pasos para asegurar Amazon EC2 + EBS

Question

Acabo de instalar un AMI de Fedora Linux en Amazon EC2, de la colección de Amazon. Planeo conectarlo al almacenamiento de EBS. Suponiendo que no he hecho más que los pasos más básicos, no se ha cambiado la contraseña, no se ha hecho nada extra en esta etapa aparte de la anterior.

Ahora, desde este punto, ¿qué pasos debo seguir para detener a los piratas informáticos y proteger mi instancia/EBS?

Answer 1

En realidad, aquí no hay nada diferente de proteger cualquier otro servidor Linux.

Answer 2

En algún momento debe crear su propia imagen (AMI). La razón para hacer esto es que los cambios que realice en una AMI existente se perderán si su instancia deja de funcionar (lo que podría suceder fácilmente ya que Amazon no garantiza que una instancia permanezca activa indefinidamente). Incluso si usa EBS para el almacenamiento de datos, deberá realizar las mismas tareas mundanas configurando el sistema operativo cada vez que la instancia se apague. También es posible que desee detener y reiniciar su instancia en determinados períodos o, en caso de que el tráfico aumente, inicie más de uno de ellos.

Puede leer algunas instrucciones para crear su imagen en el documentation. En cuanto a la seguridad, debe tener cuidado de no exponer sus claves y archivos de certificación. Si no lo hace, un cracker podría usarlos para comenzar nuevas instancias que se cobrarán. Afortunadamente, el proceso es muy seguro y solo debe prestar atención en un par de puntos:

• Comience con una imagen de su confianza. Los usuarios pueden crear imágenes públicas para ser utilizadas por todos y podrían, por error o intencionalmente, dejar un agujero de seguridad que podría permitir que alguien robe sus identificadores. A partir de una AMI oficial de Amazon, incluso si carece de algunas de las funciones que necesita, siempre es una buena solución.
• En el proceso de creación de una imagen, deberá cargar sus certificados en una instancia en ejecución. Subalas en una ubicación que no esté incluida en la imagen (/ mnt o/tmp). Dejarlos en la imagen es inseguro, ya que es posible que deba compartir su imagen en el futuro. Incluso si nunca planea hacerlo, un cracker podría explotar una falla de seguridad en el software que utiliza (sistema operativo, servidor web, infraestructura) para obtener acceso en su instancia en ejecución y robar sus credenciales.
• Si está planeando crear una imagen pública, asegúrese de no dejar rastros de sus claves/identificaciones en ella (en el historial de comandos del shell, por ejemplo).

Answer 3

Lo que hicimos en el trabajo es que nos aseguramos de que solo se podía acceder a los servidores con una clave privada, sin contraseñas. También desactivamos el ping para que cualquier persona que esté haciendo ping para servidores tenga menos posibilidades de encontrar el nuestro. Además, bloqueamos el puerto 22 de cualquier cosa fuera de nuestra red IP, con la excepción de algunos miembros del personal de TI que podrían necesitar acceso desde su casa los fines de semana. Todos los demás puertos no esenciales fueron bloqueados.

Si tiene más de una instancia de EC2, le recomendaría encontrar la manera de garantizar que la intercomunicación entre servidores sea segura. Por ejemplo, no quieres que el servidor B también sea pirateado solo porque el servidor A estuvo en peligro. Puede haber una manera de bloquear el acceso SSH de un servidor a otro, pero personalmente no he hecho esto.

Lo que hace que asegurar una instancia EC2 sea más desafiante que un servidor interno es la falta de su firewall corporativo. En cambio, confía únicamente en las herramientas que Amazon le brinda. Cuando nuestros servidores eran internos, algunos ni siquiera estaban expuestos a Internet y solo se podía acceder a ellos dentro de la red porque el servidor simplemente no tenía una dirección IP pública.