Un security group de Elastic Compute Service (ECS) se considera compatible si su bloque CIDR entrante no es 0.0.0.0/0. Si el bloque CIDR es 0.0.0.0/0, el security group solo es compatible cuando el rango de puertos del protocolo especificado no incluye puertos de alto riesgo. El security group también cumple con la norma si una directiva de autorización con mayor prioridad deniega el puerto de alto riesgo.
Escenarios
Restrinja las directivas de autorización del security group para minimizar la exposición de la red y proteger su entorno en la nube.
Nivel de riesgo
Nivel de riesgo predeterminado: Alto.
Modifique el nivel de riesgo de esta regla según sea necesario.
Lógica de detección
Compatible: El bloque CIDR entrante del security group es 0.0.0.0/0 y el rango de puertos del protocolo especificado no incluye puertos de alto riesgo.
Compatible: El bloque CIDR entrante del security group no es 0.0.0.0/0, incluso si el rango de puertos del protocolo especificado incluye puertos de alto riesgo.
Compatible: Una directiva de autorización con mayor prioridad deniega un puerto de alto riesgo.
No compatible: El bloque CIDR entrante del security group es 0.0.0.0/0 y el rango de puertos del protocolo especificado incluye puertos de alto riesgo. Para obtener más información, consulte Remediation.
No aplica: Un producto en la nube o un operador virtual utiliza el security group.
Detalles de la regla
|
Parámetro |
Descripción |
|
Nombre de la regla |
Los puertos de alto riesgo para un protocolo especificado no deben estar abiertos a todos los bloques CIDR en un security group |
|
Identificador de la regla |
ecs-security-group-risky-ports-check-with-protocol |
|
Etiqueta |
SecurityGroup |
|
Corrección automática |
No compatible |
|
Activador de la regla |
Cambio de configuración |
|
Tipos de recursos compatibles |
Security group de ECS |
|
Parámetros de entrada |
|
Corrección
Modifique las reglas del security group para excluir los puertos de alto riesgo o asegúrese de que una directiva de autorización con mayor prioridad los deniegue. Para obtener más información, consulte Modify security group rules.