Memcached Hardened

الوصف #

إن Imaxe Hardened Memcached صورة AMI لخدمة Memcached معزَّزة أمنيًا وجاهزة للإنتاج، صُمِّمت بديلًا مباشرًا لمنتج «Memcached packaged by Bitnami». تثبِّت Memcached بحزم Ubuntu القياسية — apt وsystemd ومسارات FHS، دون أشجار أحادية في /opt ولا مشرفين احتكاريين — فوق أساس imaxe المعزَّز.

فرقان أمنيان من المصنع مقارنةً بمنتج Bitnami: مصادقة SASL تأتي مفعَّلة (لا معطَّلة)، بكلمة مرور فريدة لكل نسخة، وحركة الشبكة مشفَّرة عبر TLS، بشهادة تُولَّد أيضًا في كل نسخة. ولأن آلية SASL الوحيدة في memcached هي PLAIN، فبدون TLS كانت كلمة المرور ستنتقل دون تشفير — وهذا لا يمكن أن يحدث هنا.

الباقي هو أساس imaxe المعزَّز: جدار حماية برفض افتراضي، وSSH مقوّى، وAppArmor في وضع enforce، وتدقيق عبر auditd، وسلامة الملفات مع AIDE، وكشف الجذور الخفية (rootkits) مع rkhunter، ومضاد فيروسات ClamAV، وحماية من هجمات القوة الغاشمة مع fail2ban. كل ذلك يُتحقق منه في كل نشر بتدقيق Lynis يمكنك قراءة تقريره الكامل أدناه.

دليل سريع: جاهز في 5 دقائق #

كل ما تحتاجه للانتقال من الصفر إلى ذاكرة تخزين مؤقت معزَّزة في الإنتاج.

إذا فضّلت القيام بذلك يدويًا، فالطريق الطويل خمس خطوات:

الميزات #

كل ما تتضمنه الصورة، مصنَّفًا بين ما هو قياسي وما هو من صنعنا.

عام

• Memcached 1.6 من الحزم الرسمية لـ Ubuntu 26.04 LTS ‏(resolute، ‏arm64)، مُدار عبر systemd — دون أشجار في /opt ولا نصوص برمجية احتكارية.
• أساس Ubuntu محدَّث في كل بناء، مع تصحيحات أمنية تلقائية (unattended-upgrades) مفعَّلة.
• جدار الحماية ufw برفض افتراضي: 22 ‏(SSH) و11211 ‏(memcached) فقط مسموحان محليًا؛ مجموعة أمان الـ Marketplace لا تنشر سوى المنفذ 22.
• SSH معزَّز: بلا root، بلا كلمات مرور، مفتاح عام فقط، تشفير حديث (ed25519، ‏chacha20-poly1305، ‏kex ما بعد الكم sntrup761x25519).
• AppArmor مع ملفات تعريف إضافية مثبَّتة وجميعها في وضع enforce.
• نواة معزَّزة عبر sysctl، ونقاط تركيب مع noexec,nosuid,nodev، و/proc مع hidepid=2.
• تدقيق كامل عبر auditd، وسلامة عبر AIDE وdebsums، ومضاد برمجيات خبيثة عبر rkhunter وClamAV، وfail2ban متكامل مع ufw.

مميزات خاصة

• SASL إلزامي من المصنع: المستخدم memcached بكلمة مرور فريدة لكل نسخة (الـ instance-id في الإقلاع الأول)، تُطبع في وحدة تحكم النظام في EC2 — حيث يبحث عنها القادم من Bitnami. لا شيء يُخبز في الـ AMI: كل نسخة تبدأ ببيانات اعتماد جديدة.
• TLS من المصنع على المنفذ 11211 (بحد أدنى TLS 1.2): شهادة موقَّعة ذاتيًا تُصدر في كل نسخة — مفتاح EC P-256، والـ instance-id كـ CN، وعناوين IP وأسماء النسخة كـ SAN — قبل أن تنطلق الخدمة. يمكنك تثبيت شهادتك الخاصة.
• المنفذ 11212 دون تشفير على loopback فقط، لأدوات النظام (memcstat وأمثالها لا تتحدث TLS). يظل يفرض SASL وغير قابل للوصول من الخارج.
• UDP معطَّل تصريحًا (-U 0): بروتوكول UDP في memcached هو الوسيلة الكلاسيكية لهجمات تضخيم DDoS.
• ضبط تلقائي في كل إقلاع: يعيد imaxe memcached optimize حساب ذاكرة التخزين المؤقت والاتصالات والخيوط وفق المعالج والذاكرة الفعليين — أوقف النسخة، وغيِّر النوع، وأقلع، فيُعاد ضبط حجم الذاكرة المؤقتة تلقائيًا.
• إدارة مستخدمي SASL دون إعادة تشغيل: ‏imaxe memcached users add/rotate/delete — تُقرأ قاعدة SASL عند كل مصادقة ولا تُفرَّغ ذاكرة التخزين المؤقت.
• أداة imaxe مضمَّنة: واجهة CLI لتشغيل الخدمة وبيانات الاعتماد والشهادة وكل التعزيز الأمني دون تحرير الملفات يدويًا.
• تدقيق Lynis في كل نشر، مع التقرير الكامل منشورًا في هذه الصفحة.

