O grupo de segurança atua como um firewall virtual que controla o tráfego de entrada e saída das instâncias ECS. Regras mal configuradas podem criar vulnerabilidades graves de segurança. Use o recurso Security Group Check do Cloud Firewall para identificar e corrigir rapidamente regras arriscadas em grupos de segurança ECS, garantindo uma gestão mais segura e eficiente. Esse recurso oferece suporte tanto a grupos de segurança básicos quanto avançados.
Itens de verificação de grupo de segurança
Esta tabela descreve os itens de verificação do recurso Security Group Check do Cloud Firewall. Ative ou desative essas verificações conforme as necessidades do seu negócio. Não é possível modificar esses itens.
|
Item de verificação |
Risco de segurança |
Recomendações |
|
Exposição de porta de gerenciamento remoto em instâncias Linux |
A porta 22 permite acesso de qualquer endereço IP, expondo os servidores Linux associados a ataques de força bruta. |
Na página Security Group do ECS console, configure regras para negar acesso público à porta 22. Caso seu negócio exija acesso a essa porta, restrinja-o a endereços IP de source confiáveis ou utilize o Bastionhost para gerenciamento remoto seguro. Para mais informações, consulte What is Bastionhost?. Além disso, na página Prevention Configuration do Cloud Firewall console, ative os recursos de inteligência contra ameaças e proteção básica. |
|
Exposição de porta de gerenciamento remoto em instâncias Windows |
A porta 3389 permite acesso de qualquer endereço IP, expondo os servidores Windows associados a ataques de força bruta. |
Na página Security Group do ECS console, configure regras para negar acesso público à porta 3389. Se o acesso a essa porta for necessário para suas operações, limite-o a endereços IP de source confiáveis ou adote o Bastionhost para gerenciamento remoto seguro. Para mais informações, consulte What is Bastionhost?. Adicionalmente, na página Prevention Configuration do Cloud Firewall console, ative os recursos de inteligência contra ameaças e proteção básica. |
|
Exposição de porta de gerenciamento remoto em bancos de dados DB2 |
A porta 50000 permite acesso de qualquer endereço IP, expondo os bancos de dados DB2 associados a ataques de força bruta. |
Acesse a página Security Group no ECS console e configure regras para bloquear o acesso público à porta 50000. Também recomendamos ativar os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Instância ECS associada a muitos grupos de segurança |
Uma instância ECS vinculada a três ou mais grupos de segurança aumenta a complexidade de gerenciamento e o risco de configurações incorretas. |
Como prática recomendada, associe cada instância ECS a no máximo dois grupos de segurança. Para mais detalhes, consulte Security group overview. Complementarmente, na página Prevention Configuration do Cloud Firewall console, ative os recursos de inteligência contra ameaças e proteção básica. |
|
Exposição de porta de gerenciamento remoto no Elasticsearch |
As portas 9200 e 9300 permitem acesso de qualquer endereço IP, expondo os clusters Elasticsearch associados a ataques de força bruta. |
Configure regras na página Security Group do ECS console para negar acesso público às portas 9200 e 9300. Ative também os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Exposição de porta de gerenciamento remoto no Hadoop YARN |
A porta 8088 permite acesso de qualquer endereço IP, expondo os clusters Hadoop YARN associados a ataques de força bruta. |
Utilize a página Security Group do ECS console para configurar regras que neguem acesso público à porta 8088. Não se esqueça de ativar os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Exposição de porta de gerenciamento remoto no Hadoop |
As portas 50070 e 50030 permitem acesso de qualquer endereço IP, expondo os clusters Hadoop associados a ataques de força bruta. |
Na página Security groups do ECS console, defina regras para impedir o acesso público às portas 50070 e 50030. Em seguida, ative os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Exposição de porta de gerenciamento remoto no MongoDB |
A porta 27017 permite acesso de qualquer endereço IP, expondo os bancos de dados MongoDB associados a ataques de força bruta. |
Vá até a página Security Group no ECS console e configure regras para negar acesso público à porta 27017. Além disso, ative os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Exposição de porta de gerenciamento remoto no MySQL |
A porta 3306 permite acesso de qualquer endereço IP, expondo os bancos de dados MySQL associados a ataques de força bruta. |
Configure regras na página Security Group do ECS console para bloquear o acesso público à porta 3306. Recomendamos também ativar os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Exposição de porta de gerenciamento remoto no Oracle |
A porta 1521 permite acesso de qualquer endereço IP, expondo os bancos de dados Oracle associados a ataques de força bruta. |
