Security groups là gì và chúng kiểm soát truy cập như thế nào?

Question

Accepted Answer

**Security groups** là các firewall ảo kiểm soát **lưu lượng vào và ra** đối với tài nguyên AWS (như EC2 instances) — định nghĩa cổng, giao thức và nguồn nào được cho phép. Chúng là nền tảng của bảo mật mạng AWS.

## Security groups làm gì

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## Ví dụ về rules

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## Một mẫu mạnh mẽ: tham chiếu security group khác

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## Security groups vs NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## Tại sao điều này quan trọng

Hiểu security groups là quan trọng vì chúng là nền tảng của **bảo mật mạng AWS** — kiểm soát lưu lượng nào có thể tới tài nguyên của bạn — nên đây là kiến thức thực tiễn thiết yếu để triển khai tài nguyên một cách an toàn.

Security groups hoạt động như **firewall ảo** định nghĩa lưu lượng nào (cổng, giao thức, nguồn) được phép tới và đi từ tài nguyên, với mô hình mặc định an toàn (chỉ có allow rules; mọi thứ không được phép rõ ràng đều bị từ chối) và hành vi stateful (phản hồi cho lưu lượng được phép được tự động cho phép).

Hiểu cách cấu hình rules đúng đắn là thiết yếu cho bảo mật — ví dụ, cho phép HTTP/HTTPS từ bất kỳ đâu cho web server nhưng **giới hạn truy cập SSH chỉ cho các IP cụ thể** (không phải toàn bộ internet — một thực hành phổ biến, quan trọng, vì phơi bày SSH ra toàn thế giới là một rủi ro bảo mật). **Mẫu mạnh mẽ tham chiếu các security group khác** (cho phép security group của cơ sở dữ liệu chỉ chấp nhận lưu lượng từ security group của app server, bất kể IP của chúng) cho phép các **kiến trúc bảo mật phân tầng** gọn gàng (web → app → database, mỗi tầng chỉ chấp nhận lưu lượng từ tầng trước) — một cách tiếp cận thực hành tốt nhất giới hạn phơi bày và tuân theo least privilege ở cấp mạng.

Hiểu **security groups vs NACLs** (security groups ở cấp tài nguyên là công cụ chính, stateful, chỉ allow; NACLs ở cấp subnet là một lớp thứ cấp, thô hơn, stateless) làm rõ mô hình bảo mật mạng phân lớp.

Vì kiểm soát truy cập mạng tới tài nguyên là nền tảng của bảo mật AWS (truy cập bị cấu hình sai — như cổng quá mở hoặc SSH/cơ sở dữ liệu truy cập được từ khắp thế giới — gây ra lỗ hổng thật), và vì security groups là cơ chế chính cho việc này (với mẫu tham chiếu security group cho phép các kiến trúc phân tầng an toàn), hiểu security groups là kiến thức AWS thiết yếu, quan trọng thực tiễn để triển khai tài nguyên an toàn — một chủ đề bảo mật cốt lõi nơi cấu hình đúng đắn (giới hạn truy cập phù hợp, dùng tham chiếu security group phân tầng) trực tiếp ngăn ngừa các phơi bày ở cấp mạng dẫn đến rò rỉ.