Elastic Compute Service:Avoid using preset logon credentials in custom images

Verificar instâncias não conformes

Faça login em uma instância Linux usando o Workbench para realizar as seguintes verificações.

• Verificar contas de usuário suspeitas: Visualize o arquivo /etc/passwd para identificar usuários desconhecidos que você não criou ou que não são usuários padrão do sistema.

  cat /etc/passwd

• Verificar chaves públicas autorizadas pelo SSH: Inspecione os arquivos authorized_keys em locais críticos do sistema para ver quais chaves públicas estão configuradas para login sem senha.

  # Check the authorized public keys for the root user.
  cat /root/.ssh/authorized_keys
  
  # Check the authorized public keys for another user, such as 'admin'.
  cat /home/admin/.ssh/authorized_keys

  Revise cuidadosamente as chaves públicas nos arquivos para garantir que correspondam às chaves privadas em uso. Remova imediatamente quaisquer chaves públicas suspeitas ou não reconhecidas.

Bloqueio: Impedir o uso de senhas predefinidas

No nível organizacional ou da conta, use uma política do RAM para bloquear proativamente a criação de instâncias que utilizem a senha predefinida de uma imagem.

• Para usuários corporativos:

  1. Acesse o console do Resource Directory com sua conta Alibaba Cloud. No painel de navegação à esquerda, clique em Control Policies. Em seguida, crie uma política de permissão personalizada com o seguinte conteúdo JSON.

     Esta política nega a permissão para herdar a senha padrão de uma imagem ao criar uma instância ou substituir um disco do sistema.

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "ecs:RunInstances",
                     "ecs:CreateInstance",
                     "ecs:ReplaceSystemDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordInherit": [
                             "true"
                         ]
                     }
                 },
                 "Effect": "Deny"
             }
         ]
     }

  2. No Resource Directory, anexe a política ao nó apropriado. A política será então aplicada a todas as contas sob esse nó.

• Para usuários não corporativos:

  1. Acesse o console do RAM com sua conta Alibaba Cloud. No painel de navegação à esquerda, clique em Permission Policy e crie uma política personalizada com o mesmo conteúdo da seção anterior.

  2. Conceda permissões anexando políticas a usuários RAM, grupos de usuários RAM ou funções RAM.

Correção: Corrigir instâncias com senhas predefinidas

1. Definir novas credenciais de login

   • Instâncias Linux: Vincular um novo par de chaves

     1. Acesse a página ECS console - Instances, selecione uma região e um grupo de recursos e clique no ID da instância de destino para abrir sua página de detalhes.

     2. Clique em All Operations > Bind Key Pair, selecione um par de chaves existente e clique em OK. O novo par de chaves entra em vigor após reiniciar a instância.

   • Instâncias Windows: Redefinir a senha

     1. Acesse a página ECS console - Instances, selecione uma região e um grupo de recursos e clique no ID da instância de destino para ir à sua página de detalhes.

     2. Clique em All Operations > Reset Password, defina uma senha forte conforme solicitado e clique em OK.

2. Remover credenciais predefinidas originais (Linux)

   1. Faça login na instância ECS com suas novas credenciais. Use o novo par de chaves ou senha recém-configurado.

   2. Exclua chaves públicas antigas: Inspecione cuidadosamente todos os arquivos authorized_keys e limpe quaisquer chaves públicas antigas.

      # Edit the authorized_keys file for the root user and delete all unwanted public keys.
      vi /root/.ssh/authorized_keys
      
      # Perform the same operation for all other users.
      vi /home/<username>/.ssh/authorized_keys

   3. Desative a autenticação por senha: Após confirmar que consegue fazer login com sucesso usando o par de chaves, modifique a configuração do SSH para desativar a autenticação por senha. Isso garante que apenas a autenticação por par de chaves seja permitida.

      # 1. Edit the SSH configuration file.
      sudo vi /etc/ssh/sshd_config
      
      # 2. Find and modify the following lines.
      PasswordAuthentication no
      PubkeyAuthentication yes
      
      # 3. Restart the SSH service for the changes to take effect.
      sudo systemctl restart sshd

3. Limpar usuários e arquivos desnecessários do sistema

   Verifique os arquivos /etc/passwd e /etc/shadow para remover quaisquer contas de usuário desnecessárias remanescentes do processo de criação da imagem. Além disso, exclua quaisquer arquivos temporários ou scripts que possam conter informações sensíveis, como senhas ou chaves antigas.