các bước để bảo vệ amazon EC2 + EBS

Question

Tôi vừa cài đặt một AMI Linux fedora trên amazon EC2, từ bộ sưu tập amazon. Tôi dự định kết nối nó với bộ nhớ EBS. Giả sử tôi đã không làm gì hơn các bước cơ bản nhất, không có thay đổi mật khẩu, không có gì thêm đã được thực hiện ở giai đoạn này khác hơn là ở trên.

Bây giờ, từ thời điểm này, tôi nên thực hiện các bước nào để ngăn chặn tin tặc và bảo vệ cá thể/EBS của mình?

Answer 1

Trên thực tế, không có gì khác biệt ở đây để bảo vệ bất kỳ máy chủ Linux nào khác.

Answer 2

Tại một số thời điểm bạn cần tạo hình ảnh của riêng mình (AMI). Lý do để thực hiện điều này là các thay đổi bạn sẽ thực hiện trong một AMI hiện có sẽ bị mất nếu cá thể của bạn đi xuống (có thể dễ dàng xảy ra vì Amazon không đảm bảo rằng một cá thể sẽ vẫn hoạt động vô thời hạn). Ngay cả khi bạn sử dụng EBS để lưu trữ dữ liệu, bạn sẽ cần phải thực hiện các tác vụ tương tự như cấu hình hệ điều hành mỗi khi cá thể đó đi xuống. Bạn cũng có thể muốn dừng và khởi động lại cá thể của mình trong một khoảng thời gian nhất định hoặc trong trường hợp lưu lượng truy cập cao nhất bắt đầu nhiều hơn một trong số chúng.

Bạn có thể đọc một số hướng dẫn để tạo hình ảnh của mình trong documentation. Về bảo mật, bạn cần phải cẩn thận không để lộ các tệp và khóa chứng nhận của mình. Nếu bạn không làm điều này, thì một cracker có thể sử dụng chúng để bắt đầu các phiên bản mới sẽ bị tính phí. Rất may quá trình này rất an toàn và bạn chỉ nên chú ý đến một vài điểm:

• Bắt đầu từ hình ảnh bạn tin tưởng. Người dùng được phép tạo hình ảnh công khai để mọi người sử dụng và họ có thể do nhầm lẫn hoặc có mục đích để lại lỗ hổng bảo mật trong đó có thể cho phép ai đó ăn cắp số nhận dạng của bạn. Bắt đầu từ một Amazon AMI chính thức, ngay cả khi nó thiếu một số tính năng bạn yêu cầu, luôn luôn là một giải pháp khôn ngoan.
• Trong quá trình tạo hình ảnh, bạn sẽ cần tải lên chứng chỉ của mình trong phiên bản đang chạy. Tải chúng lên ở một vị trí không được gộp trong ảnh (/ mnt hoặc/tmp). Để chúng trong ảnh không an toàn, vì bạn có thể cần phải chia sẻ hình ảnh của bạn trong tương lai. Ngay cả khi bạn không bao giờ có kế hoạch làm như vậy, một cracker có thể khai thác một lỗi bảo mật trong phần mềm bạn đang sử dụng (OS, web server, framework) để truy cập vào cá thể đang chạy của bạn và lấy cắp thông tin đăng nhập của bạn.
• Nếu bạn dự định tạo hình ảnh công khai, hãy đảm bảo rằng bạn không để lại dấu vết nào của các khóa/nhận dạng trong đó (ví dụ: trong lịch sử lệnh của trình bao).

Answer 3

Những gì chúng tôi đã làm tại nơi làm việc là chúng tôi đảm bảo rằng máy chủ chỉ có thể truy cập bằng khóa riêng, không có mật khẩu. Chúng tôi cũng đã vô hiệu hóa ping để bất kỳ ai có thể ping vào máy chủ sẽ ít có khả năng tìm thấy chúng tôi hơn. Ngoài ra, chúng tôi đã chặn cổng 22 từ bất kỳ thứ gì bên ngoài mạng IP của chúng tôi, ngoại trừ một vài nhân viên CNTT có thể cần quyền truy cập từ nhà vào cuối tuần. Tất cả các cổng không cần thiết khác đã bị chặn.

Nếu bạn có nhiều hơn một cá thể EC2, tôi khuyên bạn nên tìm cách để đảm bảo sự liên lạc giữa các máy chủ được bảo mật. Ví dụ, bạn không muốn máy chủ B bị tấn công quá vì máy chủ A bị xâm phạm. Có thể có một cách để chặn truy cập SSH từ máy chủ này sang máy chủ khác, nhưng tôi chưa đích thân thực hiện việc này.

Điều gì làm cho trường hợp EC2 trở nên khó khăn hơn máy chủ nội bộ là thiếu tường lửa công ty của bạn. Thay vào đó, bạn chỉ dựa vào các công cụ mà Amazon cung cấp cho bạn. Khi máy chủ của chúng tôi ở trong nhà, một số máy chủ thậm chí không được tiếp xúc với Internet và chỉ có thể truy cập được trong mạng vì máy chủ không có địa chỉ IP công khai.