Sebab Hos Bastion Menambah Risiko

Untuk mentadbir pelayan dalam rangkaian persendirian, pasukan secara tradisinya menggunakan hos bastion (juga dipanggil kotak lompat): tika yang diperkukuh dan menghadap internet, yang anda sambungkan melalui SSH terlebih dahulu sebelum melompat ke mesin dalaman. Walaupun lazim digunakan, corak ini meluaskan permukaan serangan anda dalam beberapa cara yang dijangka anda kenal pasti dan hapuskan dalam peperiksaan SCS-C02.

Hos bastion berada dalam subnet awam dengan satu port (biasanya 22 untuk SSH atau 3389 untuk RDP) yang dibuka kepada internet atau julat IP korporat. Pentadbir menyambung kepadanya sebelum mencapai tika persendirian. Ia ialah pintu tunggal yang dikawal ke dalam persekitaran, menjadikannya penting dan juga sasaran utama.

Risiko terbesar ialah port masuk yang terbuka. Mana-mana port SSH atau RDP yang boleh dicapai melalui internet sentiasa diimbas dan diserang secara cuba jaya oleh penyerang. Walaupun menggunakan pengesahan berasaskan kunci, port yang terdedah mengundang serangan, dan satu salah konfigurasi atau kerentanan yang tidak ditampal pada bastion boleh memberikan penyerang tapak mula ke seluruh rangkaian anda.

Akses bastion biasanya bergantung pada pasangan kunci SSH yang bertahan lama dan diedarkan kepada pentadbir. Kunci ini boleh disalin, hilang atau tertinggal pada komputer riba bekas pekerja. Menukarnya merentasi sekumpulan pelayan amat menyusahkan, dan jarang terdapat rekod yang jelas tentang kunci yang membuka sesi tertentu, sekali gus menjejaskan kebertanggungjawaban.

Menjejaki siapa melakukan apa melalui bastion adalah sukar. SSH asli menyediakan sedikit pencatatan berpusat tentang arahan yang dijalankan pada hos hiliran. Penyiasatan insiden memerlukan anda menggabungkan log hos, dan bastion yang terjejas boleh membolehkan penyerang memadam jejaknya sendiri, tepat seperti jurang keterlihatan yang dibangkitkan oleh juruaudit.

Bastion itu sendiri ialah tika yang mesti anda tampal dan perkukuh secara berterusan. Jika kemas kininya ketinggalan, ia menjadi pautan paling lemah. Mengekalkan kotak lompat yang tersedia tinggi dan sentiasa selamat ialah beban operasi berterusan yang menambah kos dan risiko tanpa memberikan nilai perniagaan.

Oleh sebab semua trafik pentadbiran melalui bastion, ia merupakan satu titik kegagalan dan sasaran bernilai tinggi. Jika ia terhenti, pentadbir kehilangan akses; jika ia diceroboh, penyerang memperoleh tapak pelancaran. Menumpukan risiko pada satu hos terdedah ialah seni bina yang mahu anda elakkan dalam peperiksaan.

Systems Manager (SSM) AWS dengan SSM Session Manager menghapuskan keperluan terhadap bastion sepenuhnya. Ia menyediakan akses cangkerang kepada tika melalui perkhidmatan SSM dengan tiada port masuk terbuka, tiada IP awam dan tiada kunci SSH. Akses dikawal oleh IAM dan setiap sesi dicatat, sekali gus menangani semua kelemahan model bastion serentak.

SSM berfungsi kerana tika menjalankan SSM Agent yang membuat sambungan keluar kepada perkhidmatan SSM; tiada apa-apa sambungan masuk dibuka. Kumpulan keselamatan boleh menolak semua trafik masuk dan pentadbiran masih berfungsi. Pembalikan ini, iaitu keluar dan bukannya masuk, ialah wawasan utama yang menjadikan bastion tidak lagi diperlukan.

Dalam peperiksaan, sebarang senario yang menerangkan port SSH/RDP terbuka, pasangan kunci yang diedarkan atau kotak lompat hampir selalu mempunyai jawapan yang lebih baik: gantikan bastion dengan Session Manager. Ini mengecilkan permukaan serangan, memusatkan kawalan akses dalam IAM dan menghasilkan jejak audit lengkap, iaitu reka bentuk selamat dengan keistimewaan minimum yang disyorkan AWS.

Hos bastion mendedahkan port masuk, bergantung pada kunci SSH kekal, mempunyai pengauditan yang lemah dan mesti sentiasa ditampal, menjadikannya sasaran yang tertumpu dan menarik. Pengganti yang disyorkan ialah SSM Session Manager, yang memberikan akses cangkerang dikawal IAM dan dicatat sepenuhnya dengan tiada port terbuka, IP awam atau kunci langsung.

Hos bastion membuka port SSH/RDP masuk, bergantung pada kunci SSH yang bertahan lama, mempunyai pengauditan yang lemah dan memerlukan penampalan berterusan, sekali gus menumpukan risiko pada satu sasaran terdedah. SSM Session Manager menggantikannya dengan akses dikawal IAM dan dicatat sepenuhnya melalui sambungan ejen keluar, yang memerlukan tiada port terbuka, IP awam atau kunci.