[Cloud] AWS 보안그룹(Security Group)

📌 들어가며

이번 글에서는 AWS의 보안 그룹(Security Group)을 정리한다. VPC 안에서 허용된 IP와 포트만 통과시키는 방화벽으로, 인스턴스 단위의 접근 제어를 담당한다. 개념과 규칙, 그리고 리소스별 설정 예시를 살펴본다.

보안 그룹이란? VPC 내에서 허용된 IP와 포트만 통과시키는 일종의 방화벽(Firewall). OSI 3계층(IP)·4계층(포트) 수준에서 트래픽을 필터링하며, 외부→내부 인바운드(Inbound)와 내부→외부 아웃바운드(Outbound) 규칙으로 나뉜다.

---

1. 방화벽과 필터링 계층

방화벽은 정해진 규칙에 따라 네트워크 트래픽을 감시·제어해, 승인되지 않은 접근을 막는 보안 시스템이다. 보안 그룹은 그중 IP와 포트 수준에서 동작한다.

계층	필터링 기준
3계층(네트워크)	IP 주소 / 네트워크(CIDR)
4계층(전송)	포트 번호

---

2. 방화벽 설정 시 주의점

⚠️ 최소 권한 원칙을 지켜야 한다.

• 소스 IP·목적지 IP·포트는 실제 사용하는 값만 지정한다.
• CIDR 범위는 최소한으로 좁힌다.
• Any IP / Any Port / Any Protocol 설정은 최소화한다.

0.0.0.0/0(모든 IP)로 포트를 열어두는 것은 편하지만 그만큼 공격에 노출된다. 꼭 필요한 대역만 허용하는 것이 기본이다.

---

3. 리소스별 보안 그룹 설정 예시

역할에 따라 열어야 할 규칙이 다르다. 특히 DB 서버는 웹/앱 서버의 연결만 허용하는 것이 핵심 패턴이다.

리소스	인바운드	아웃바운드
웹 서버	HTTP·HTTPS 허용	백엔드 통신용 트래픽 허용
DB 서버	웹/앱 서버(EC2)의 연결만 허용	특정 내부 리소스로만 제한
제한 환경	특정 관리 IP만 허용	필요한 외부 연결로만 제한
개발 환경	다양한 IP 허용(개방적)	개발에 필요한 서비스로 개방

💡 DB 보안 그룹의 소스는 IP가 아니라 ‘웹/앱 서버의 보안 그룹’으로 지정하는 것이 정석이다. 이렇게 그룹을 참조하면, 웹 서버가 오토스케일링으로 늘어나 IP가 바뀌어도 규칙을 고칠 필요가 없다.

---

📝 정리

보안 그룹(Security Group)
├─ 개념   IP·포트 기반 인스턴스 방화벽(L3/L4)
├─ 규칙   인바운드(외부→내부) / 아웃바운드(내부→외부)
├─ 원칙   최소 권한(필요한 IP·포트만, Any 최소화)
└─ 패턴   DB는 웹/앱 서버 SG만 허용

개념	한 줄 정의
보안 그룹	인스턴스 단위 IP·포트 방화벽
인바운드/아웃바운드	들어오는/나가는 트래픽 규칙
SG 참조	소스를 IP 대신 보안 그룹으로

보안 그룹의 핵심은 최소 권한으로 필요한 IP·포트만 여는 것, 그리고 DB처럼 민감한 리소스는 특정 IP가 아닌 앞단 서버의 보안 그룹만 허용하는 것이다. 이 두 원칙이 안전한 네트워크 설계의 출발점이다.