSH/databas — orsakar verkliga säkerhetsproblem), och eftersom säkerhetsgrupper är den primära mekanismen för detta (med mönstret för säkerhetsgruppreferenser som möjliggör säkra nivåindelade arkitekturer), är förståelse av säkerhetsgrupper väsentlig, praktiskt viktig AWS-kunskap för att distribuera resurser säkert — ett kärnämnessäkerhet där korrekt konfiguration (begränsning av åtkomst på lämpligt sätt, användning av nivåindelade säkerhetsgrupprefererenser) direkt förhindrar nätverksnivåexponeringarna som leder till intrång.