Gerador de Regras do Grupo de Segurança AWS

Gerar regras de Grupo de Segurança AWS a partir de CSV

Security Group Rules

Output Format

Resource Name

Direction

Generated Output

Enter rules to generate AWS Security Group config

The AWS Security Group Rule Generator cria regras de grupo de segurança EC2 de entrada CSV estruturada. Digite regras como linhas com colunas de direção, protocolo, intervalo de porta, origem/destino e descrição e obtenha comandos AWS CLI, recursos Terraform aws_security_group_rule ou trechos de modelo CloudFormation prontos para implantações com script e repetível.

Entendendo Grupos de Segurança AWS

Se você executa cargas de trabalho no AWS, grupos de segurança são o mecanismo principal para controlar acesso de rede a suas instâncias EC2, bancos de dados RDS, funções Lambda e a maioria dos outros recursos em rede. Ao contrário dos firewalls tradicionais que ficam na frente de sua rede, grupos de segurança são anexados diretamente às interfaces de rede e seguem suas instâncias onde quer que vão - se você parar e reiniciar uma instância ou anexá-la a uma subnet diferente, seus grupos de segurança viajam com ela.

A coisa mais importante a entender sobre grupos de segurança AWS é que eles são com estado e apenas de permitir. Com estado significa que se você permitir tráfego de entrada na porta 443, o tráfego de retorno para essa conexão é automaticamente permitido independentemente de regras de saída. Apenas de permitir significa que não há ação de "negar" - você não pode escrever uma regra que explicitamente bloqueia um IP específico. Se um endereço IP não corresponde a nenhuma regra de permitir, é implicitamente negado. Isto é fundamentalmente diferente de iptables ou Azure NSGs onde você pode escrever regras de negação explícita e significa que grupos de segurança são mais adequados para definir o que você quer permitir do que o que quer bloquear. Para negações explícitas, você precisa Network ACLs no nível de subnet.

Gerenciar grupos de segurança através do AWS Console funciona para um punhado de regras, mas quebra rapidamente em ambientes de produção. Uma aplicação web típica de três camadas pode ter grupos de segurança separados para o balanceador de carga, servidores web, servidores de aplicação e banco de dados - cada um com cinco a dez regras. Mudanças feitas através do Console não são rastreadas, não podem ser revisadas antes da implantação e são difíceis de replicar em múltiplos ambientes. Este gerador habilita um fluxo de trabalho Infrastructure as Code: defina suas regras em uma planilha, gere comandos CLI ou código Terraform, revise em um pull request e implante consistentemente em desenvolvimento, staging e produção.

Como Gerar Regras de Grupo de Segurança AWS

Prepare seus dados de regra em formato CSV com colunas: direção, protocolo, intervalo de porta, origem/destino e descrição
Cole ou carregue o CSV no gerador
Selecione o formato de saída: AWS CLI, Terraform HCL ou CloudFormation JSON/YAML
Digite o ID do grupo de segurança alvo (ex: sg-0123456789abcdef0)
Copie os comandos gerados ou blocos de configuração para implantação

Formato de Entrada CSV e Saída Gerada

Entrada CSV

direction,protocol,from_port,to_port,source,description
ingress,tcp,443,443,0.0.0.0/0,HTTPS from internet
ingress,tcp,22,22,10.0.0.0/8,SSH from internal
ingress,tcp,3306,3306,sg-0abcdef1234567890,MySQL from app tier
egress,tcp,443,443,0.0.0.0/0,HTTPS outbound
ingress,-1,-1,-1,sg-0abcdef1234567890,All traffic from app tier

Saída AWS CLI

aws ec2 authorize-security-group-ingress \
  --group-id sg-0123456789abcdef0 \
  --ip-permissions '[{"IpProtocol":"tcp","FromPort":443,"ToPort":443,"IpRanges":[{"CidrIp":"0.0.0.0/0","Description":"HTTPS from internet"}]}]'

aws ec2 authorize-security-group-ingress \
  --group-id sg-0123456789abcdef0 \
  --ip-permissions '[{"IpProtocol":"tcp","FromPort":22,"ToPort":22,"IpRanges":[{"CidrIp":"10.0.0.0/8","Description":"SSH from internal"}]}]'

aws ec2 authorize-security-group-ingress \
  --group-id sg-0123456789abcdef0 \
  --ip-permissions '[{"IpProtocol":"tcp","FromPort":3306,"ToPort":3306,"UserIdGroupPairs":[{"GroupId":"sg-0abcdef1234567890","Description":"MySQL from app tier"}]}]'

