kroki do zabezpieczenia Amazon EC2 + EBS

Question

Właśnie zainstalowałem Fedora linux AMI na Amazon EC2, z kolekcji Amazon. Mam zamiar podłączyć go do pamięci EBS. Zakładając, że zrobiłem nic więcej, niż tylko podstawowe kroki, żadne hasło nie zostało zmienione, na tym etapie nie zrobiono nic więcej poza powyższym.

Teraz, od tego momentu, jakie kroki należy podjąć, aby zatrzymać hakerów i zabezpieczyć moją instancję/EBS?

Answer 1

Właściwie nie ma tu niczego innego niż zabezpieczenie innego serwera linuksowego.

Answer 2

W pewnym momencie konieczne jest utworzenie własnego obrazu (AMI). Powodem tego jest to, że zmiany, które wprowadzisz w istniejącym AMI, zostaną utracone, jeśli twoja instancja przestanie działać (co może się łatwo zdarzyć, ponieważ Amazon nie gwarantuje, że instancja pozostanie aktywna przez czas nieokreślony). Nawet jeśli korzystasz z EBS do przechowywania danych, będziesz musiał wykonać te same przyziemne zadania konfigurowania systemu operacyjnego za każdym razem, gdy instancja ulegnie awarii. Możesz również zatrzymać i ponownie uruchomić instancję w określonych okresach lub w przypadku największego ruchu rozpocznij więcej niż jeden z nich.

Możesz przeczytać instrukcje tworzenia obrazu w numerze documentation. Jeśli chodzi o bezpieczeństwo, należy uważać, aby nie ujawnić swoich plików certyfikatów i kluczy. Jeśli tego nie zrobisz, cracker może użyć ich do uruchomienia nowych instancji, za które zostanie naliczona opłata. Na szczęście proces jest bardzo bezpieczny i powinieneś zwrócić uwagę tylko w kilku punktach:

• Rozpocznij od obrazu, któremu ufasz. Użytkownicy mogą tworzyć publiczne obrazy do wykorzystania przez wszystkich i mogą przez pomyłkę lub w celu zostawić w nich lukę w zabezpieczeniach, która mogłaby umożliwić kradzieży identyfikatorów. Począwszy od oficjalnej usługi Amazon AMI, nawet jeśli brakuje jej niektórych funkcji, zawsze jest to rozsądne rozwiązanie.
• Podczas tworzenia obrazu musisz przesłać certyfikaty w uruchomionej instancji. Prześlij je w lokalizacji, która nie jest dołączona do obrazu (/ mnt lub/tmp). Pozostawienie ich na obrazie jest niebezpieczne, ponieważ może być konieczne udostępnienie obrazu w przyszłości. Nawet jeśli nigdy nie zamierzasz tego zrobić, cracker może wykorzystać błąd bezpieczeństwa w oprogramowaniu, którego używasz (system operacyjny, serwer WWW, środowisko), aby uzyskać dostęp do działającej instancji i wykraść twoje referencje.
• Jeśli planujesz utworzyć publiczny obraz, upewnij się, że nie pozostawisz żadnego śladu swoich kluczy/identyfikuje się w nim (np. W historii poleceń powłoki).

Answer 3

To, co zrobiliśmy w pracy, sprawiło, że dostęp do serwerów był możliwy tylko za pomocą klucza prywatnego, bez haseł. Wyłączyliśmy również ping, aby każdy, kto szukał serwerów, byłby mniej skłonny do znalezienia naszego. Dodatkowo zablokowaliśmy port 22 z dowolnego miejsca spoza naszego sieciowego adresu IP, z wyjątkiem kilku pracowników IT, którzy mogą potrzebować dostępu z domu w weekendy. Wszystkie inne nieistotne porty zostały zablokowane.

Jeśli masz więcej niż jedną instancję EC2, polecam znaleźć sposób na zapewnienie, że komunikacja między serwerami jest bezpieczna. Na przykład nie chcesz, aby serwer B również został zhakowany, tylko dlatego, że serwer A został przejęty. Może istnieć sposób blokowania dostępu SSH z jednego serwera na drugi, ale nie zrobiłem tego osobiście.

To, co sprawia, że ​​zabezpieczanie instancji EC2 jest trudniejsze niż w przypadku wewnętrznego serwera, to brak zapory firmowej. Zamiast tego polegasz wyłącznie na narzędziach dostarczanych przez Amazon. Kiedy nasze serwery były w domu, niektóre nie były nawet narażone na dostęp do Internetu i były dostępne tylko w sieci, ponieważ serwer nie miał po prostu publicznego adresu IP.