VPC Security Group

Définition

Un Security Group AWS est un pare-feu virtuel stateful contrôlant le trafic réseau entrant et sortant d'une ressource AWS (instance EC2, RDS, Lambda dans un VPC, interface réseau). Contrairement aux Network ACLs (stateless), les Security Groups maintiennent un état de connexion : si une connexion entrante est autorisée, les réponses sortantes correspondantes sont automatiquement autorisées, et vice versa. Les Security Groups fonctionnent au niveau de l'interface réseau (ENI - Elastic Network Interface). Chaque ressource dans un VPC est associée à un ou plusieurs Security Groups (jusqu'à 5 par défaut). Les règles d'un Security Group définissent des autorizations (Allow seulement - il n'existe pas de règle Deny explicite dans un Security Group, tout trafic non autorisé est implicitement bloqué). Une règle de Security Group spécifie : le protocole (TCP, UDP, ICMP, ou All), le port ou la plage de ports, et la source/destination (CIDR IPv4/IPv6, un autre Security Group ID, ou un Prefix List). L'utilisation du Security Group ID d'un autre SG comme source est une fonctionnalité puissante permettant de définir des relations de confiance entre ressources sans dépendre d'adresses IP (dynamiques dans un environnement auto-scaling). Les erreurs de configuration de Security Groups sont parmi les plus fréquentes dans les environnements AWS. Les Security Groups ouverts à 0.0.0.0/0 sur des ports sensibles (22/SSH, 3389/RDP, 1433/SQL Server, 3306/MySQL) exposent directement les ressources à Internet. AWS Config, Security Hub et les outils CSPM détectent ces configurations dangereuses. Les bonnes pratiques incluent : principe du moindre privilège (n'autoriser que les flux strictement nécessaires), utiliser des Security Group IDs plutôt que des CIDRs pour les communications inter-services, supprimer les règles sortantes (outbound) permissives par défaut pour les ressources sensibles, et auditer régulièrement les Security Groups inutilisés ou redondants.