c2.11 Limitar el acceso de red con security groups de mínimo privilegio
Otorgue solo el acceso mínimo en los security groups. Los desarrolladores a menudo abren un grupo para pruebas y olvidan cerrarlo. Referencie security groups por grupo en vez de por CIDR para construir acceso por capas, y audite reglas demasiado permisivas con AWS Firewall Manager.
Guía de implementación
Mínimo privilegio en cada security group
Otorgue solo los puertos y orígenes que un recurso realmente necesita. Los grupos abiertos creados "solo para pruebas" pasan rutinariamente a producción. Priorice cerrar los puertos de administración riesgosos (vea Administración segura de EC2) y luego revise cada grupo, especialmente puertos que no son web y aplicaciones web internas que aceptan tráfico desde cualquier lugar. La regla restricted-common-ports de AWS Config marca los puertos abiertos que usted especifique.
Referencie security groups en vez de CIDRs
Construya acceso por capas referenciando un security group desde otro:
- Un Application Load Balancer con sg-alb acepta 80/443 desde internet.
- Servidores web con sg-web aceptan 80/443 solo desde sg-alb (solo el balanceador).
- La base de datos con sg-db acepta 3306 solo desde sg-web (solo la capa web).
Así el tráfico a la capa web siempre lo inspecciona el ALB (donde adjunta AWS WAF), y las instancias que agrega el autoscaling heredan el acceso correcto automáticamente.
Audite a escala con Firewall Manager
AWS Firewall Manager audita security groups y aplica reglas centralmente en múltiples cuentas, marcando grupos demasiado permisivos y sin uso. Su valor crece con el tamaño de la organización y con cómo se crean los recursos (manual vs. infraestructura como código).
Referencia un grupo de origen con la CLI
Permite que la base de datos (sg-db) acepte 3306 solo desde el grupo de la capa web (sg-web) — sin CIDR, para que las instancias de autoescalado hereden el acceso automáticamente:
aws ec2 authorize-security-group-ingress \
--group-id sg-db \
--protocol tcp --port 3306 \
--source-group sg-webCómo validar
- ¿Quién define los security groups y están capacitados para permitir solo el acceso mínimo?
- ¿Las aplicaciones críticas están restringidas solo a los puertos que necesitan?
- ¿Las aplicaciones internas aceptan tráfico desde cualquier lugar?
- ¿Usa AWS Firewall Manager (o similar) para encontrar y auditar grupos demasiado permisivos?
Amenazas que atiende
- Los security groups mal configurados permiten que los adversarios alcancen y sondeen servicios que nunca debieron estar expuestos.
- Los desarrolladores con frecuencia permiten acceso amplio "para restringir después" y luego nunca lo hacen.
Servicios AWS
Amazon VPC 
AWS Firewall Manager 
AWS Config Precios
Los security groups no tienen costo adicional. Si usa AWS Firewall Manager, vea sus precios.