Saída Terraform

resource "aws_security_group_rule" "https_from_internet" {
  type              = "ingress"
  from_port         = 443
  to_port           = 443
  protocol          = "tcp"
  cidr_blocks       = ["0.0.0.0/0"]
  security_group_id = "sg-0123456789abcdef0"
  description       = "HTTPS from internet"
}

resource "aws_security_group_rule" "ssh_from_internal" {
  type              = "ingress"
  from_port         = 22
  to_port           = 22
  protocol          = "tcp"
  cidr_blocks       = ["10.0.0.0/8"]
  security_group_id = "sg-0123456789abcdef0"
  description       = "SSH from internal"
}

Tipos de Origem de Grupo de Segurança AWS

Tipo de Origem	Valor CSV	Descrição
Bloco CIDR (IPv4)	`10.0.0.0/8`	Notação CIDR IPv4 padrão
Bloco CIDR (IPv6)	`::/0`	Notação CIDR IPv6
Grupo de segurança	`sg-0abcdef1234567890`	Referência entre-grupos na mesma VPC
Lista de prefixo	`pl-0123456789abcdef0`	Intervalos IP gerenciados AWS (ex: S3, DynamoDB)
Todo tráfego	Protocolo `-1`	Usa `-1` para protocolo, `-1` para intervalo de porta

Quando Usar o AWS Security Group Generator

Construção de VPC - Gere todas as regras de grupo de segurança para uma nova implantação VPC de um único documento de planejamento CSV
Automação de conformidade - Converta planilhas de política de segurança em comandos AWS CLI executáveis ou código Terraform
Consistência multi-conta - Gere conjuntos idênticos de regras de grupo de segurança para implantação em contas de desenvolvimento, staging e produção
Migração de no-local - Traduza regras iptables ou firewall existentes em formato de grupo de segurança AWS durante migração para nuvem
Auditoria e documentação - Exporte regras existentes como CSV, revise e regenere configurações limpas

Como Funcionam os Grupos de Segurança AWS

Comportamento Com Estado

Grupos de segurança AWS são com estado - se você permitir tráfego de entrada na porta 443, o tráfego de retorno é automaticamente permitido independentemente de regras de saída. Isto é diferente de iptables ou nftables onde você deve explicitamente permitir tráfego de retorno ou usar rastreamento de conexão.

Limites de Regra

Cada grupo de segurança suporta até 60 regras de entrada e 60 regras de saída por padrão (ajustável via requisição de aumento de cota). Cada bloco CIDR, referência de grupo de segurança ou lista de prefixo conta como uma regra. Use o Allowlist Builder para minimizar o número de entradas CIDR.

Avaliação

Todas as regras em um grupo de segurança são avaliadas juntas - não há ordenação. Se qualquer regra permite o tráfego, é permitido. Não há ação de "negar" em grupos de segurança; ausência de uma regra de permitir correspondente é uma negação implícita. Para regras de negação explícita, use Network ACLs em vez disso.

Referências de Grupo de Segurança

Um dos recursos mais poderosos dos grupos de segurança AWS é a capacidade de referenciar outros grupos de segurança como origens ou destinos. Em vez de especificar blocos CIDR para seus servidores de aplicação, você referencia o ID do grupo de segurança da camada de aplicação. Isto significa que quando você adiciona ou remove instâncias da camada de aplicação, o grupo de segurança de banco de dados automaticamente permite ou revoga o acesso sem mudanças de regra.

Conselho Prático para Gerenciamento de Grupo de Segurança AWS

O erro mais comum no gerenciamento de grupo de segurança é usar 0.0.0.0/0 (todo tráfego) muito liberalmente. Em uma correria para fazer as coisas funcionarem, engenheiros abrem SSH (porta 22) para 0.0.0.0/0 "temporariamente" e esquecem de restringir depois. AWS Security Hub e Config Rules podem detectar isto, mas prevenção é melhor que detecção. Use referências de grupo de segurança para comunicação entre-camadas, restrinja SSH ao grupo de segurança de seu gateway VPN ou bastion e limite 0.0.0.0/0 a portas que genuinamente precisam de acesso público (tipicamente apenas 80 e 443 em balanceadores de carga).

