¿Qué es un grupo de seguridad?

En esta lección entenderás cómo se protege el acceso a una instancia.

Un grupo de seguridad es el cortafuegos de una instancia: decide qué tráfico puede entrar y salir. aws ec2 describe-security-groups los lista.

Funciona con reglas de puerto, protocolo y origen. Lo característico es que solo tiene reglas de permiso: todo lo que no esté permitido queda bloqueado, y no existen reglas de denegación.

Es además con estado: si permites que entre una conexión, la respuesta sale automáticamente sin necesidad de una regla de salida. Esa propiedad ahorra la mitad de las reglas y confunde a quien viene de cortafuegos tradicionales.

El error grave y común es abrir un puerto a 0.0.0.0/0, que significa todo internet. Con el puerto 22 abierto así, hay robots probando contraseñas a los pocos minutos de arrancar la instancia — es medible, no una exageración. El acceso administrativo debe limitarse a direcciones conocidas o hacerse por otros medios.

Una instancia puede tener varios grupos, y sus reglas se suman. Los grupos pueden además referirse unos a otros, que es como se dice «solo los servidores web pueden hablar con la base de datos» sin escribir ninguna dirección.