c2.13 Administrar EC2 sin puertos SSH/RDP abiertos
Use AWS Systems Manager Session Manager y Fleet Manager para administrar instancias en vez de abrir SSH o RDP. Evita por completo los puertos de entrada, obtiene MFA y auditoría de comandos, y accede a RDP de Windows desde la consola, todo sin costo adicional.
Guía de implementación
Cierre los puertos de administración
Los puertos de entrada SSH (22) y RDP (3389) abiertos son un objetivo favorito de ataques de fuerza bruta. En lugar de bastiones o túneles de terceros, use AWS Systems Manager Session Manager: el agente SSM abre una conexión saliente, de modo que puede quitar por completo los puertos de administración de entrada de sus security groups.
Session Manager y Fleet Manager
- Session Manager le da una shell en Linux o una sesión PowerShell en Windows sin SSH.
- Fleet Manager administra instancias sin iniciar sesión (ver procesos, transferir archivos) y ofrece Remote Desktop de un clic a instancias Windows, autenticado con IAM Identity Center, credenciales del SO o key pairs.
Ambos soportan MFA (vía IAM Identity Center o el usuario IAM) y pueden registrar cada comando para auditoría.
Configuración
Fleet Manager y Session Manager son funciones gratuitas de Systems Manager, pero requieren el agente SSM (preinstalado en muchas AMIs), un instance profile con la política administrada <code>AmazonSSMManagedInstanceCore</code> y acceso de red a los endpoints de SSM (vía NAT gateway o, preferiblemente, VPC endpoints).
Inicia una sesión con la CLI
Abre un shell en una instancia sin puertos entrantes (requiere el plugin de Session Manager para la AWS CLI):
aws ssm start-session --target i-0123456789abcdef0Cómo validar
- ¿Está instalado el agente SSM y en qué porcentaje de sus instancias EC2?
- ¿Sus equipos usan Session Manager / Fleet Manager en lugar de SSH/RDP?
- ¿Ha quitado los puertos de administración de entrada de sus security groups?
Amenazas que atiende
- El acceso de entrada sin restricciones a puertos de administración (22, 3389) invita a ataques de fuerza bruta SSH/RDP, y los hosts en esos puertos suelen estar sin parchear; un login exitoso o un exploit da al adversario acceso directo.
Servicios AWS
AWS Systems Manager Precios
Session Manager y Fleet Manager no tienen costo adicional.