Un bastion host è un jump server rafforzato che si trova al confine di una rete privata e fornisce un percorso controllato verso i sistemi interni. Invece di esporre database, console di amministrazione o endpoint SSH direttamente a Internet, i difensori consentono l'accesso solo tramite il bastion, dove autenticazione, registrazione e restrizioni di rete sono più rigorose.
I bastion host sono importanti perché concentrano la fiducia. Se un attaccante ruba credenziali o raggiunge il bastion attraverso un confine applicativo debole, può ottenere un punto di appoggio verso risorse altrimenti isolate. Negli ambienti cloud, i bastion sono spesso usati con VPN, chiavi SSH, MFA, allowlist IP e credenziali a breve durata per limitare gli abusi. Per i difensori, i rischi principali sono una scarsa igiene delle credenziali, autorizzazioni IAM eccessivamente ampie e un monitoraggio debole di chi si connette e di dove si sposta successivamente.