c1.11 Feche portas de administração abertas arriscadas
Não exponha SSH (22) nem RDP (3389) à internet. Prefira o acesso com o AWS Systems Manager Session Manager, que não precisa de nenhuma porta de entrada aberta.
Guia de implementação
Feche 0.0.0.0/0 nas portas de administração
Security groups que permitem entrada irrestrita (0.0.0.0/0) nas portas 22 (SSH) ou 3389 (RDP) são uma das principais causas de intrusões: hosts expostos sofrem força bruta ou são explorados antes de serem corrigidos. Feche-os, coordenando com qualquer equipe que dependa dessas portas para que mude primeiro para um método mais seguro.
Prefira o acesso sem portas abertas
A melhor solução é parar de abrir portas de administração. O AWS Systems Manager Session Manager dá acesso shell/RDP sem portas de entrada, sem bastions nem chaves SSH, com registro de auditoria completo. Requer o SSM Agent (pré-instalado na maioria das AMIs da AWS) e um perfil de instância com a política gerenciada do SSM. Se você não puder usar o Session Manager, use o EC2 Instance Connect ou, no mínimo, restrinja os IPs de origem a faixas de administração conhecidas.
Encontre as lacunas em escala
Use os controles EC2.13 e EC2.14 do AWS Security Hub CSPM para encontrar security groups que expõem 22/3389 em todas as contas, e o AWS Firewall Manager para impor uma baseline em toda a organização.
Como se encaixa
Como validar
- Há security groups permitindo entrada irrestrita (0.0.0.0/0) nas portas 22 ou 3389? (O Security Hub CSPM EC2.13 / EC2.14 informa.)
- Como o acesso administrativo às instâncias é gerenciado — Session Manager, Instance Connect ou portas abertas?
- Uma baseline é imposta em toda a organização (por exemplo, com o Firewall Manager) para que novas contas não reintroduzam o risco?
Ameaças atendidas
- A entrada irrestrita nas portas de administração (22/3389) permite que adversários tentem logins SSH/RDP por força bruta ou explorem um serviço não corrigido para assumir o controle do host.
Serviços AWS
AWS Systems Manager 
AWS Security Hub 
AWS Firewall Manager Preços
Security groups e o Session Manager não têm custo adicional. O Security Hub CSPM e o Firewall Manager são cobrados separadamente (consulte suas páginas de preços).