Image/snapshot permission management and data breach prevention - Elastic Compute Service

Kimlik bilgilerinin, kullanıcı verilerinin ve sistem izlerinin yanlışlıkla açığa çıkmasını önlemek için görüntü dışa aktarma ve paylaşma izinlerini kısıtlayın.

Güvenlik riskleri

Görüntü paylaşımı ve dışa aktarma dağıtım verimliliğini artırır ancak veri güvenliği riskleri de beraberinde getirir. Yanlış yapılandırılmış izinler veya temizlenmemiş görüntüler temel kodları, ortam yapılandırmalarını ve hassas verileri sızdırabilir. Örneğin, bir çalışan kimlik bilgilerini ele geçirmek amacıyla üretim ortamına ait bir görüntüyü dışa aktarabilir; görüntüdeki kalan test verileri ve geçici kimlik bilgileri ise görüntü paylaşıldığında açığa çıkabilir. Belirli riskler şunlardır:

Statik veri anlık görüntüleri: Görüntüler ve anlık görüntüler, bir ECS örneğinin belirli bir andaki tam durumunu yakalar. Buna işletim sistemi, uygulama dosyaları ve aşağıdaki gibi hassas veriler dahildir:
- Kimlik bilgileri: SSH özel anahtarları, API AccessKey'leri, veritabanı bağlantı dizeleri ve uygulama parolalarının kod içine sabit olarak yazılması.
- Kullanıcı verileri: Şirketin temel kodları, veritabanı bilgileri ve özel kullanıcı verileri.
- Sistem izleri: Kabuk komut geçmişi (.bash_history), geçici dosyalar ile uygulama günlükleri ve önbellekler.
İzin sapması riski: Paylaşım ve dışa aktarma işlemleri veri erişimini kontrollü bir ortamdan daha geniş ve bazen kontrol edilemeyen bir kapsamaya yayar. Hassas bilgi içeren bir görüntünün yanlış hesapla paylaşılması veya çevrimdışı bir ortama dışa aktarılması durumunda veriler kötü niyetli kişiler tarafından kötüye kullanılabilir.

En iyi uygulamalar

Görüntü oluşturma

Bir görüntü oluşturmadan önce örnekte oturum açın ve hassas bilgileri kaldırın. Bir görüntü SSH anahtarları gibi oturum açma kimlik bilgileri içeriyorsa bu kimlik bilgileri görüntüden oluşturulan yeni örneklerde kalıcı olur; örnek oluşturma sırasında yeni bir anahtar çifti ekleseniz veya yeni bir parola ayarlasanız bile durum değişmez.

Kullanıcı parola bilgilerini temizleyin:
- Linux: /etc/shadow ve /etc/passwd dosyalarından gereksiz kullanıcı girdilerini kaldırın.
- Windows: Görüntüyü genelleştirmek için Sistem Hazırlama (Sysprep) aracını çalıştırın. Bu işlem SID'yi sıfırlar, kullanıcı bilgilerini temizler ve sonraki başlatmada yeni bir hesap veya yönetici parolası gerektirir. Ayrıca Yerel Kullanıcılar ve Gruplar'da (lusrmgr.msc) gereksiz yerel hesapları silin.
Tüm SSH anahtarlarını silin:
- Linux: /root/.ssh ve tüm kullanıcı ana dizinlerinden (/home/*/.ssh) anahtar dosyalarını (özellikle id_rsa ve authorized_keys) silin.
- Windows: C:\Users\Administrator\.ssh ve tüm kullanıcı ana dizinlerinden (C:\Users\*\\.ssh) anahtar dosyalarını silin. Ayrıca Kimlik Bilgisi Yöneticisi'ndeki önbelleğe alınmış kimlik bilgilerini temizleyin.
Kabuk geçmişini temizleyin:
- Linux: history -c komutunu çalıştırın ve /root/ ile tüm kullanıcı ana dizinlerinden (/home/*/) .bash_history dosyasını silin.
- Windows: Geçerli PowerShell oturumu geçmişini temizlemek için Clear-History komutunu çalıştırın. Ardından genellikle AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt konumunda bulunan tüm kullanıcılar için PowerShell geçmiş dosyasını silin.
Geçici dosyaları ve günlükleri temizleyin:
- Linux: /tmp ve /var/tmp dizinlerini temizleyin. /var/log altındaki günlükleri inceleyin ve temizleyin.
- Windows: Sistem geçici dosyalarını, geri dönüşüm kutusunu ve diğer öğeleri temizlemek için Disk Temizleme (cleanmgr.exe) aracını çalıştırın. Uygulama, güvenlik ve sistem günlükleri gibi tüm önemli Windows Olay günlüklerini temizlemek için wevtutil cl <LogName> komutunu (örneğin, wevtutil cl System) veya Olay Görüntüleyicisi'ni kullanın.
Kod içine sabit yazılmış kimlik bilgilerini kaldırın: Uygulama kodunu ve yapılandırma dosyalarını; veritabanı parolaları veya API anahtarları gibi kod içine sabit yazılmış hassas bilgilere karşı denetleyin.
İş verilerini ve uygulama önbelleklerini temizleyin: Web sunucuları, veritabanları ve diğer uygulamalardaki iş verilerini ve önbellek dizinlerini temizleyin.

Uyumluluk yetenekleri

Görüntü dışa aktarmayı ve görüntü/anlık görüntü paylaşımını engelleyin

Düşük güven düzeyine sahip RAM kullanıcıları veya kullanıcı grupları için çekirdek görüntü varlıkları üzerinde yüksek riskli işlemleri — özellikle görüntü dışa aktarma, görüntü paylaşma ve anlık görüntü paylaşma — yasaklamak amacıyla Reddet ilkesi kullanın. Organizasyon veya hesap düzeyinde bu kısıtlamaları uygulamak için bir RAM ilkesi kullanın.

Kurumsal kullanıcılar için:

Alibaba Cloud hesabınızla Resource Directory konsolunda oturum açın. Sol menü çubuğunda Control Policy seçeneğine tıklayın, özel bir ilke oluşturun ve aşağıdaki JSON içeriğini yapıştırın.

Bu ilke, görüntü dışa aktarma, görüntü paylaşma ve anlık görüntü paylaşma işlemlerini reddeder.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:ExportImage",
                "ecs:ModifyImageSharePermission"
            ],
            "Resource": "*",
            "Effect": "Deny"
        },
        {
            "Action": [
                "resourcesharing:CreateResourceShare",
                "resourcesharing:AssociateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "resourcesharing:RequestedResourceType": [
                        "Snapshot",
                        "Image"
                    ]
                }
            },
            "Effect": "Deny"
        }
    ]
}

Resource Directory'de bir düğüm seçin ve ilkeyi iliştirin. İlke, bu düğüm altındaki tüm hesaplar için belirtilen işlemleri engeller.

Kurumsal olmayan kullanıcılar için:
1. Alibaba Cloud hesabınızla RAM konsolunda oturum açın. Sol gezinme bölmesinde Permission Policy seçeneğine tıklayın. Aynı içeriğe sahip özel bir ilke oluşturun.
2. İlkeyi bir RAM kullanıcısına, RAM kullanıcı grubuna veya RAM rolüne iliştirin. Bkz. Erişim ilkesi yetkilendirmesini yönetme.