Ao trabalhar com Terraform, prefira usar recursos aws_security_group_rule (que este gerador produz) sobre blocos ingress e egress inline dentro de um recurso aws_security_group. Blocos inline e recursos separados conflitam um com o outro e recursos separados são mais fáceis de gerenciar, revisar e aplicar condicionalmente. Eles também previnem o problema "todas as regras mudam quando uma muda" que blocos inline causam.

Descrições de regra não são opcionais - elas são documentação do seu eu futuro. AWS exibe descrições no Console e elas aparecem em auditorias de segurança e relatórios de conformidade. Toda regra deveria responder "por quê" este acesso existe: "SSH from VPN gateway" é melhor que "SSH" ou nenhuma descrição. O gerador preserva suas descrições CSV na saída, então tome tempo para escrever significativas.

Perguntas Frequentes

O que o protocolo -1 significa em grupos de segurança AWS?

Protocolo -1 significa "todo tráfego" - corresponde a TCP, UDP, ICMP e todos os outros protocolos IP. Ao usar protocolo -1, defina ambos from_port e to_port para -1 também. Esta é como AWS representa uma regra "permitir tudo".

Posso referenciar um grupo de segurança em uma VPC diferente?

Sim, para VPCs peered. Use o ID do grupo de segurança completo e certifique-se que o peering VPC está configurado. O gerador produz a referência GroupId; para referências entre-conta, você também precisa do ID do proprietário da conta.

Como trato ambos blocos CIDR IPv4 e IPv6?

O gerador produz entradas IpRanges (para IPv4) e Ipv6Ranges (para IPv6) automaticamente baseado no formato de endereço. Uma regra para 0.0.0.0/0 apenas cobre IPv4; adicione uma regra separada para ::/0 para cobrir IPv6.

Qual é a diferença entre grupos de segurança e Network ACLs?

Grupos de segurança são com estado, nível-de-instância e apenas de permitir. Network ACLs são sem estado, nível-de-subnet e suportam regras de negação explícita. A maioria das configurações usa grupos de segurança como controle primário e Network ACLs para defesa em profundidade adicional.

Como fico dentro do limite de 60 regras?

Agregue blocos CIDR usando o Allowlist Builder, use referências de grupo de segurança em vez de IPs individuais para comunicação entre-camadas e combine intervalos de porta onde possível (ex: from_port: 8000, to_port: 8080 em vez de 80 regras individuais). Você também pode requisitar um aumento de cota através do console AWS Service Quotas.

Posso gerar regras para múltiplos grupos de segurança de uma vez?

O gerador alvo um único grupo de segurança por execução. Para configurações multi-grupo, execute-o uma vez por grupo de segurança com as regras apropriadas para cada camada. Isto corresponde melhores práticas para separação de preocupações em design de grupo de segurança.

Ferramentas Relacionadas

Azure NSG Rule Generator - Gere regras Azure NSG de CSV
iptables Rule Generator - Gere regras iptables de CSV
Allowlist Builder - Construa lista de permissão CIDR mínima de lista IP
Blocklist Builder - Construa lista de bloqueio CIDR mínima de lista IP
Rule Conflict Finder - Encontre regras de firewall duplicadas, sombreadas ou sobrepostas

Ferramentas relacionadas

Construtor de Lista de Permissão

Criar lista CIDR mínima a partir de lista de IP

Construtor de Lista de Bloqueio

Cria uma lista de bloqueio CIDR mínima a partir de uma lista de IPs

Validador de Lista de Permissões IP:Porta

Valida entradas em massa de IP:porta

Gerador de Snippet Allow/Deny CIDR (nginx)

Gere diretivas nginx allow/deny a partir de lista CIDR

Gerador de Trecho Apache Require ip

Gerar diretivas Apache Require ip

Divisor de Subredes (N Subredes Iguais)

Divide uma subrede em N subredes de tamanho igual