وحدات imaxe

وحدات أداة imaxe المخبوزة في هذه الـ AMI، مع توثيقها:

تحديد الحجم والتكاليف #

تعمل الـ AMI على أي نسخة arm64 ‏(Graviton) في AWS وتضبط حجمها تلقائيًا: في كل إقلاع، يخصِّص imaxe memcached optimize لذاكرة التخزين المؤقت 60 % من الذاكرة القابلة للاستخدام (بعد حجز 512 MB لنظام التشغيل والوكلاء) ويشتق الخيوط والاتصالات من حجم النسخة. اختر النوع حسب حجم الذاكرة المؤقتة التي تحتاجها: ذاكرة أكبر = ذاكرة مؤقتة أكبر، دون لمس الإعدادات. النسخة الموصى بها للبداية هي t4g.medium، وعليها نفسها تُنفَّذ عمليات بناء واختبار هذه الصورة.

تقارير Lynis #

نتيجة تدقيق التعزيز الأمني Lynis لكل إصدار منشور: مؤشر التعزيز، والتحذيرات، والاقتراحات، مع التقرير الكامل سطرًا بسطر.

الإصدارات المتاحة #

إصدارات هذه الـ AMI المنشورة في AWS Marketplace:

دورة الحياة

الإصدار v2.0 هو الإصدار الحالي، نشط ومصان: تصل تصحيحات أمان Ubuntu إلى النسخ تلقائيًا عبر unattended-upgrades، وننشر إصدارات جديدة من الـ AMI في الـ Marketplace بوتيرة منتظمة، لكل منها تدقيق Lynis الخاص به. عند صدور إصدار جديد سيظهر في هذا الجدول وفي سجل التغييرات.

كيفية إطلاق الـ AMI #

تتبع الـ AMI مسار الإطلاق القياسي في EC2 على نسخ arm64 ‏(Graviton). مجموعة أمان الـ Marketplace لا تنشر سوى منفذ واحد:

بعد التشغيل — SSH: المستخدم ubuntu بزوج المفاتيح المختار عند الإطلاق. لا يوجد مستخدم root يمكن الوصول إليه ولا مصادقة بكلمة مرور. بيانات اعتماد ذاكرة التخزين المؤقت: مستخدم SASL ‏memcached بالـ instance-id ككلمة مرور أولية، مرئية في وحدة تحكم النظام في EC2 أو عبر SSH:

ssh -i mi-keypair.pem ubuntu@<ip-de-la-instancia>
sudo imaxe memcached credentials      # usuario, password y puerto
imaxe memcached tls show              # huella del certificado de esta instancia

memcstat --binary --servers=127.0.0.1:11212 --username=memcached \
         --password=$(sudo imaxe memcached credentials --show-password --json | jq -r .password)

sudo install -m 0644 -o root -g root mi.crt /etc/memcached/tls/server.crt
sudo install -m 0640 -o root -g memcache mi.key /etc/memcached/tls/server.key
sudo rm -f /etc/memcached/tls/.generated-for   # sin testigo, el módulo no lo toca
sudo systemctl restart memcached

النسخ الاحتياطية والتحديثات #

• تصحيحات تلقائية: يطبّق unattended-upgrades تحديثات أمان Ubuntu يوميًا، دون تدخل.
• تواقيع مضاد الفيروسات: يحدّث freshclam قاعدة ClamAV ‏24 مرة في اليوم.
• صور AMI جديدة: ننشر إصدارات محدَّثة من الصورة في الـ Marketplace بوتيرة منتظمة؛ يجتاز كل إصدار تدقيق Lynis الخاص به قبل النشر.
• النسخ الاحتياطي: غير موجود، عن قصد. Memcached ذاكرة تخزين مؤقت متطايرة: يضيع محتواها عند كل إعادة تشغيل ولا يجوز أن تحوي النسخة الوحيدة من أي بيانات. لا شيء يُنسخ احتياطيًا ولا يُستعاد.

حل المشكلات #

المشكلات التي تتركّز فيها معظم التذاكر، مع سببها المعتاد والحل.

الأسئلة الشائعة #

سجل التغييرات #

تاريخ الـ AMI. تقابل التواريخ نشرَ كل إصدار في AWS Marketplace.