c1.11 Cierra puertos de administración abiertos riesgosos
No expongas SSH (22) ni RDP (3389) a internet. Prefiere el acceso con AWS Systems Manager Session Manager, que no necesita ningún puerto de entrada abierto.
Guía de implementación
Cierra 0.0.0.0/0 en los puertos de administración
Los security groups que permiten ingreso irrestricto (0.0.0.0/0) a los puertos 22 (SSH) o 3389 (RDP) son una de las principales causas de intrusiones: los hosts expuestos son objeto de fuerza bruta o explotados antes de ser parchados. Ciérralos, coordinando con cualquier equipo que dependa de esos puertos para que cambie primero a un método más seguro.
Prefiere el acceso sin puertos abiertos
La mejor solución es dejar de abrir puertos de administración. AWS Systems Manager Session Manager da acceso shell/RDP sin puertos de entrada, sin bastiones ni llaves SSH, con registro de auditoría completo. Requiere el SSM Agent (preinstalado en la mayoría de las AMIs de AWS) y un perfil de instancia con la política administrada de SSM. Si no puedes usar Session Manager, usa EC2 Instance Connect o, como mínimo, restringe las IPs de origen a rangos de administración conocidos.
Encuentra las brechas a escala
Usa los controles EC2.13 y EC2.14 de AWS Security Hub CSPM para encontrar security groups que exponen 22/3389 en todas las cuentas, y AWS Firewall Manager para imponer una línea base en toda la organización.
Cómo encaja
Cómo validar
- ¿Hay security groups que permiten ingreso irrestricto (0.0.0.0/0) a los puertos 22 o 3389? (Security Hub CSPM EC2.13 / EC2.14 te lo dice.)
- ¿Cómo se gestiona el acceso administrativo a las instancias — Session Manager, Instance Connect o puertos abiertos?
- ¿Se impone una línea base en toda la organización (p. ej. con Firewall Manager) para que las cuentas nuevas no reintroduzcan el riesgo?
Amenazas que atiende
- El ingreso irrestricto a puertos de administración (22/3389) permite a los adversarios intentar inicios de sesión SSH/RDP por fuerza bruta o explotar un servicio sin parchar para tomar control del host.
Servicios AWS
AWS Systems Manager 
AWS Security Hub 
AWS Firewall Manager Precios
Los security groups y Session Manager no tienen costo adicional. Security Hub CSPM y Firewall Manager se facturan por separado (consulta sus páginas de precios).