Elastic Compute Service：Metadata Instans

Dapatkan metadata instans

Metadata instans adalah kumpulan atribut instans, termasuk properti utama seperti ID instans, lingkungan jaringan, dan kredensial akses.

Aktifkan akses hanya dalam mode penguatan keamanan

Untuk mencegah risiko keamanan serius, aktifkan Security Hardening Mode untuk instans ECS Anda. Setelah mode ini diaktifkan, Anda hanya dapat mengakses metadata dalam mode penguatan keamanan. Setiap upaya untuk mengakses metadata dalam mode normal akan mengembalikan kesalahan 403 - Dilarang. Secara default, instans ECS mengizinkan akses tanpa token ke metadata (mode normal), yang memiliki risiko tinggi serangan SSRF.

Skenario serangan tipikal melibatkan eksploitasi fitur aplikasi, seperti mengunduh gambar dari URL eksternal. Penyerang dapat membuat permintaan jahat yang menipu server untuk mengakses layanan metadata internal atas nama mereka. Ini dapat digunakan untuk mencuri kredensial akses sementara dari peran RAM yang dilampirkan ke instans. Jika peran tersebut memiliki izin tingkat tinggi, penyerang dapat mengambil alih sumber daya cloud Anda atau bahkan mengambil alih seluruh Akun Alibaba Cloud Anda.

aliyun ecs RunInstances \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--ImageId 'aliyun_3_x64_20G_alibase_20250629.vhd' \
--InstanceType 'ecs.g7.large' \
--VSwitchId 'vsw-bp1******trg' \
--SecurityGroupId 'sg-bp1******dgl' \
--SystemDisk.Size 40 \
--SystemDisk.Category cloud_essd \
--HttpEndpoint enabled \
--HttpTokens required

aliyun ecs ModifyInstanceMetadataOptions \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--InstanceId 'i-bp1******ke' \
--HttpEndpoint enabled \
--HttpTokens required

Detail metadata instans

Metadata instans diorganisasikan dalam struktur hierarki mirip direktori yang dapat Anda akses level demi level. Saat Anda mengakses direktori metadata, ia mengembalikan entri metadata atau subdirektori di level berikutnya. Misalnya, mengakses meta-data/instance/ mengembalikan informasi seperti instance-name dan instance-type.

{
    "AccessKeyId": "****",
    "AccessKeySecret": "****",
    "Expiration": "2024-11-08T09:44:50Z",
    "SecurityToken": "****",
    "LastUpdated": "2024-11-08T03:44:50Z",
    "Code": "Success"
}

Pertanyaan Umum

• Apa itu serangan SSRF, dan bagaimana mode penguatan keamanan melindungi dari serangan tersebut?

  SSRF adalah kerentanan keamanan di mana penyerang menipu server untuk membuat permintaan jaringan yang tidak sah. Ini dapat digunakan untuk mengakses sistem internal yang dilindungi seperti layanan metadata atau database. Sebagai contoh, penyerang dapat mengirimkan URL yang berisi http://100.100.100.200/latest/meta-data/ untuk menipu aplikasi agar mengambil dan mengembalikan informasi sensitif dari metadata. Ini menyebabkan pelanggaran data.

  Secara default, instans ECS mengizinkan akses tanpa token ke metadata (mode normal). Mengaktifkan mode penguatan keamanan menerapkan mekanisme validasi token. Klien harus terlebih dahulu mengirim permintaan PUT untuk mendapatkan token sementara dan kemudian menyertakan token tersebut dalam permintaan GET berikutnya. Karena serangan SSRF tidak dapat dengan mudah memulai permintaan PUT, mereka tidak dapat memperoleh token. Ini secara efektif memblokir akses dan meningkatkan keamanan metadata.

• Saya tidak dapat mengakses metadata instans menggunakan perintah dalam mode penguatan keamanan. Bagaimana cara memperbaikinya?

  Kesalahan perintah berikut sering terjadi:

  • TTL kredensial akses metadata instans di luar jangkauan (400 - Parameter Hilang atau Tidak Valid)

    TTL untuk kredensial akses metadata instans adalah 1 hingga 21.600 detik. Jika nilainya melebihi batas ini, kesalahan 400 - Parameter Hilang atau Tidak Valid akan dikembalikan.

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds: 21700"

  • Permintaan berisi X-Forwarded-For header (403 - Dilarang)

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-Forwarded-For: www.ba****.com"

  • Kredensial akses metadata instans yang ditentukan tidak valid (401 - Tidak Sah)

    curl -H "X-aliyun-ecs-metadata-token: aaa" -v http://100.100.100.200/latest/meta-data/

• Apa yang harus saya lakukan jika akses frekuensi tinggi saya ke layanan metadata dibatasi?

  Layanan metadata memiliki batasan frekuensi akses. Praktik terbaik adalah mengambil item metadata yang jarang berubah, seperti instance-id, sekali saat startup aplikasi. Kemudian, simpan mereka di cache memori lokal atau file dengan waktu hidup yang wajar.

• Aplikasi saya berhenti bekerja setelah saya mengubah mode akses metadata instans ke mode penguatan keamanan. Bagaimana cara memecahkan masalah ini?

  Aplikasi atau skrip pada instans mungkin masih menggunakan mode normal. Ikuti langkah-langkah dalam Tingkatkan instans yang ada ke mode penguatan keamanan untuk memeriksa dan meningkatkan aplikasi apa pun yang menggunakan mode normal.

• Apakah saya dapat mengakses alamat metadata dari host lokal?

  Tidak, Anda tidak bisa. Alamat 100.100.100.200 adalah alamat link-lokal yang hanya dapat dijangkau dari dalam instans ECS melalui antarmuka jaringan virtualnya. Permintaan apapun yang dikirim ke alamat ini dari luar instans tidak dapat dirutekan. Ini adalah prinsip desain mendasar untuk memastikan keamanan metadata.

