Группа безопасности облака
Простыми словами
Вместо открытой сети для всех серверов можно задать: к базе обращается только приложение, а административное подключение идёт с определённого адреса. Правила нужно назначить реальному ресурсу, а не просто создать в каталоге.
Как применяется
Группы применяют для виртуальных машин, балансировщиков и управляемых сервисов, если платформа их поддерживает. Проверяют настройки по умолчанию и объединение нескольких групп. В Yandex Cloud группы отслеживают состояние соединений: ответный трафик разрешённого соединения не требует отдельного зеркального правила.
Пример применения
Базу данных разрешают подключать только группе серверов приложения на порт СУБД. Публичный административный доступ не открывают. При тесте проверяют доступ от приложения и отказ с посторонней машины; отдельная широкая группа не должна случайно разрешать обход ограничения.
Не путать с
- IAMВыдаёт права выполнять операции облачного API, а не разрешает сетевые пакеты.
- WAFПроверяет веб-запросы и атаки уровня приложения; security group не заменяет эту функцию.
- NetworkPolicyОграничивает связи Pod в Kubernetes и имеет другую модель объектов.
Как это работает
- Описать соединенияФиксируют требуемые направления, протоколы и порты приложения.
- Задать правилаРазрешают только нужные источники и назначения, учитывая семантику платформы.
- Назначить ресурсамПроверяют все группы на интерфейсе или сервисе и их совместный эффект.
- Проверить доступТестируют штатные соединения и попытки подключения из запрещённой сети.
Продолжить изучение
Связанные термины
Частые вопросы
Не следует считать её специализированной защитой от объёмных атак. Для этого оценивают отдельные сервисы.
Достаточно закрыть входящий трафик?Нет. Исходящие соединения также могут создавать риск и требуют отдельного анализа.
Правила одинаковы у всех провайдеров?Нет. Отличаются stateful-поведение, значения по умолчанию, объединение групп и поддерживаемые ресурсы.