Почему бастионные узлы повышают риск

Для администрирования серверов внутри приватной сети команды традиционно использовали бастионный узел (также называемый узлом-переходником): защищённый экземпляр, доступный из интернета, к которому сначала подключаются по SSH, а затем переходят на внутренние машины. Хотя этот подход распространён, он увеличивает поверхность атаки несколькими способами, которые ожидается распознавать и устранять на экзамене SCS-C02.

Бастионный узел находится в публичной подсети, где порт (обычно 22 для SSH или 3389 для RDP) открыт для интернета или корпоративного диапазона IP-адресов. Администраторы подключаются к нему, а затем получают доступ к приватным экземплярам. Это единственная охраняемая дверь в среду, поэтому узел одновременно критически важен и является приоритетной целью.

Наибольший риск представляет открытый входящий порт. Любой доступный из интернета порт SSH или RDP постоянно сканируется, а злоумышленники пытаются подобрать учётные данные. Даже при аутентификации по ключу открытый порт провоцирует атаки, а единственная ошибка настройки или неустранённая уязвимость на бастионном узле может дать злоумышленникам точку опоры во всей сети.

Доступ к бастионному узлу обычно основан на долгоживущих парах ключей SSH, распространённых среди администраторов. Эти ключи могут быть скопированы, утеряны или остаться на ноутбуках бывших сотрудников. Их ротация во всём парке машин затруднительна, а чёткой записи о том, какой ключ открыл какой сеанс, обычно нет, что подрывает подотчётность.

Отследить, кто и что сделал через бастионный узел, сложно. Встроенные средства SSH почти не обеспечивают централизованное ведение журналов выполненных команд на последующих узлах. Расследование инцидента требует объединять журналы разных узлов, а скомпрометированный бастион может позволить злоумышленнику стереть собственные следы — именно такой пробел в видимости отмечают аудиторы.

Сам бастионный узел — это экземпляр, который необходимо постоянно обновлять и защищать. Если обновления устанавливаются несвоевременно, он становится самым слабым звеном. Поддержание узла-переходника с высокой доступностью и постоянной защищённостью создаёт непрерывные операционные затраты, повышая стоимость и риск без бизнес-пользы.

Поскольку весь административный трафик проходит через бастионный узел, он является одновременно единой точкой отказа и ценной целью. При его отказе администраторы теряют доступ, а при взломе злоумышленник получает плацдарм для дальнейших действий. Концентрация риска в одном открытом узле — это архитектура, которой экзамен рекомендует избегать.

Systems Manager (SSM) от AWS полностью устраняет необходимость в бастионных узлах. Он предоставляет доступ к оболочке экземпляров через сервис SSM, используя никаких открытых входящих портов, публичного IP-адреса и ключей SSH. Доступ контролируется IAM, а каждый сеанс записывается в журнал, что одновременно устраняет все слабые места модели с бастионным узлом.

SSM работает благодаря тому, что на экземпляре запущен агент SSM, устанавливающий исходящее соединение с сервисом SSM; входящие соединения не открываются. Группы безопасности могут запрещать весь входящий трафик, и администрирование при этом продолжает работать. Именно этот переход от входящих соединений к исходящим делает бастионные узлы устаревшими.

На экзамене любой сценарий с открытыми портами SSH/RDP, распределёнными парами ключей или узлом-переходником почти всегда предполагает лучший ответ: заменить бастионный узел на Session Manager. Это уменьшает поверхность атаки, централизует управление доступом в IAM и создаёт полный аудиторский след — безопасную архитектуру с минимальными привилегиями, рекомендуемую AWS.

Бастионный узел открывает входящий порт, зависит от постоянно действующих ключей SSH, обеспечивает слабый аудит и требует постоянной установки исправлений, становясь концентрированной и привлекательной целью. Рекомендуемая замена — SSM Session Manager, который предоставляет управляемый через IAM доступ к оболочке с полной записью в журнал и без открытых портов, публичного IP-адреса и ключей.

Бастионный узел открывает входящий порт SSH/RDP, использует долгоживущие ключи SSH, обеспечивает слабый аудит и требует постоянной установки исправлений, концентрируя риск в одной доступной цели. SSM Session Manager заменяет его доступом под управлением IAM с полной записью в журнал через соединение агента исходящего направления, не требуя открытых портов, публичного IP-адреса или ключей.