c2.11 Limitar o acesso de rede com security groups de menor privilégio
Conceda apenas o acesso mínimo nos security groups. Os desenvolvedores costumam abrir um grupo para testes e esquecem de fechá-lo. Referencie security groups por grupo em vez de por CIDR para construir acesso em camadas, e audite regras permissivas demais com o AWS Firewall Manager.
Guia de implementação
Menor privilégio em cada security group
Conceda apenas as portas e origens que um recurso realmente precisa. Grupos abertos criados "só para teste" são rotineiramente promovidos para produção. Priorize fechar as portas de administração arriscadas (veja Administração segura do EC2) e depois revise cada grupo, especialmente portas que não são web e aplicações web internas que aceitam tráfego de qualquer lugar. A regra restricted-common-ports do AWS Config sinaliza as portas abertas que você especificar.
Referencie security groups em vez de CIDRs
Construa acesso em camadas referenciando um security group a partir de outro:
- Um Application Load Balancer com sg-alb aceita 80/443 da internet.
- Servidores web com sg-web aceitam 80/443 apenas de sg-alb (apenas o balanceador).
- O banco de dados com sg-db aceita 3306 apenas de sg-web (apenas a camada web).
Assim o tráfego para a camada web é sempre inspecionado pelo ALB (onde você anexa o AWS WAF), e as instâncias adicionadas pelo autoscaling herdam o acesso correto automaticamente.
Audite em escala com o Firewall Manager
O AWS Firewall Manager audita security groups e aplica regras centralmente em várias contas, sinalizando grupos permissivos demais e sem uso. Seu valor cresce com o tamanho da organização e com a forma como os recursos são criados (manual vs. infraestrutura como código).
Referencie um grupo de origem pela CLI
Permita que o banco de dados (sg-db) aceite 3306 apenas do grupo da camada web (sg-web) — sem CIDR, para que instâncias de autoescalonamento herdem o acesso automaticamente:
aws ec2 authorize-security-group-ingress \
--group-id sg-db \
--protocol tcp --port 3306 \
--source-group sg-webComo validar
- Quem define os security groups e eles são treinados para permitir apenas o acesso mínimo?
- As aplicações críticas estão restritas apenas às portas de que precisam?
- As aplicações internas aceitam tráfego de qualquer lugar?
- Você usa o AWS Firewall Manager (ou similar) para encontrar e auditar grupos permissivos demais?
Ameaças atendidas
- Security groups mal configurados permitem que os adversários alcancem e sondem serviços que nunca deveriam ter sido expostos.
- Os desenvolvedores frequentemente permitem acesso amplo "para restringir depois" e depois nunca o fazem.
Serviços AWS
Amazon VPC 
AWS Firewall Manager 
AWS Config Preços
Os security groups não têm custo adicional. Se você usa o AWS Firewall Manager, veja seus preços.