VPC: Grupos de segurança pública

Esta regra identifica Security Groups que possuem regras de entrada (Ingress) permitindo acesso público irrestrito através do CIDR:

0.0.0.0/0

O objetivo é detectar configurações que expõem recursos internos à internet pública, aumentando significativamente o risco de segurança.

---

Segue a documentação estruturada rigorosamente no padrão definido.

---

Contexto da regra e impacto no negócio

Security Groups funcionam como firewall virtual para recursos dentro da VPC.

Quando uma regra permite:

0.0.0.0/0

Significa que qualquer IP da internet pode tentar acessar o recurso associado.

Riscos associados:

• Exposição indevida de servidores internos.

• Aumento da superfície de ataque.

• Risco de exploração de vulnerabilidades.

• Possibilidade de brute force e scanning automatizado.

• Incidentes de segurança e vazamento de dados.

Impactos no negócio:

• Comprometimento de dados sensíveis.

• Multas regulatórias.

• Interrupção de serviços.

• Danos reputacionais.

• Custos elevados com resposta a incidentes.

Mesmo que a regra esteja associada a portas específicas, o acesso irrestrito deve ser controlado e justificado.

---

Detalhamento técnico da regra

A regra executa análise regional de todos os Security Groups.

---

Como a regra é executada

1. Autentica na conta AWS por região.

2. Lista todos os Security Groups via describe_security_groups.

3. Aplica filtros de tag (inclusão/exclusão).

4. Para cada Security Group:

   • Analisa as permissões de entrada (IpPermissions).

   • Verifica se algum IpRanges contém:

     CidrIp = 0.0.0.0/0

5. Caso exista ao menos uma regra com esse CIDR, o Security Group é sinalizado.

---

Lógica aplicada

Um Security Group será considerado em não conformidade quando:

• Possuir qualquer regra de entrada.

• E dentro dessa regra existir:

  CidrIp = 0.0.0.0/0

A regra não avalia:

• Porta específica.

• Protocolo.

• Justificativa do acesso.

• Regras IPv6 (::/0) nesta implementação.

---

Campos analisados

Security Group:

• GroupId

• GroupName

• Description

• VpcId

• SecurityGroupArn

• Tags

Permissões:

• IpPermissions

• IpRanges

• CidrIp

---

Parâmetros considerados na busca

APIs utilizadas:

• ec2:DescribeSecurityGroups

Condições técnicas:

• Existência de IpPermissions

• Presença de CidrIp = 0.0.0.0/0

---

Período Avaliado (Filtro Temporal)

Período Avaliado (Filtro Temporal): Padrão 15 dias.

Padrão é configurado para 15 dias de avaliação do grupos de segurança com acesso público permitido.

Esse parâmetro de avaliação pode ser ajustado nas configurações das regras.

---

Intervalo de Análise

Execução padrão: a cada 8 horas.

---

Aderência às melhores práticas

Não possui cálculo de savings direto.

Está alinhada com:

• AWS Security Best Practices

• AWS Well-Architected Framework – Pilar de Segurança

• CIS AWS Foundations Benchmark

• Princípio de menor privilégio (Least Privilege)

---

Riscos associados

• Exposição pública indevida.

• Superfície ampliada para ataques automatizados.

• Possível acesso não autorizado.

• Movimentação lateral dentro da VPC.

---

Exemplo prático

Security Group com regra:

Porta: 22 (SSH)
Protocolo: TCP
Origem: 0.0.0.0/0

Resultado:

• Qualquer IP público pode tentar acessar via SSH.

• Alto risco de brute force.

---

Dicas de uso e boas práticas para o usuário

• Substituir 0.0.0.0/0 por CIDRs específicos.

• Utilizar bastion host com IP restrito.

• Implementar VPN ou AWS Client VPN.

• Usar AWS Systems Manager Session Manager.

• Revisar periodicamente regras antigas.

• Avaliar também regras IPv6 (::/0).

Possíveis exceções legítimas:

• Load Balancers públicos.

• APIs públicas controladas.

• Aplicações intencionalmente expostas à internet.

Recomenda-se validar a necessidade de exposição antes de qualquer alteração.