c1.11 リスクのある管理ポートの開放を閉じる
SSH (22) や RDP (3389) をインターネットに公開しないでください。受信ポートを一切開かない AWS Systems Manager Session Manager によるアクセスを優先します。
実装ガイダンス
管理ポートの 0.0.0.0/0 を閉じる
ポート 22 (SSH) または 3389 (RDP) への無制限の受信 (0.0.0.0/0) を許可するセキュリティグループは侵入の主要な原因です。公開されたホストは、パッチが当たる前にブルートフォースや悪用の対象になります。これらのポートに依存するチームがまず安全な方法へ切り替えられるよう調整したうえで、閉じてください。
ポートを開かないアクセスを優先する
最善の対策は、管理ポートを開くこと自体をやめることです。AWS Systems Manager Session Manager は、受信ポート、踏み台、SSH キーなしでシェル/RDP アクセスを提供し、完全な監査ログを残します。SSM Agent(ほとんどの AWS AMI にプリインストール)と、SSM のマネージドポリシーを持つインスタンスプロファイルが必要です。Session Manager が使えない場合は EC2 Instance Connect を使うか、少なくとも送信元 IP を既知の管理レンジに制限します。
抜け漏れを大規模に見つける
AWS Security Hub CSPM のEC2.13 と EC2.14 コントロールで、すべてのアカウントにわたって 22/3389 を公開しているセキュリティグループを見つけ、AWS Firewall Manager で組織全体にベースラインを適用します。
全体像
How to validate
- ポート 22 または 3389 への無制限の受信 (0.0.0.0/0) を許可しているセキュリティグループはありませんか?(Security Hub CSPM の EC2.13 / EC2.14 で確認できます。)
- インスタンスへの管理アクセスはどのように管理していますか — Session Manager、Instance Connect、それとも開放ポート?
- 新しいアカウントがリスクを再導入しないよう、組織全体でベースラインが(例:Firewall Manager で)適用されていますか?
Threats addressed
- 管理ポート (22/3389) への無制限の受信は、敵対者が ブルートフォース による SSH/RDP ログインを試みたり、パッチ未適用のサービスを悪用してホストを制御したりすることを可能にします。
AWS サービス
AWS Systems Manager 
AWS Security Hub 
AWS Firewall Manager 料金
セキュリティグループと Session Manager に追加料金はありません。Security Hub CSPM と Firewall Manager は別途課金されます(各料金ページを参照)。