Na página Security Group do ECS console, estabeleça regras para negar acesso público à porta 1521. Adicionalmente, ative os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Exposição de porta de gerenciamento remoto no PostgreSQL |
A porta 5432 permite acesso de qualquer endereço IP, expondo os bancos de dados PostgreSQL associados a ataques de força bruta. |
Acesse a página Security groups no ECS console e configure regras para impedir o acesso público à porta 5432. Certifique-se também de ativar os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Exposição de porta de gerenciamento remoto no Redis |
A porta 6379 permite acesso de qualquer endereço IP, expondo os bancos de dados Redis associados a ataques de força bruta. |
Na página Security Group do ECS console, configure regras para negar acesso público à porta 6379. Por fim, ative os recursos de inteligência contra ameaças e proteção básica na página Protection Configuration do Cloud Firewall console. |
|
Exposição de porta de gerenciamento remoto no SQL Server |
A porta 1433 permite acesso de qualquer endereço IP, expondo os bancos de dados SQL Server associados a ataques de força bruta. |
Utilize a página Security Group do ECS console para configurar regras que bloqueiem o acesso público à porta 1433. Lembre-se de ativar os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Exposição de porta de gerenciamento remoto no Spark |
A porta 6066 permite acesso de qualquer endereço IP, expondo os clusters Spark associados a ataques de força bruta. |
Defina regras na página Security Group do ECS console para negar acesso público à porta 6066. Além dessa medida, ative os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Exposição de porta de gerenciamento remoto no Splunk |
As portas 8089 e 8090 permitem acesso de qualquer endereço IP, expondo as instâncias Splunk associadas a ataques de força bruta. |
Configure regras na página Security Group do ECS console para impedir o acesso público às portas 8089 e 8090. Complementarmente, ative os recursos de inteligência contra ameaças e proteção básica na página Prevention Configuration do Cloud Firewall console. |
|
Acesso de entrada irrestrito |
Um grupo de segurança permite tráfego de entrada de qualquer endereço IP em qualquer porta, representando um risco grave de intrusão. |
Restrinja o acesso apenas às portas necessárias para o seu negócio e limite o intervalo de endereços IP de source permitidos. Adicionalmente, na página Prevention Configuration do Cloud Firewall console, ative os recursos de inteligência contra ameaças e proteção básica. |
Verificar riscos de grupo de segurança
Faça login no Cloud Firewall console.
No painel de navegação à esquerda, escolha .
-
Na página Security Group Optimizer, clique em Obtain Latest Check Results.
A verificação leva de 1 a 5 minutos para ser concluída.
NotaO recurso Security Group Check executa uma análise estática das regras do seu grupo de segurança. Os resultados podem não abranger todos os riscos potenciais relacionados a portas. Acesse a página Internet Exposure para visualizar todos os resultados de verificação das suas portas e entender o status real de exposição.
Após a conclusão da verificação, a página exibe duas métricas: Number of risk items e Number of at-risk servers.
Visualizar resultados da verificação
Na área Check Result Details, visualize os detalhes dos riscos detectados nos grupos de segurança. Essas informações incluem Risk Level, Check Item, At-risk Security Groups/Servers e Check Item Status. Um nível de risco alto indica que um grupo de segurança permite tráfego de entrada de qualquer endereço IP em qualquer porta, o que representa uma ameaça grave de intrusão.
Para ativar ou desativar um item de verificação, use o controle Check Item Status. Desativar um item exclui-o da varredura.
Os itens de verificação de alto risco mais comuns incluem Remote management port exposure on Linux instances, Remote management port exposure on Windows instances e Unrestricted Inbound Access.
Corrigir itens de verificação de alto risco
-
Localize o item de verificação que deseja corrigir e clique em Fixing Details na coluna Actions.
Você também pode clicar no número da coluna At-risk Security Groups/Servers. Um valor maior que 0 indica uma vulnerabilidade de alto risco que exige atenção imediata. Essa ação também leva você à página Fixing Details.
-
Na página Fixing Details, localize o grupo de segurança que deseja corrigir e clique em Fix in Security Group na coluna Actions.
Alternativamente, clique em um ID de grupo de segurança na coluna At-risk Security Group ID/Name para abrir a página Security Group no ECS console e corrigir as regras de grupo de segurança arriscadas.
AvisoRegras de grupo de segurança mal configuradas podem causar incidentes graves de segurança. A página Fixing Details fornece Fixing Suggestions para os grupos de segurança em risco. Recomendamos modificar as regras arriscadas com base nessas Fixing Suggestions o mais rápido possível.