Auditor de grupos de seguridad de AWS
Pega las reglas de tus grupos de seguridad de AWS y obtén hallazgos ordenados por severidad, con una corrección para cada uno. En el navegador, sin subir nada.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Pega las reglas de tus grupos de seguridad de AWS, ya sea el JSON de `aws ec2 describe-security-groups` o una lista sencilla con una regla por línea, y obtén hallazgos ordenados por severidad para cada regla de entrada y de salida. Una exposición a todo internet (0.0.0.0/0 o ::/0) en un puerto sensible (SSH 22, RDP 3389, MySQL 3306, Postgres 5432, Redis 6379, Mongo 27017, Elasticsearch 9200, MSSQL 1433, Telnet 23, SMB 445) se marca como crítica, igual que las reglas con todos los puertos abiertos (protocolo -1 o 0–65535 hacia internet); el acceso público en cualquier otro puerto es alto, y un CIDR demasiado amplio (por ejemplo, un /8) que llega a un puerto de administración es medio. Cada hallazgo indica el puerto y el protocolo, el origen, el riesgo concreto y una corrección específica: restringir a CIDR conocidos o a referencias de grupos de seguridad, y acceder a las instancias mediante SSM Session Manager o un bastión. Todo se ejecuta en tu navegador: no se sube el texto de ninguna regla, y la herramienta nunca se conecta a AWS ni sondea ningún host o dirección IP. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Ejecuta `aws ec2 describe-security-groups` (opcionalmente con `--group-ids sg-xxxx`) y pega la salida, o pega una lista con una regla por línea, por ejemplo `tcp 22 0.0.0.0/0`.
- Revisa los hallazgos ordenados por severidad: crítico, alto, medio e informativo.
- Lee el riesgo concreto y la corrección de cada hallazgo.
- Restringe los orígenes a CIDR corporativos o de VPN o a referencias de grupos de seguridad, y accede a las instancias mediante SSM Session Manager o un bastión endurecido.
Preguntas frecuentes
¿Qué comprueba exactamente esta auditoría de grupos de seguridad de AWS?
Analiza las reglas de tus grupos de seguridad y ordena cada una por riesgo. Los hallazgos de mayor severidad son las reglas de entrada que abren un puerto sensible a todo internet: SSH (22), RDP (3389), bases de datos habituales (MySQL 3306, PostgreSQL 5432, Redis 6379, MongoDB 27017, Elasticsearch 9200, Microsoft SQL 1433) y protocolos heredados (Telnet 23, SMB 445). También marca las reglas que abren todos los puertos al mundo (protocolo -1 o el rango completo 0–65535), el acceso público en cualquier otro puerto y los rangos de origen demasiado amplios, como un /8 que llega a un puerto de administración. La salida hacia 0.0.0.0/0 se anota como informativa porque es habitual, pero conviene confirmarla.
¿Qué formatos de entrada puedo pegar?
Dos. Primero, el JSON nativo de la CLI de AWS: ejecuta `aws ec2 describe-security-groups` (opcionalmente con `--group-ids sg-xxxx`) y pega la salida; la herramienta lee los arrays SecurityGroups[].IpPermissions[] e IpPermissionsEgress[], incluidos los rangos IPv4, los rangos IPv6, los grupos de seguridad referenciados y las listas de prefijos. Segundo, una lista sencilla con una regla por línea, por ejemplo `tcp 22 0.0.0.0/0`, `ingress udp 0-65535 10.0.0.0/8` o `3389/tcp 0.0.0.0/0`. Las palabras clave de dirección (ingress/egress) son opcionales y, por defecto, se asume entrada.
¿Por qué es tan peligroso 0.0.0.0/0 en el puerto 22 o 3389?
Un origen 0.0.0.0/0 significa que cualquier dirección de internet puede llegar a ese puerto, y ::/0 es su equivalente en IPv6. SSH (22) y RDP (3389) son puntos de entrada administrativos directos, así que una regla abierta al mundo los expone a un relleno de credenciales y un escaneo de fuerza bruta automatizados y continuos, y convierte cualquier clave filtrada o contraseña débil en el compromiso total del host. La misma lógica se aplica a las bases de datos y cachés (3306, 5432, 6379, 27017, 9200, 1433): suelen guardar los datos más valiosos y nunca se diseñaron para estar expuestas a internet. La corrección es restringir el origen a CIDR corporativos o de VPN concretos o a un grupo de seguridad referenciado, y acceder a las instancias mediante AWS Systems Manager Session Manager o un bastión endurecido en lugar de un puerto público.
¿Es un problema un CIDR amplio como 10.0.0.0/8?
Depende del puerto. Un rango privado amplio como un /8 o un /16 es normal para el tráfico dentro de la VPC, así que el auditor no marca los puertos de aplicación habituales detrás de uno. Sí marca un rango muy amplio (aproximadamente /8 o más) que llega a un puerto de administración o de base de datos, porque «cualquier cosa en 10/8» es un radio de impacto mucho mayor que el puñado de hosts que necesitan de verdad acceso SSH o a la base de datos. Reduce el origen al grupo de seguridad o al CIDR de subred concretos que requieren el puerto y apóyate en referencias de mínimo privilegio en lugar de rangos que lo abarcan todo.
¿Se envía algo a un servidor o se escanea mi cuenta?
No. La auditoría se hace por completo en el cliente: las reglas que pegas se analizan y puntúan en tu navegador con JavaScript, y nunca se sube nada. La herramienta no tiene credenciales de AWS, no hace llamadas a la API de AWS y nunca se conecta ni sondea ningún host, dirección IP o puerto: solo lee el texto que le das. Así que puedes pegar con seguridad la salida de grupos de seguridad de producción para revisarla sin conexión, y los hallazgos son un análisis estático de las reglas, no un escaneo de red en vivo.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.