Security groups คืออะไร และควบคุมการเข้าถึงอย่างไร?

Question

Accepted Answer

**Security groups** คือ firewall เสมือนที่ควบคุม **traffic ขาเข้าและขาออก** ไปยัง resources ของ AWS (เช่น EC2 instances) — กำหนดว่า port, protocol และ source ใดได้รับอนุญาต เป็นพื้นฐานของความปลอดภัยเครือข่ายใน AWS

## security groups ทำอะไร

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## ตัวอย่างกฎ

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## รูปแบบที่ทรงพลัง: อ้างอิง security group อื่น

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Security groups vs NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## ทำไมจึงสำคัญ

การเข้าใจ security groups มีความสำคัญ เพราะเป็นพื้นฐานของ **ความปลอดภัยเครือข่ายใน AWS** — ควบคุมว่า traffic ใดสามารถเข้าถึง resources ของคุณ — จึงเป็นความรู้เชิงปฏิบัติที่จำเป็นต่อการ deploy resources อย่างปลอดภัย

Security groups ทำหน้าที่เป็น **firewall เสมือน** ที่กำหนดว่า traffic ใด (ports, protocols, sources) ได้รับอนุญาตเข้าและออกจาก resources โดยมีโมเดล secure-by-default (เฉพาะกฎ allow ทุกอย่างที่ไม่ได้อนุญาตอย่างชัดเจนจะถูกปฏิเสธ) และพฤติกรรมแบบ stateful (การตอบสนองต่อ traffic ที่อนุญาตจะได้รับอนุญาตโดยอัตโนมัติ)

การเข้าใจวิธีการกำหนดค่ากฎอย่างถูกต้องเป็นสิ่งจำเป็นต่อความปลอดภัย — ตัวอย่างเช่น การอนุญาต HTTP/HTTPS จากทุกที่สำหรับ web server แต่ **จำกัดการเข้าถึง SSH เฉพาะ IP ที่ระบุ** (ไม่ใช่ทั้งอินเทอร์เน็ต — เป็นแนวปฏิบัติที่พบบ่อยและสำคัญ เนื่องจากการเปิด SSH สู่สาธารณะเป็นความเสี่ยงด้านความปลอดภัย)

**รูปแบบที่ทรงพลังในการอ้างอิง security group อื่น** (การอนุญาตให้ security group ของฐานข้อมูลรับ traffic เฉพาะจาก security group ของ app servers โดยไม่คำนึงถึง IP ของพวกมัน) เปิดให้สามารถสร้าง **สถาปัตยกรรมความปลอดภัยแบบ tiered** ที่สะอาด (web → app → database โดยแต่ละเลเยอร์รับ traffic เฉพาะจากเลเยอร์ก่อนหน้า) — แนวทางแบบ best-practice ที่จำกัดการเปิดเผยและปฏิบัติตาม least privilege ในระดับเครือข่าย

การเข้าใจ **security groups vs NACLs** (security groups ในระดับ resource เป็นเครื่องมือหลักแบบ stateful และ allow-only; NACLs ในระดับ subnet เป็นเลเยอร์รองที่หยาบกว่าและ stateless) ช่วยให้เข้าใจโมเดลความปลอดภัยเครือข่ายแบบเป็นชั้น

เนื่องจากการควบคุมการเข้าถึงเครือข่ายไปยัง resources เป็นพื้นฐานของความปลอดภัยใน AWS (การเข้าถึงที่ตั้งค่าผิดพลาด — เช่น ports ที่เปิดกว้างเกินไป หรือ SSH/ฐานข้อมูลที่เข้าถึงได้จากทั้งโลก — ก่อให้เกิดช่องโหว่จริง) และเนื่องจาก security groups เป็นกลไกหลักสำหรับสิ่งนี้ (โดยรูปแบบการอ้างอิง security group เปิดให้สามารถสร้างสถาปัตยกรรม tiered ที่ปลอดภัย) การเข้าใจ security groups จึงเป็นความรู้ AWS ที่จำเป็นและสำคัญในทางปฏิบัติต่อการ deploy resources อย่างปลอดภัย — หัวข้อความปลอดภัยหลักที่การกำหนดค่าอย่างเหมาะสม (การจำกัดการเข้าถึงอย่างเหมาะสม, การใช้การอ้างอิง security-group แบบ tiered) ป้องกันการเปิดเผยในระดับเครือข่ายที่นำไปสู่ข้อมูลรั่วไหลโดยตรง