本文通過(guò)實(shí)操，介紹了EC2的基本使用，并在功能、安全性上與其他廠商進(jìn)行對(duì)比。
什么是EC2
EC2(Elastic Compute Cloud)是AWS云中的服務(wù)器，提供按需、可擴(kuò)展的計(jì)算能力。本文以Linux為例。下圖是EC2的位置。
Instance就是EC2，它被Security group(安全組)保護(hù)著，持久性存儲(chǔ)使用了EBS( Elastic Block Store)。在安全組外面是子網(wǎng)，子網(wǎng)外面是VPC，VPC通過(guò)網(wǎng)關(guān)與外部通信。
啟動(dòng)一個(gè)EC2實(shí)例
名稱隨意，上面默認(rèn)，創(chuàng)建一個(gè)密鑰對(duì)。
點(diǎn)擊啟動(dòng)實(shí)例，之后可以在控制臺(tái)看到實(shí)例信息。
連接一個(gè)實(shí)例
前面為了快速創(chuàng)建，都是默認(rèn)的，默認(rèn)的安全組是不同的，需要先創(chuàng)建一個(gè)安全組，開通22端口。
添加入站規(guī)則
選擇新建的安全組即可
控制臺(tái)
ssh
給密鑰權(quán)限后使用ssh登錄即可。
Security groups
安全組是云服務(wù)器級(jí)別的防火墻，一個(gè)云服務(wù)器可以綁定多個(gè)安全組，一個(gè)安全組也可以被多個(gè)云服務(wù)器綁定。安全組由入站規(guī)則和出站規(guī)則組成。
規(guī)則
規(guī)則主要由以下字段組成：
- 協(xié)議：允許的協(xié)議。最常見的協(xié)議是 6 (TCP)、17 (UDP) 和 1 (ICMP)。
- 端口范圍：對(duì)于 TCP、UDP 或自定義協(xié)議，允許的端口范圍。您可以指定單個(gè)端口號(hào)（例如22）或端口號(hào)范圍（例如 7000-8000）或all。
- 源或目標(biāo)：允許的流量的源（入站規(guī)則）或目標(biāo)（出站規(guī)則）。指定以下選項(xiàng)之一：
- 單個(gè) IPv4 地址。您必須使用/32前綴長(zhǎng)度。例如， 203.0.113.1/32。
- 以 CIDR 塊表示法表示的 IPv4 地址范圍。例如， 203.0.113.0/24。
- 單個(gè) IPv6 地址。您必須使用/128前綴長(zhǎng)度。例如， 2001:db8: 1234:1a00::123/128.
- IPv6 地址范圍，采用 CIDR 塊表示法。例如， 2001:db8: 1234:1a00::/64.
- 前綴列表ID。例如， pl-1234abc1234abc123. 有關(guān)更多信息，請(qǐng)參閱Amazon VPC 用戶指南 中的前綴列表。
- 安全組（此處稱為指定安全組）的ID。例如，當(dāng)前安全組、同一 VPC 的安全組或?qū)Φ?VPC 的安全組。這允許基于與指定安全組關(guān)聯(lián)的資源的私有 IP 地址的流量。這不會(huì)將指定安全組中的規(guī)則添加到當(dāng)前安全組。
規(guī)則由以下特點(diǎn)：
- 允許入的，默認(rèn)允許出，不必再設(shè)置出規(guī)則。
- 規(guī)則默認(rèn)都是允許，沒有拒絕。
默認(rèn)安全組與自定義安全組
默認(rèn)安全組允許所有出流量，但入流量?jī)H允許綁定該安全組的資源。
自定義安全組允許所有出流量，入流量不允許，需要添加規(guī)則來(lái)進(jìn)行控制進(jìn)出流量。
安全性
操作系統(tǒng)安全
EC2安裝了操作系統(tǒng)，在創(chuàng)建時(shí)可以使用開源的操作系統(tǒng)，如果出現(xiàn)問題，也將影響AWS EC2對(duì)應(yīng)的實(shí)例。
密鑰泄漏
ssh的密鑰文件一般很少泄漏，不過(guò)用戶也可以修改sshd，啟用賬號(hào)密碼登錄。
部署應(yīng)用安全
EC2上面如果部署應(yīng)用，應(yīng)用有漏洞，也可能影響EC2實(shí)例。
元數(shù)據(jù)造成SSRF漏洞出現(xiàn)時(shí)敏感信息泄漏
訪問metadata能夠獲取以下信息
local-ipv4、public-ipv4、security-groups、identity-credentials等是比較敏感的信息，當(dāng)然AWS是默認(rèn)不開啟元數(shù)據(jù)的，并且使用IMSV2(實(shí)例元數(shù)據(jù)服務(wù)版本2)來(lái)解決了普通的GET型SSRF問題（攻擊者可控URL）。
用戶數(shù)據(jù)類似
網(wǎng)絡(luò)設(shè)置錯(cuò)誤
安全組配置錯(cuò)誤時(shí)，可能造成一臺(tái)EC2被攻擊后，其他EC2也被掃描出來(lái)。
廠商對(duì)比
| 對(duì)比項(xiàng) | AWS | 阿里云 | 華為云 |
|---|---|---|---|
| 密鑰泄漏 | 默認(rèn)密鑰文件登錄 | 默認(rèn)賬號(hào)密碼登錄 | 默認(rèn)賬號(hào)密碼登錄 |
| 安全組 | 只能添加允許規(guī)則 | 可以允許或拒絕，有優(yōu)先級(jí)字段，相同時(shí)拒絕優(yōu)先 | 和阿里云類似 |
| 元數(shù)據(jù)服務(wù) | 提供了IMSV2來(lái)防御GET型SSRF | 通過(guò)加固模式防御GET型SSRF | 需要租戶自己解決，且元數(shù)據(jù)過(guò)多 |
參考
EC2用戶指南
如何安全設(shè)置AWS EC2
針對(duì)AWS EC2的SSRF攻擊
IMSV2仍有SSRF攻擊文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-715085.html
阿里云-云服務(wù)器ECS
華為云-彈性云服務(wù)器ECS文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-715085.html
到了這里，關(guān)于云原生-AWS EC2使用、安全性及國(guó)內(nèi)廠商對(duì)比的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
