Puertos de administración y el punto de salto

Todos los puertos abiertos a internet son superficie, pero el de administración remota —el que da una sesión para configurar la máquina por dentro— es de otra categoría. Un puerto de aplicación expuesto deja que te hablen; el de administración, si alguien entra, deja que tomen la máquina. Por eso no tiene ninguna razón para estar abierto a todo internet: lo usa un puñado de personas del equipo de operaciones desde sitios conocidos, no el mundo. Abierto a 0.0.0.0/0, recibe intentos automáticos de adivinar credenciales de forma continua, y basta con una contraseña débil o reutilizada para que uno acierte.

El puerto de administración abierto a internet no es una rendija más: es la puerta por la que se entra a mandar en la máquina.

El grupo de seguridad de las instancias de Cobalto tiene una regla de entrada que permite el puerto de administración remota desde 0.0.0.0/0. Es decir, cualquier dirección de internet puede intentar abrir una sesión de administración contra esas máquinas. No hace falta que nadie "ataque": los barridos automáticos encuentran ese puerto en minutos y empiezan a probar usuarios y contraseñas sin parar. Una sola credencial que acierte entrega una sesión con control de la máquina, y desde ahí el resto de la cuenta queda al alcance. La máquina no necesita ese puerto abierto al mundo para nada legítimo.

Un puerto de administración abierto a 0.0.0.0/0 es una máquina ofreciéndose a que prueben llaves hasta dar con la buena.

La forma correcta de administrar máquinas en la nube es no exponer su puerto de administración en ninguna. En su lugar se usa un único punto de entrada controlado —un host de salto o un servicio de acceso privado— que es el único que admite la sesión, acotado al origen del equipo de operaciones y con todo lo que pasa por él registrado. Para llegar a cualquier máquina, el operador entra primero por ese punto y desde ahí salta a la que necesita, por la red interna. Así, en vez de tantas puertas abiertas como máquinas, hay una sola puerta vigilada, y las instancias no tienen el puerto de administración mirando a internet.

Un único punto de entrada controlado cambia "muchas puertas abiertas al mundo" por "una puerta vigilada", que es toda la diferencia.

La corrección en Cobalto es cerrar el puerto de administración en el grupo de seguridad de las instancias —que deje de aceptar sesiones desde internet— y dejar el acceso solo a través del punto de salto, acotado al origen del equipo de operaciones. Si durante una emergencia hace falta entrar y el punto de salto no está disponible, se abre de forma temporal y acotada a una dirección concreta, nunca a 0.0.0.0/0, y se vuelve a cerrar. El criterio es el mismo de toda la ruta: el puerto de administración queda alcanzable justo para quien tiene que administrar, por un camino controlado, y para nadie más.

Cerrar el puerto en las máquinas y entrar por un punto controlado es lo que quita la puerta que los barridos encuentran solos.

Abre el laboratorio de acceso remoto de Cobalto. Mira el grupo de seguridad de las instancias, encuentra la regla que deja el puerto de administración abierto a todo internet y lee el informe de la revisión, que cierra con el código de la sala.