c2.13 Administrar EC2 sem portas SSH/RDP abertas
Use o AWS Systems Manager Session Manager e o Fleet Manager para administrar instâncias em vez de abrir SSH ou RDP. Você evita completamente as portas de entrada, obtém MFA e auditoria de comandos, e acessa o RDP do Windows pelo console, tudo sem custo adicional.
Guia de implementação
Feche as portas de administração
Portas de entrada SSH (22) e RDP (3389) abertas são um alvo favorito de ataques de força bruta. Em vez de bastions ou túneis de terceiros, use o AWS Systems Manager Session Manager: o agente SSM abre uma conexão de saída, de modo que você pode remover completamente as portas de administração de entrada dos seus security groups.
Session Manager e Fleet Manager
- O Session Manager dá a você um shell no Linux ou uma sessão PowerShell no Windows sem SSH.
- O Fleet Manager administra instâncias sem fazer login (ver processos, transferir arquivos) e oferece Remote Desktop com um clique para instâncias Windows, autenticado via IAM Identity Center, credenciais do SO ou key pairs.
Ambos suportam MFA (via IAM Identity Center ou o usuário IAM) e podem registrar cada comando para auditoria.
Configuração
O Fleet Manager e o Session Manager são recursos gratuitos do Systems Manager, mas exigem o agente SSM (pré-instalado em muitas AMIs), um instance profile com a política gerenciada <code>AmazonSSMManagedInstanceCore</code> e acesso de rede aos endpoints do SSM (via NAT gateway ou, preferencialmente, VPC endpoints).
Inicie uma sessão pela CLI
Abra um shell em uma instância sem portas de entrada (requer o plugin do Session Manager para a AWS CLI):
aws ssm start-session --target i-0123456789abcdef0Como validar
- O agente SSM está instalado, e em qual percentual das suas instâncias EC2?
- Suas equipes usam Session Manager / Fleet Manager em vez de SSH/RDP?
- Você removeu as portas de administração de entrada dos seus security groups?
Ameaças atendidas
- Acesso de entrada sem restrições a portas de administração (22, 3389) convida a ataques de força bruta SSH/RDP, e os hosts nessas portas costumam estar sem patch; um login bem-sucedido ou um exploit dá ao adversário acesso direto.
Serviços AWS
AWS Systems Manager Preços
O Session Manager e o Fleet Manager não têm custo adicional.