เหตุใด Bastion Host จึงเพิ่มความเสี่ยง

ในการดูแลระบบเซิร์ฟเวอร์ภายในเครือข่ายส่วนตัว โดยทั่วไปทีมงานจะใช้ โฮสต์ป้อมปราการ (เรียกอีกอย่างว่ากล่องกระโดด): อินสแตนซ์ที่เสริมความปลอดภัยและเปิดสู่เครือข่ายอินเทอร์เน็ต ซึ่งคุณจะเชื่อมต่อด้วย SSH ก่อน แล้วจึงกระโดดไปยังเครื่องภายใน แม้รูปแบบนี้จะพบได้ทั่วไป แต่ก็ขยายพื้นผิวการโจมตีในหลายด้าน ซึ่งการสอบ SCS-C02 คาดหวังให้คุณมองเห็นและกำจัด

โฮสต์ป้อมปราการอยู่ในซับเน็ตสาธารณะ โดยมีพอร์ต (โดยปกติคือ 22 สำหรับ SSH หรือ 3389 สำหรับ RDP) เปิดให้เครือข่ายอินเทอร์เน็ตหรือช่วง IP ขององค์กรเข้าถึงได้ ผู้ดูแลระบบจะเชื่อมต่อเข้ามายังโฮสต์นี้ แล้วจึงเข้าถึงอินสแตนซ์ส่วนตัว โฮสต์นี้เป็นประตูเดียวที่มีการป้องกันเข้าสู่สภาพแวดล้อม จึงมีทั้งความสำคัญสูงและเป็นเป้าหมายชั้นดี

ความเสี่ยงที่ใหญ่ที่สุดคือ พอร์ตรับข้อมูลขาเข้าที่เปิดอยู่ พอร์ต SSH หรือ RDP ใด ๆ ที่เข้าถึงได้จากอินเทอร์เน็ตจะถูกผู้โจมตีสแกนและโจมตีแบบเดารหัสผ่านอย่างต่อเนื่อง แม้จะใช้การยืนยันตัวตนด้วยกุญแจ พอร์ตที่เปิดเผยก็ยังเชื้อเชิญการโจมตี และการกำหนดค่าผิดพลาดหรือช่องโหว่ที่ยังไม่ได้ติดตั้งโปรแกรมแก้ไขเพียงจุดเดียวบนโฮสต์ป้อมปราการ อาจทำให้ผู้โจมตีตั้งหลักในเครือข่ายทั้งหมดของคุณได้

การเข้าถึงโฮสต์ป้อมปราการมักอาศัย คู่กุญแจ SSH ที่มีอายุการใช้งานยาวนาน ซึ่งแจกจ่ายให้ผู้ดูแลระบบ กุญแจเหล่านี้อาจถูกคัดลอก สูญหาย หรือยังคงอยู่ในแล็ปท็อปของพนักงานที่ลาออกแล้ว การหมุนเวียนกุญแจทั่วทั้งกลุ่มเครื่องทำได้ยุ่งยาก และแทบไม่มีบันทึกที่ชัดเจนว่ากุญแจใดเป็นผู้เปิดแต่ละเซสชัน ส่งผลให้ตรวจสอบความรับผิดชอบได้ยาก

การติดตามว่า ใครทำอะไร ผ่านโฮสต์ป้อมปราการทำได้ยาก SSH แบบดั้งเดิมมีการบันทึกแบบรวมศูนย์เกี่ยวกับคำสั่งที่เรียกใช้บนโฮสต์ปลายทางอยู่น้อยมาก การสืบสวนเหตุการณ์จึงต้องนำบันทึกจากโฮสต์ต่าง ๆ มาปะติดปะต่อกัน และหากโฮสต์ป้อมปราการถูกเจาะ ผู้โจมตีอาจลบร่องรอยของตนเองได้ ซึ่งตรงกับช่องว่างด้านการมองเห็นที่ผู้ตรวจสอบมักชี้ให้เห็น

ตัวโฮสต์ป้อมปราการเองก็เป็นอินสแตนซ์ที่คุณต้อง ติดตั้งโปรแกรมแก้ไขและเสริมความปลอดภัยอย่างต่อเนื่อง หากอัปเดตไม่ทัน โฮสต์นี้จะกลายเป็นจุดอ่อนที่สุด การดูแลกล่องกระโดดให้พร้อมใช้งานสูงและปลอดภัยอยู่เสมอเป็นภาระด้านปฏิบัติการอย่างต่อเนื่อง ซึ่งเพิ่มต้นทุนและความเสี่ยงโดยไม่ได้สร้างคุณค่าทางธุรกิจ

