¿Algún riesgo conocido con Elastic File System?

1

Quiero darles a algunos de mis clientes la capacidad de escribir archivos a través de SFTP, que luego puedo leer desde mi servidor principal.

Ya que estoy usando EC2, para hacerlo simplemente abrí un Elastic File System (EFS) y lo monté en dos servidores: en mi servidor principal, que es lo que quiero proteger, y en un nuevo micro servidor que No me importa y se utiliza para permitir sftp a través de nombre de usuario y contraseña. El micro servidor permite la conexión SSH sin claves.

Ahora asumiendo lo siguiente:

  1. No tengo nada de importancia en el micro servidor.
  2. Nunca ejecuto los archivos que leo desde el EFS en mi servidor principal, sus únicos archivos de datos.
  3. No me importa si diferentes clientes anulan los archivos de cada uno.

¿Hay alguna amenaza por la que deba preocuparme? ¿Algún posible ataque conocido?

Por ejemplo, digamos que un usuario malintencionado de alguna manera se apodera completamente del micro servidor y tiene privilegios de root, ¿puede de alguna manera penetrar en el servidor principal a través del EFS? ¿Hay algún dato secreto que Amazon haya puesto en mi caso que pueda robar? (como mi ID de cuenta, claves, etc.)

Si me equivoco por completo y alguien se hace cargo del servidor de micro sftp, ¿sigue siendo seguro mi servidor principal?

    
pregunta Ronen Ness 21.02.2017 - 15:56
fuente

1 respuesta

3

Depende de la configuración de su red y servidores.

Si su servidor principal no tiene una ruta a Internet, es posible que esté proporcionando un bastión que puede iniciar Un ataque del micro al servidor principal. Si el servidor principal tiene una IP pública que no se aplica.

Yo pondría los dos servidores en diferentes subredes, o quizás incluso en VPC separadas. Eso evitaría que el micro servidor ataque al servidor principal: si no puede acceder, no puede atacar. Usted querrá asegurarse de que los usuarios que pueden iniciar sesión en el micro servidor no tengan cuentas en el servidor principal, lo que significa que usan diferentes certificados.

Evitaría dar una IP pública al servidor principal. Póngalo detrás de un Elastic Load Balancer (ELB) , que además de equilibrar la carga proporciona protección contra muchas amenazas, incluida la capa 4 y Ataques de la capa 7 - incluyendo DDOS. Puede usar AWS WAF para obtener protección adicional. ELB incluye AWS Shield .

Suponiendo que su micro servidor no puede acceder a su servidor principal, la pregunta es si EFS proporciona otro medio para atacar al servidor principal. EFS es solo un recurso compartido de NFS alojado donde se le factura por uso.

Personalmente no veo ninguna forma en que se pueda utilizar EFS para atacar el servidor principal. Eso no quiere decir que no haya una manera, solo que no puedo ver una.

    
respondido por el Tim 22.03.2017 - 02:07
fuente

Lea otras preguntas en las etiquetas