Evalúa si un security group restringe el acceso entrante al no abrir todos los puertos a 0.0.0.0/0, o al deshabilitar puertos de alto riesgo específicos cuando se permite 0.0.0.0/0. La configuración cumple con la normativa si el bloque CIDR entrante no está establecido en 0.0.0.0/0, o si está configurado como 0.0.0.0/0 pero los puertos de alto riesgo especificados están deshabilitados.
Escenarios
Si una instancia de Elastic Compute Service (ECS) permite el acceso entrante desde todos los bloques CIDR (0.0.0.0/0), se deben deshabilitar todos los puertos de alto riesgo para evitar riesgos de seguridad en la red.
Nivel de riesgo
Nivel de riesgo predeterminado: alto.
Puede modificar el nivel de riesgo cuando configure esta regla.
Lógica de evaluación de cumplimiento
Si el bloque CIDR entrante de un security group no está establecido en 0.0.0.0/0, la configuración se considera conforme.
Si el bloque CIDR entrante del security group está establecido en 0.0.0.0/0 pero los puertos de alto riesgo especificados están deshabilitados, la configuración también se considera conforme.
Si el bloque CIDR entrante del security group está establecido en 0.0.0.0/0 y los puertos de alto riesgo especificados están habilitados, la configuración se considera no conforme. Para corregir una configuración no conforme, consulte Non-compliance remediation.
Detalles de la regla
| Elemento | Descripción |
| Nombre de la regla | sg-risky-ports-check |
| Identificador de la regla | sg-risky-ports-check |
| Etiqueta | SecurityGroup |
| Corrección automática | No compatible |
| Tipo de activación | Cambio de configuración |
| Tipo de recurso compatible | security group de ECS |
| Parámetro de entrada | ports
Nota Separe varios puertos con comas (,). |
Corrección de incumplimiento
Modifique las reglas del security group. Para obtener más información, consulte Modify a security group rule.