Zespół DevOps firmy BrightKite otrzymuje zgłoszenie GuardDuty: UnauthorizedAccess:EC2/SSHBruteForce, dotyczące instancji EC2 w publicznej podsieci. Instancja obecnie zezwala na ruch TCP/22 i TCP/8080 z 0.0.0.0/0, ale administratorzy muszą zachować dostęp SSH z biur firmy. Jakie jest najskuteczniejsze natychmiastowe rozwiązanie?

Najskuteczniejszym natychmiastowym rozwiązaniem jest ograniczenie grupy bezpieczeństwa instancji, aby zezwalała na SSH (port TCP/22) tylko z zaufanego bloku CIDR firmy. Atak SSH Brute Force wskazuje na otwarty port SSH dostępny z internetu (0.0.0.0/0), co jest poważnym zagrożeniem. Zezwolenie na dostęp tylko z określonych adresów IP firmy znacznie zmniejsza powierzchnię ataku. Usunięcie 0.0.0.0/0 z innych otwartych portów (np. TCP/8080, jeśli nie jest to konieczne) dodatkowo zwiększa bezpieczeństwo. Dołączenie AWS WAF web ACL do instancji EC2 nie jest bezpośrednio możliwe, ponieważ WAF działa na poziomie Application Load Balancer, CloudFront lub API Gateway, a nie bezpośrednio na instancjach EC2. Dodanie reguły odrzucającej do sieciowej listy ACL dla pojedynczego adresu IP jest niewystarczające, ponieważ atakujący mogą zmieniać adresy IP. Wyłączenie Internet Gateway dla VPC odcięłoby cały ruch przychodzący i wychodzący, co uniemożliwiłoby działanie aplikacji i dostęp administratorów, co nie jest praktycznym rozwiązaniem.