เนื่องจากการรับส่งข้อมูลด้านการดูแลระบบทั้งหมดไหลผ่านโฮสต์ป้อมปราการ โฮสต์นี้จึงเป็นทั้ง จุดล้มเหลวเพียงจุดเดียวและเป้าหมายมูลค่าสูง หากโฮสต์หยุดทำงาน ผู้ดูแลระบบจะสูญเสียการเข้าถึง หากถูกเจาะ ผู้โจมตีจะได้ฐานปล่อยการโจมตี การรวมความเสี่ยงไว้ในโฮสต์เดียวที่เปิดเผยเป็นสถาปัตยกรรมที่การสอบต้องการให้คุณหลีกเลี่ยง

AWS Systems Manager (SSM) Session Manager ช่วยขจัดความจำเป็นในการใช้โฮสต์ป้อมปราการโดยสิ้นเชิง โดยให้สิทธิ์เข้าถึงเชลล์ของอินสแตนซ์ผ่านบริการ SSM ด้วย ไม่มีพอร์ตรับข้อมูลขาเข้าที่เปิดอยู่ ไม่มี IP สาธารณะ และไม่มีกุญแจ SSH การเข้าถึงถูกควบคุมด้วย IAM และทุกเซสชันมีการบันทึก จึงแก้ไขจุดอ่อนทั้งหมดของรูปแบบโฮสต์ป้อมปราการได้ในคราวเดียว

SSM ทำงานได้เพราะอินสแตนซ์เรียกใช้ SSM Agent ซึ่งสร้างการเชื่อมต่อ ขาออกไปยังบริการ SSM โดยไม่มีการเปิดสิ่งใดสำหรับขาเข้า กลุ่มความปลอดภัยสามารถปฏิเสธการรับส่งข้อมูลขาเข้าทั้งหมดได้ และการดูแลระบบยังคงทำงานได้ การกลับแนวคิดจากขาเข้าเป็นขาออกนี้คือสาระสำคัญที่ทำให้โฮสต์ป้อมปราการไม่จำเป็นอีกต่อไป

ในการสอบ สถานการณ์ใดก็ตามที่กล่าวถึงพอร์ต SSH/RDP ที่เปิดอยู่ คู่กุญแจที่แจกจ่าย หรือกล่องกระโดด มักมีคำตอบที่ดีกว่าเสมอ นั่นคือเปลี่ยนจากโฮสต์ป้อมปราการมาใช้ Session Manager วิธีนี้ลดพื้นผิวการโจมตี รวมศูนย์การควบคุมการเข้าถึงไว้ใน IAM และสร้างบันทึกการตรวจสอบอย่างครบถ้วน ซึ่งเป็นการออกแบบที่ปลอดภัยและยึดหลักสิทธิ์น้อยที่สุดตามคำแนะนำของ AWS

โฮสต์ป้อมปราการเปิดเผยพอร์ตรับข้อมูลขาเข้า ต้องพึ่งพา กุญแจ SSH ที่ใช้งานอยู่ตลอด ตรวจสอบได้ไม่ดี และต้องติดตั้งโปรแกรมแก้ไขอยู่เสมอ จึงกลายเป็นเป้าหมายที่รวมความเสี่ยงไว้และดึงดูดผู้โจมตี การทดแทนที่แนะนำคือ SSM Session Manager ซึ่งให้สิทธิ์เข้าถึงเชลล์ที่ควบคุมด้วย IAM และบันทึกไว้อย่างครบถ้วน โดย ไม่มีพอร์ตที่เปิดอยู่ ไม่มี IP สาธารณะ และไม่มีกุญแจใด ๆ เลย

ทดสอบว่าเหตุใดโฮสต์ป้อมปราการจึงมีความเสี่ยง

โฮสต์ป้อมปราการเปิดพอร์ตรับข้อมูล SSH/RDP ขาเข้า อาศัย กุญแจ SSH ที่มีอายุการใช้งานยาวนาน ตรวจสอบได้ไม่ดี และต้องติดตั้งโปรแกรมแก้ไขอย่างต่อเนื่อง จึงรวมความเสี่ยงไว้ในเป้าหมายเดียวที่เปิดเผย SSM Session Manager เข้ามาแทนที่ด้วยการเข้าถึงที่ควบคุมด้วย IAM และบันทึกไว้อย่างครบถ้วนผ่านการเชื่อมต่อของเอเจนต์แบบ ขาออก โดยไม่ต้องมี พอร์ตที่เปิดอยู่ IP สาธารณะ หรือกุญแจ