CISecurity AMI EC2 Amazon

Question

CISecurity AMI EC2 Amazon

#1 de Jedi (1 votos)
#2 de eternaltyro (0 votos)

1

Nos estamos mudando a Amazon con nuestra infraestructura local y estoy tratando de seguir este documento para aumentar la seguridad de las instancias de EC2: CISecurity Benchmark para Amazon Linux

En el documento, se le pide que cree 6 particiones diferentes para: - / tmp - / var - / var / tmp - / var / log - / var / log / audit - / home

Quiero decir, ¿la creación de esas particiones separadas realmente aumenta la seguridad? Porque, en cuanto a costos, para mí, parece que aumenta significativamente el costo de cada instancia agregando 6 volúmenes de EBS diferentes para esas particiones ...

Gracias por compartir tus conocimientos.

audit amazon content-security-policy

pregunta metalraiden 18.11.2016 - 23:59

fuente

2 respuestas

Lea otras preguntas en las etiquetas audit amazon content-security-policy

Con SSL / TLS, ¿el intercambio previo de un certificado es fundamental para evitar un MITM activo inicial? ¿qué significan estos valores desconocidos de request_uri contra mi servidor web nginx?

score 1 · Answer 1

Esta es una amenaza de muy bajo riesgo y puede ignorarla en la mayoría de los casos.

Dicho esto, el documento explica la razón detrás de garantizar que existan particiones separadas para cada uno de los puntos de montaje que especificó. Dado que son de escritura mundial, corre el riesgo de agotar los recursos sin vincular los puntos de montaje a una partición separada. Además, las particiones de separación le permiten establecer un indicador noexec en los montajes que no deben contener ejecutables. Finalmente, facilita el cambio de tamaño en la nube.

Finalmente, no necesita 6 volúmenes EBS separados; /tmp podría ser montado usando ramdisk podría tener varias particiones para el mismo volumen físico.

score 0 · Answer 2

Como Jedi , es una amenaza de bajo riesgo. No necesita volúmenes separados tanto como particiones separadas, pero con las opciones de punto de montaje adecuadas (de nuevo, como dijo Jedi), noexec o ro , por ejemplo. He visto casos en los que inodes en la partición raíz se agotó debido a la generación de una gran cantidad de archivos y eso hizo que el servidor no funcionara porque ya no se podía escribir más en el disco.

A menos que consideres que /tmp es efímero (deberías), es decir. no necesita ninguno de los datos en /tmp para persistir los reinicios de la instancia, no debe montarlo como un disco ram.

Y siempre hay LVM .