Turvallisuusryhmät

Turvallisuusryhmät ovat virtuaalisia palomuurisääntöjoukkoja, jotka ohjaavat verkkoliikennettä pilvi- tai muissa verkko-ympäristöissä. Niiden avulla voidaan määrittää, millaista saapuvaa (inbound) ja lähtevää (outbound) liikennettä resurssille tai sen verkon osalle sallitaan. Turvallisuusryhmät ovat keskeinen keino erottaa sovelluksia, ympäristöjä ja käyttäjiä toisistaan sekä minimoida hyökkäys- ja väärinkäyttömahdollisuudet. Esimerkkejä toteutuksista ovat AWS Security Groups, Azure Network Security Groups ja Google Cloudin Firewall Rules.

Toimiakseen turvallisuusryhmät määrittelevät säännöt, jotka sisältävät suunnan (saapuva/ingress tai lähtevä/egress), protokollan (esim. TCP, UDP, ICMP), portin tai porttialueen sekä lähde- tai kohdeosoitteen (IP-osoitteet tai toisten turvallisuusryhmien tunnisteet). Usein useita turvallisuusryhmiä voidaan liittää samaan resurssiin, ja niiden vaikutus on sääntöjen yhdistelmä. Useimmissa toteutuksissa säännöt ovat sallivia: jos liikenne ei vastaa mitään sääntöä, se kielletään oletusarvoisesti.

Hallinta ja käytännöt: Turvallisuusryhmiä hallitaan tyypillisesti resurssikohtaisesti tai verkon osana. Parhaat käytännöt ovat esimerkiksi kuvaavien nimien käyttö, vähimmän oikeuden periaatteen noudattaminen, erottelu ympäristöittäin (tuotanto vs. testi) ja roolien perusteinen käyttöoikeus, säännöllinen tarkastelu sekä lokien, kuten verkko- tai palomuurilokien, seuranta.

Rajoitukset: Turvallisuusryhmät eivät korvaa kokonaisvaltaista palomuuria tai havaitsemisjärjestelmiä, vaan muodostavat osan monikerroksista verkon suojausta. Väärin konfigurointi voi altistaa resursseja, joten muutosten auditointi ja säännöllinen testi ovat suositeltavaa.