Bastion Ana Bilgisayarlarının Neden Risk Eklediği

Özel bir ağ içindeki sunucuları yönetmek için ekipler geleneksel olarak bir bastion sunucusu (atlama kutusu olarak da adlandırılır) kullanırdı: önce SSH ile bağlanılan, ardından iç makineler üzerinden geçilen, güçlendirilmiş ve internete açık bir örnek. Yaygın olsa da bu model, SCS-C02 sınavında tanımanız ve ortadan kaldırmanız beklenen çeşitli yollarla saldırı yüzeyinizi genişletir.

Bir bastion sunucusu, internete veya kurumsal bir IP aralığına açık bir bağlantı noktasıyla (genellikle SSH için 22 veya RDP için 3389) genel alt ağda bulunur. Yöneticiler önce buna bağlanır, ardından özel örneklere ulaşır. Ortama açılan korunan tek kapı olması, onu hem kritik hem de başlıca bir hedef hâline getirir.

En büyük risk açık gelen bağlantı noktasıdır. İnternete erişilebilen her SSH veya RDP bağlantı noktası saldırganlar tarafından sürekli taranır ve kaba kuvvet saldırılarına maruz kalır. Anahtar tabanlı kimlik doğrulama kullanılsa bile açık bir bağlantı noktası saldırıları davet eder; bastion sunucusundaki tek bir yanlış yapılandırma veya giderilmemiş güvenlik açığı, saldırganlara tüm ağınıza giriş noktası sağlayabilir.

Bastion erişimi genellikle yöneticilere dağıtılan uzun ömürlü SSH anahtar çiftlerine dayanır. Bu anahtarlar kopyalanabilir, kaybolabilir veya eski çalışanların dizüstü bilgisayarlarında kalabilir. Bunları bir sunucu filosu genelinde yenilemek zahmetlidir ve hangi anahtarın hangi oturumu açtığına dair düzenli bir kayıt çoğu zaman bulunmaz; bu da hesap verebilirliği zayıflatır.

Bastion üzerinden kimin ne yaptığını izlemek zordur. Yerel SSH, alt sunucularda çalıştırılan komutlara ilişkin merkezi bir kayıt olanağı sunmaz. Bir olayı araştırmak, sunucu kayıtlarını bir araya getirmeyi gerektirir; güvenliği ihlal edilmiş bir bastion sunucusu saldırganın kendi izlerini silmesine izin verebilir. Bu, denetçilerin özellikle dikkat çektiği görünürlük eksikliğidir.

Bastion sunucusunun kendisi, sürekli olarak yamalamanız ve güçlendirmeniz gereken bir örnektir. Güncellemelerin gerisinde kalırsa en zayıf halka hâline gelir. Yüksek erişilebilirliğe sahip ve her zaman güvenli bir atlama kutusunu korumak, iş değerine katkı sağlamadan maliyet ve risk ekleyen sürekli bir operasyon yüküdür.

Tüm yönetim trafiği bastion üzerinden aktığı için bu sunucu hem tek hata noktası hem de yüksek değerli bir hedeftir. Devre dışı kalırsa yöneticiler erişimi kaybeder; güvenliği ihlal edilirse saldırgan bir sıçrama noktası kazanır. Riski açıkta bulunan tek bir sunucuda yoğunlaştırmak, sınavın kaçınmanızı istediği bir mimaridir.

AWS Systems Manager (SSM) Session Manager, bastion sunucularına duyulan ihtiyacı tamamen ortadan kaldırır. SSM hizmeti üzerinden örneklere kabuk erişimi sağlar; bunun için açık gelen bağlantı noktası, genel IP veya SSH anahtarı gerekmez. Erişim IAM tarafından denetlenir ve her oturum kaydedilir; böylece bastion modelinin tüm zayıflıkları aynı anda giderilir.

SSM, örnekte çalışan bir SSM Agent'ın SSM hizmetine giden bağlantı kurması sayesinde çalışır; gelen hiçbir bağlantı açılmaz. Güvenlik grupları gelen tüm trafiği reddedebilir ve yönetim yine de çalışır. Gelen trafik yerine giden trafiğin kullanılması, bastion sunucularını gereksiz kılan temel fikirdir.

Sınavda açık SSH/RDP bağlantı noktalarını, dağıtılmış anahtar çiftlerini veya bir atlama kutusunu tanımlayan senaryoların neredeyse her zaman daha iyi bir yanıtı vardır: bastion sunucusunu Session Manager ile değiştirin. Bu yaklaşım saldırı yüzeyini küçültür, erişim denetimini IAM'de merkezileştirir ve AWS'nin önerdiği güvenli, en az ayrıcalıklı tasarım olan eksiksiz bir denetim izi oluşturur.

Bir bastion sunucusu gelen bir bağlantı noktasını açığa çıkarır, kalıcı SSH anahtarlarına dayanır, yetersiz denetlenir ve sürekli yamalanmalıdır; bu da onu yoğunlaşmış ve cazip bir hedef hâline getirir. Önerilen alternatif, SSM Session Manager'dır. Bu hizmet, hiçbir açık bağlantı noktası, genel IP veya anahtar olmadan IAM tarafından denetlenen ve tümüyle kaydedilen kabuk erişimi sağlar.

Bastion sunucularının neden riskli olduğunu sınayın.

Bir bastion sunucusu gelen bir SSH/RDP bağlantı noktası açar, uzun ömürlü SSH anahtarlarına dayanır, yetersiz denetlenir ve sürekli yama gerektirir; böylece riski açıkta bulunan tek bir hedefte yoğunlaştırır. SSM Session Manager, onu giden bir aracı bağlantısı üzerinden IAM tarafından denetlenen ve tümüyle kaydedilen erişimle değiştirir; açık bağlantı noktası, genel IP veya anahtar gerekmez.