• Apa yang harus saya lakukan jika saya tidak dapat memilih mode penguatan keamanan saat membuat instans dari gambar kustom?

  Saat Anda membuat instans ECS dari gambar Linux kustom, Anda mungkin menemukan bahwa Anda tidak dapat memilih atau mengaktifkan Security Hardening Mode. Ini biasanya berarti gambar tersebut tidak memenuhi persyaratan untuk fitur keamanan ini. Untuk menyelesaikan masalah ini, perbarui gambar sebagai berikut:

  1. Buat instans sementara: Gunakan gambar kustom yang ingin Anda tingkatkan untuk membuat instans ECS sementara untuk diagnostik dan modifikasi.

  2. Modifikasi instans sementara: Pada instans sementara yang Anda buat di Langkah 1, lakukan modifikasi berikut. Untuk informasi lebih lanjut, lihat Tingkatkan instans yang ada ke mode penguatan keamanan.

     • Tingkatkan Cloud-init: Tingkatkan Cloud-init ke versi 23.2.2 atau lebih baru.

     • Ubah aplikasi dan skrip: Ubah semua aplikasi atau skrip yang menggunakan mode normal untuk menyesuaikannya dengan mode penguatan keamanan.

  3. Buat gambar baru dan ubah atributnya: Setelah Anda menyelesaikan modifikasi, buat gambar baru kustom dari instans tersebut. Kemudian, panggil operasi ModifyImageAttribute untuk mengatur atribut Features.ImdsSupport gambar ke `v2`.

  4. Lepaskan sumber daya: Setelah gambar baru dibuat, segera lepaskan instans sementara untuk menghemat biaya.

• Versi mana dari alat Credentials yang mendukung mode penguatan keamanan?

  Versi sebelumnya dari Credentials tidak mendukung akses ke metadata dalam mode penguatan keamanan. Jika Anda beralih ke mode penguatan keamanan, versi ini tidak dapat memperoleh token STS dari metadata dalam mode normal untuk menginisialisasi SDK. Ini menyebabkan gangguan layanan.

  Sebelum Anda beralih mode, tingkatkan dependensi Credentials ke versi yang mendukung mode penguatan keamanan. Persyaratan versi adalah sebagai berikut:

  • Java: versi credentials-java >= 0.3.10.

  • Node.js: versi credentials >= 2.3.1.

  • PHP: versi credentials >= 1.2.0.

  • Python: versi alibabacloud_credentials >= 0.3.6.

  • Go: versi credentials-go >= 1.3.10.

• Bagaimana cara mendeteksi apakah instans ECS diakses dalam mode normal?

  Saat Anda memeriksa kode aplikasi pada instans yang menggunakan mode normal, Anda dapat menggunakan metode berikut untuk mendeteksi dan menemukan proses spesifik. Ini membantu Anda melakukan peningkatan yang diperlukan.

  Metode 1: Gunakan CloudMonitor untuk memeriksa akses mode normal

  Anda dapat memeriksa data pemantauan metadata ECS di konsol CloudMonitor untuk dengan cepat memastikan apakah instans baru saja diakses dalam mode normal.

  1. Masuk ke Konsol CloudMonitor.

  2. Di panel navigasi di sebelah kiri, pilih Cloud Resource Monitoring > Cloud Service Monitoring. Lalu, cari dan buka halaman pemantauan ECS Metadata.

  3. Lihat metrik Successful Normal Mode Accesses untuk instans target.

  4. Jika nilai metrik ini bukan 0, instans sedang diakses dalam mode normal. Anda harus menemukan aplikasi yang menggunakan mode ini dan tingkatkan mereka untuk menggunakan mode penguatan keamanan.

  Metode 2: Gunakan plugin Cloud Assistant untuk menemukan proses spesifik

  Anda dapat menggunakan plugin Cloud Assistant untuk membantu Anda secara akurat menemukan proses dalam instans yang menggunakan mode normal untuk mengakses metadata.

  Sistem operasi yang didukung

  Alibaba Cloud Linux 3 Alibaba Cloud Linux 3 Pro Anolis OS 8 CentOS Stream 8/9 CentOS 8

  Ubuntu: 20/24 Debian:10,11,12 Fedora 35+ AlmaLinux 8/9 Rocky Linux 8/9

  Red Hat Enterprise Linux 8/9 Untuk Red Hat, Anda harus mengunduh paket RPM untuk memasang Agen Asisten Cloud. SUSE 15.1/15.2/15.3/15.4/15.5/15.6 OpenSuse 15.2/15.3/15.4/15.5/15.6

  Prosedur

  1. Instal dan aktifkan plugin Cloud Assistant

     Masuk ke instans ECS dan jalankan perintah berikut untuk memasang dan memulai layanan pemantauan. Setelah layanan ini diaktifkan, ia akan menggunakan beberapa sumber daya instans.

     # Pasang layanan pemantauan.
     sudo acs-plugin-manager --exec --plugin ACS-ECS-ImdsPacketAnalyzer
     
     # Periksa status layanan pemantauan.
     sudo systemctl status imds_tracer_tool

     

  2. Temukan proses bermasalah Jalankan perintah untuk memeriksa proses mana yang masih mengakses metadata dalam mode normal. Log menampilkan ID proses (PID) dari proses terkait.

     cat /var/log/imds/imds-trace.* | grep WARNING

     

  3. Analisis dan modifikasi Berdasarkan PID dalam log, temukan aplikasi atau skrip yang sesuai dan tingkatkan mereka untuk mengakses metadata dalam mode penguatan keamanan.