Listar grupos de seguridad con aws ec2 describe-security-groups

En esta lección revisarás las reglas de cortafuegos existentes.

aws ec2 describe-security-groups los lista con su nombre, su identificador y todas sus reglas de entrada y salida.

Es la orden de la auditoría de seguridad, y lo que se busca es concreto: reglas con origen 0.0.0.0/0. En el puerto 80 o 443 de un servidor web es lo esperado; en el 22 de SSH, en el 3389 de escritorio remoto o en el 3306 de una base de datos es un problema serio que hay que cerrar.

Con --query se pueden extraer justo esas reglas y revisarlas de un vistazo, que es lo que se automatiza en las comprobaciones periódicas.

Siempre aparece un grupo llamado default, creado con la VPC. Su regla característica permite todo el tráfico entre las instancias que lo comparten, y es fácil que acabe usándose por inercia. Lo sano es crear grupos con un propósito claro.

Otro hallazgo típico son los grupos huérfanos, que ya no usa ninguna instancia. No cuestan dinero, pero enturbian cualquier revisión y a veces se reutilizan por error con reglas que ya no tienen sentido.