Het DevOps-team van BrightKite ontvangt een GuardDuty-bevinding: UnauthorizedAccess:EC2/SSHBruteForce gericht op een EC2-instance in een publiek subnet. De instance staat momenteel TCP/22 en TCP/8080 toe vanaf 0.0.0.0/0, maar beheerders moeten SSH-toegang vanuit bedrijfskantoren behouden. Wat is de meest effectieve onmiddellijke oplossing?

De meest effectieve onmiddellijke oplossing is het beperken van de security group. De GuardDuty-bevinding duidt op een SSH brute-force aanval, wat betekent dat de SSH-poort (TCP/22) openstaat voor de wereld (0.0.0.0/0). Door de security group aan te passen om SSH alleen toe te staan vanaf het CIDR-blok van het bedrijf, wordt ongeautoriseerde toegang onmiddellijk geblokkeerd terwijl legitieme toegang behouden blijft. Het verwijderen van 0.0.0.0/0 van andere open poorten (zoals TCP/8080, indien niet strikt noodzakelijk voor wereldwijde toegang) vermindert verder het aanvalsoppervlak. Een AWS WAF web ACL is niet direct van toepassing op SSH-verkeer, aangezien WAF werkt op HTTP/HTTPS-niveau. Het toevoegen van een netwerk-ACL deny-regel voor een enkel bron-IP-adres is ineffectief tegen brute-force aanvallen die vaak van wisselende IP-adressen komen. Het uitschakelen van de Internet Gateway zou alle inkomende en uitgaande communicatie voor de VPC stoppen, waardoor de applicatie onbruikbaar wordt, wat geen praktische oplossing is.