Manajemen izin citra/snapshot dan pencegahan pelanggaran data - Elastic Compute Service

Batasi izin ekspor citra, berbagi citra, dan berbagi snapshot untuk mencegah terjadinya pelanggaran data secara tidak sengaja.

Risiko keamanan

Fitur berbagi dan ekspor citra meningkatkan efisiensi bagi pengembang dan operasional. Namun, fitur ini juga menimbulkan tantangan keamanan data. Pengaturan izin yang tidak tepat atau pembuatan citra yang ceroboh dapat menyebabkan kebocoran kode inti, konfigurasi lingkungan, dan data sensitif secara sengaja maupun tidak disengaja. Sebagai contoh, seorang karyawan mungkin menggunakan izin ekspor untuk menyalin citra server produksi dan mendapatkan informasi sensitif. Selain itu, jika Anda tidak membersihkan data uji, file konfigurasi, atau kredensial sementara saat membuat citra, informasi tersebut dapat terpapar secara tidak sengaja ketika citra digunakan atau dibagikan. Ini menimbulkan risiko keamanan berikut:

Snapshot Data Statis: Citra dan snapshot mencatat status lengkap dari sebuah instans Elastic Compute Service (ECS) pada titik waktu tertentu. Ini mencakup tidak hanya sistem operasi dan file aplikasi tetapi juga berbagai jenis data sensitif, seperti:
- Kredensial Identitas: Kunci privat Protokol Secure Shell (SSH), AccessKeys API, string koneksi database, dan kata sandi aplikasi yang di-hardcode.
- Data Pengguna: Kode inti perusahaan, informasi database, dan data pengguna pribadi.
- Jejak Sistem: Riwayat perintah Shell (.bash_history), file sementara, serta log dan cache dari berbagai aplikasi.
Risiko Divergensi Izin: Operasi berbagi dan ekspor memperluas izin akses data dari lingkungan internal yang terkendali ke ruang lingkup yang lebih luas, kadang-kadang tidak terkendali. Jika citra yang berisi informasi sensitif dibagikan dengan akun yang salah atau diekspor ke lingkungan offline, data tersebut dapat disalahgunakan atau dieksploitasi oleh aktor jahat.

Praktik terbaik

Pembuatan citra

Sebelum membuat citra, masuk ke instans dan periksa adanya informasi sensitif. Jika sebuah citra berisi informasi login, seperti kunci SSH, informasi ini akan ditulis ke instans baru yang dibuat dari citra tersebut. Hal ini terjadi bahkan jika Anda memilih untuk menyambungkan pasangan kunci baru atau menggunakan kata sandi untuk login saat membuat instans. Ini berarti pasangan kunci dan kata sandi asli dari citra masih dapat digunakan untuk mengakses instans baru.

Bersihkan Informasi Kata Sandi Pengguna:
- Linux: Periksa dan hapus informasi pengguna yang tidak diperlukan dari /etc/shadow dan /etc/passwd.
- Windows: Jalankan alat System Preparation (Sysprep) untuk menggeneralisasi citra. Operasi ini mereset ID sistem komputer (SID), membersihkan informasi pengguna saat ini, dan mengharuskan Anda membuat akun baru atau mereset kata sandi administrator selama startup berikutnya. Selain itu, hapus semua akun lokal yang tidak diperlukan di Local Users and Groups (lusrmgr.msc).
Hapus Semua Kunci SSH:
- Linux: Hapus file kunci (terutama id_rsa dan authorized_keys) dari /root/.ssh dan semua direktori home pengguna (/home/*/.ssh).
- Windows: Hapus file kunci dari C:\Users\Administrator\.ssh dan semua direktori home pengguna (C:\Users\*\\.ssh). Selain itu, periksa dan bersihkan semua kredensial yang tersimpan di Credential Manager.
Bersihkan Riwayat Shell:
- Linux: Jalankan history -c dan hapus file .bash_history dari /root/.bash_history dan semua direktori home pengguna (/home/*/.bash_history).
- Windows: Jalankan Clear-History untuk membersihkan riwayat sesi PowerShell saat ini. Kemudian, hapus file riwayat PowerShell untuk semua pengguna. File ini biasanya terletak di AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt.
Bersihkan File Sementara dan Log:
- Linux: Bersihkan direktori /tmp dan /var/tmp. Tinjau dan bersihkan log di direktori /var/log.
- Windows: Jalankan alat Disk Cleanup (cleanmgr.exe) untuk membersihkan file sementara sistem, keranjang daur ulang, dan item lainnya. Selain itu, gunakan perintah wevtutil cl <LogName> (misalnya, wevtutil cl System) atau Event Viewer untuk secara manual membersihkan semua log utama Windows Event, seperti log aplikasi, keamanan, dan sistem.
Hapus Kredensial yang Di-hardcode: Periksa kode aplikasi dan file konfigurasi untuk memastikan bahwa mereka tidak berisi informasi sensitif yang di-hardcode, seperti kata sandi database atau kunci API.
Bersihkan Data Bisnis dan Cache Aplikasi: Bersihkan data bisnis dan direktori cache dari aplikasi seperti server web dan database.

Kemampuan kepatuhan

Blokir: Larang ekspor citra dan berbagi citra serta snapshot

Untuk pengguna Resource Access Management (RAM) atau kelompok pengguna dengan tingkat kepercayaan rendah, larang secara eksplisit mereka melakukan operasi berisiko tinggi pada aset citra inti. Gunakan kebijakan Deny untuk menegakkan pembatasan ini dan blokir mereka dari berbagi dan mengekspor citra. Pada tingkat organisasi atau akun, Anda dapat menggunakan kebijakan RAM untuk memblokir ekspor citra dan berbagi citra serta snapshot.

Untuk Pengguna Perusahaan:

Masuk ke Konsol Direktori Sumber Daya dengan Akun Alibaba Cloud Anda, klik Control Policy di bilah menu di sebelah kiri, buat kebijakan kustom, dan tempelkan konten JSON berikut.

Kebijakan ini menolak ekspor citra dan berbagi citra serta snapshot.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:ExportImage",
                "ecs:ModifyImageSharePermission"
            ],
            "Resource": "*",
            "Effect": "Deny"
        },
        {
            "Action": [
                "resourcesharing:CreateResourceShare",
                "resourcesharing:AssociateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "resourcesharing:RequestedResourceType": [
                        "Snapshot",
                        "Image"
                    ]
                }
            },
            "Effect": "Deny"
        }
    ]
}

Di Direktori Sumber Daya, pilih node yang sesuai dan sambungkan kebijakan tersebut. Kebijakan ini kemudian akan memblokir operasi yang ditentukan untuk semua akun di bawah node tersebut.

Untuk Pengguna Non-Perusahaan:
1. Masuk ke Konsol RAM dengan Akun Alibaba Cloud Anda. Di panel navigasi di sebelah kiri, klik Access Policies. Buat kebijakan kustom dengan konten yang sama seperti yang ditunjukkan di atas.
2. Sambungkan kebijakan akses ke pengguna RAM, grup pengguna RAM, atau peran RAM. Untuk informasi lebih lanjut, lihat Kelola Otorisasi Kebijakan Akses.