amazon EC2 + EBSを確保する手順

Question

amazon EC2のamazonコレクションからfedora linux AMIをインストールしました。 EBSストレージに接続する予定です。最も基本的なステップ以上のことは何もしておらず、パスワードが変更されていないと仮定すると、上記以外の段階では何​​も追加作業が行われていません。

ここから、ハッカーを止めてインスタンス/ EBSを保護するために、どのような手順を取る必要がありますか？

Answer 1

他のLinuxサーバを保護することと実際には違いはありません。

Answer 2

ある時点で、独自のイメージ（AMI）を作成する必要があります。これを行う理由は、インスタンスがダウンした場合に既存のAMIで行われる変更が失われることです（Amazonがインスタンスが無期限にアクティブになることを保証しないため容易に発生する可能性があります）。 EBSをデータストレージに使用しても、インスタンスが停止するたびにOSを構成する同じ日常的なタスクを実行する必要があります。また、ある期間にインスタンスを停止して再起動したり、ピーク時に複数のトラフィックが開始された場合は、再起動したりすることもできます。

documentationに画像を作成するための説明があります。セキュリティに関しては、証明書ファイルとキーを公開しないように注意する必要があります。これに失敗した場合、クラッカーはそれらを使用して請求される新しいインスタンスを開始することができます。ありがたいことに、プロセスは非常に安全であり、数点で注意を払う必要があります。

• 信頼できるイメージから始めます。ユーザーはすべてのユーザーが使用する公開イメージを作成することができ、誤ってまたは意図的に、誰かがあなたのIDを盗むことができるセキュリティホールが残っている可能性があります。公式のAmazon AMIから、必要な機能の一部が欠けていても、常に賢明な解決策です。
• イメージを作成する過程で、実行中のインスタンスに証明書をアップロードする必要があります。イメージにバンドルされていない場所にアップロードします（/ mntまたは/ tmp）。イメージにそれらを残すことは、あなたのイメージを将来共有する必要があるかもしれないので、安全ではありません。クラッカーは、使用するソフトウェア（OS、Webサーバー、フレームワーク）のセキュリティフォールトを悪用して、実行中のインスタンスにアクセスし、資格情報を盗む可能性があります。
• パブリックイメージを作成する場合は、キーの識別情報や識別情報（シェルのコマンド履歴など）を残さないようにしてください。

Answer 3

私たちが行ったことは、サーバーにプライベートキーとパスワードなしでアクセスできることを確認しました。私たちはまた、pingを無効にしてサーバーのpingを行っている人が私たちを見つける可能性が低くなるようにしました。さらに、週末に家からアクセスする必要のあるITスタッフを除き、ポート22をネットワークIP以外のものからブロックしました。その他の必須でな​​いポートはすべてブロックされました。

複数のEC2インスタンスがある場合は、サーバー間の相互通信が安全であることを確認する方法を見つけることをおすすめします。たとえば、サーバーAが侵害されただけで、サーバーBがハッキングされることは避けてください。あるサーバーから別のサーバーへのSSHアクセスをブロックする方法があるかもしれませんが、私はこれを個人的に行っていません。

企業内のファイアウォールが不足しているため、社内サーバーよりもEC2インスタンスのセキュリティを強化するためには何が必要ですか。代わりに、Amazonが提供するツールだけに依存しています。当社のサーバーが社内にある場合、一部の企業はインターネットにさらされておらず、パブリックIPアドレスがないため、ネットワーク内でしかアクセスできませんでした。