Security groups nedir ve erişimi nasıl kontrol ederler?

Question

Accepted Answer

**Security groups** AWS kaynakları (EC2 instances gibi) için **gelen ve giden trafiği** kontrol eden sanal güvenlik duvarlarıdır — hangi portların, protokollerin ve kaynakların izin verileceğini tanımlar. AWS ağ güvenliğinin temelini oluştururlar.

## Security groups ne yapar

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Örnek kurallar

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Güçlü bir pattern: diğer security groups'a referans verme

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Security groups vs NACL'ler

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Neden önemli

Security groups'u anlamak önemlidir çünkü **AWS ağ güvenliğinin** temelini oluştururlar — kaynaklara hangi trafiğin ulaşabileceğini kontrol ederler — bu nedenle kaynakları güvenli bir şekilde dağıtmak için gerekli pratik bilgidir.

Security groups, hangi trafiğin (portlar, protokoller, kaynaklar) kaynaklara ve kaynaklardan gitmesine izin verileceğini tanımlayan **sanal güvenlik duvarları** olarak çalışır, varsayılan olarak güvenli bir model ile (yalnızca izin ver kuralları; açıkça izin verilmeyen her şey reddedilir) ve durum sahibi davranış (izin verilen trafiğe verilen yanıtlar otomatik olarak izin verilir).

Kuralları doğru şekilde yapılandırmak güvenlik için gereklidir — örneğin, bir web sunucusu için HTTP/HTTPS'ye her yerden izin vermek ama **SSH erişimini belirli IP'lerle sınırlandırmak** (tüm internete değil — yaygın, önemli bir pratik, çünkü SSH'yi dünyaya açmak bir güvenlik riski oluşturur).

**Diğer security groups'a referans vermenin güçlü pattern'i** (veritabanının security group'unun yalnızca uygulama sunucularının security group'ından trafiği kabul etmesine izin vermek, IP'lerinden bağımsız olarak) **katmanlı güvenlik mimarileri** (web → app → database, her katman yalnızca önceki katmandan trafiği kabul eder) sağlar — maruziyeti sınırlayan ve ağ seviyesinde en az ayrıcalık ilkesini takip eden en iyi uygulama yaklaşımı.

**Security groups vs NACL'ler'i anlamak** (resource seviyesinde security groups birincil, durum sahibi, yalnızca izin ver aracı olarak; subnet seviyesinde NACL'ler daha kaba, durum sahibi olmayan ikincil katman olarak) katmanlaştırılmış ağ güvenlik modelini açıklığa kavuşturur.

Kaynaklara ağ erişimini kontrol etmek AWS güvenliğinin temelini oluşturduğundan (yanlış yapılandırılmış erişim — aşırı açık portlar veya dünyaya açık SSH/veritabanları gibi — gerçek açıklıklara neden olur) ve security groups bunun birincil mekanizması olduğundan (security-group referans pattern'i güvenli katmanlı mimarileri sağlar), security groups'u anlamak kaynakları güvenli bir şekilde dağıtmak için gerekli, pratik AWS bilgisidir — doğru yapılandırma (erişimi uygun şekilde sınırlandırma, katmanlı security-group referansları kullanma) ihlallere neden olan ağ seviyesi açıklıklarını doğrudan önleyen temel bir güvenlik konusu.