Cómo los grupos de seguridad filtran el tráfico

Un security group (SG) es un firewall virtual que se conecta directamente a una interfaz de red elástica (ENI) de un recurso, como una instancia de EC2, una base de datos de RDS o un balanceador de carga. Controla el tráfico entrante y saliente en el nivel del recurso, en lugar de hacerlo en el límite de la red, por lo que dos instancias de la misma subred pueden tener reglas muy diferentes.

Los grupos de seguridad contienen únicamente reglas de permiso. No es posible escribir una denegación explícita. Todo el tráfico que no coincide con una regla de permiso simplemente se descarta. Esto significa que debe crear el acceso añadiendo los permisos que desea, mientras que el comportamiento implícito predeterminado es bloquear todo lo demás.

Un grupo de seguridad recién creado deniega todo el tráfico entrante y permite todo el tráfico saliente. Abra el acceso entrante deliberadamente, puerto por puerto, mientras que la salida permanece completamente abierta a menos que la restrinja. En los exámenes, a menudo es fundamental recordar que la salida se permite de forma predeterminada.

Cada regla define un protocol (TCP, UDP, ICMP), un port range y un source (para el tráfico entrante) o un destination (para el saliente). El origen puede ser un bloque CIDR, como 10.0.0.0/16, u otro ID de grupo de seguridad, lo que permite hacer referencia a grupos en lugar de a IP fijas.

Establecer el origen como otro security group ID crea un acceso dinámico basado en la identidad. Por ejemplo, un SG de base de datos puede permitir el puerto 5432 únicamente desde el SG de la capa de aplicación. A medida que los servidores de aplicaciones aumentan o disminuyen, no es necesario editar ninguna IP, porque el acceso se rige por la pertenencia al grupo referenciado.

Los grupos de seguridad tienen estado. Cuando permite una solicitud entrante, la respuesta se permite automáticamente hacia el exterior, independientemente de las reglas salientes, y viceversa. Se realiza un seguimiento de la conexión, por lo que nunca debe escribir una regla de retorno equivalente. Esta es la mayor diferencia de comportamiento con respecto a las listas de control de acceso de red.

Una sola ENI puede tener varios grupos de seguridad asociados al mismo tiempo. Sus reglas se combinan mediante una unión: si cualquiera de los grupos asociados permite el tráfico, este se autoriza. No existe un orden ni una prioridad de reglas, por lo que no puede usar un grupo para anular otro mediante una denegación.

Aplique el principio de privilegio mínimo abriendo únicamente los puertos exactos que necesita cada capa. Una capa web podría permitir el puerto 443 desde Internet; una capa de aplicaciones permite el puerto 8080 únicamente desde el SG web; y una capa de datos permite el puerto 3306 únicamente desde el SG de aplicaciones. Esta cadena por capas limita el movimiento lateral después de una vulneración.

La configuración incorrecta más peligrosa es permitir 0.0.0.0/0 en el puerto 22 o 3389, ya que expone SSH o RDP a todo Internet. GuardDuty y Security Hub lo señalan. Es preferible no tener ningún puerto de administración entrante y utilizar Session Manager en su lugar, como se explica en el curso de SSM.

Los grupos de seguridad no registran por sí mismos los paquetes permitidos o denegados. Para saber qué tráfico circuló realmente, debe recurrir a VPC Flow Logs, que registran la decisión de aceptación o rechazo de cada conexión. Combine el diseño de los SG con Flow Logs para verificar que las reglas se comportan según lo previsto.

Los grupos de seguridad son la primera y más granular línea de defensa de red dentro de una VPC, y funcionan en el nivel de la instancia. Complementan las ACL de red de ámbito de subred y las herramientas de la capa de aplicación, como WAF. Dominar su comportamiento con estado, de solo permiso y de unión es esencial para el examen SCS-C02.

Compruebe cuánto domina el comportamiento de los grupos de seguridad.

Los grupos de seguridad son firewalls virtuales con estado y de solo permiso asociados a la ENI del recurso. Los grupos nuevos deniegan todo el tráfico entrante y permiten todo el saliente. Las reglas especifican el protocolo, el puerto y un origen, que puede ser un CIDR u otro ID de grupo. Varios grupos se combinan como una unión, sin denegaciones ni orden de evaluación. Evite los puertos de administración abiertos y use Flow Logs para observar el tráfico, ya que los SG no registran esta información.