Port database / cache mở ra Internet

Vấn đề là gì

Security Group cho phép TCP 3306, 5432, 1433, 1521, 27017, 6379, 11211, 9200 hoặc 5601 từ 0.0.0.0/0 hoặc ::/0 (kể cả rule mở cả dải port). Critical với các port trong danh sách EC2.19 (MySQL, PostgreSQL, SQL Server, OpenSearch, Kibana), High với các port còn lại (EC2.18)

A Security Group allows TCP 3306, 5432, 1433, 1521, 27017, 6379, 11211, 9200 or 5601 from 0.0.0.0/0 or ::/0 (including port-range rules). Critical for ports on the EC2.19 list (MySQL, PostgreSQL, SQL Server, OpenSearch, Kibana), High for the others (EC2.18)

6WAF phát hiện thế nào

• Check tất định bằng lời gọi AWS API (IAM, S3, EC2/VPC, CloudTrail, KMS) — không dùng LLM để phát hiện; mức độ nghiêm trọng là giá trị scanner gán, hiển thị ở trên.
• Quét qua IAM Role bạn tự deploy bằng CloudFormation; 6WAF không giữ credential và bạn thu hồi quyền bất cứ lúc nào bằng cách xóa stack.
• Điểm quét tự động chỉ bao phủ một phần phạm vi chuẩn như ISO 27001 — đây là đánh giá kỹ thuật, không phải chứng nhận.