Memcached Hardened

Beschreibung #

Imaxe Hardened Memcached ist eine gehärtete, produktionsreife AMI von Memcached, gedacht als direkter Ersatz für «Memcached packaged by Bitnami». Memcached wird mit den Standardpaketen von Ubuntu installiert — apt, systemd und FHS-Pfade, ohne monolithische Bäume unter /opt und ohne proprietäre Supervisoren — auf der gehärteten Imaxe-Basis.

Zwei Sicherheitsunterschiede ab Werk gegenüber dem Bitnami-Produkt: Die SASL-Authentifizierung ist aktiviert (nicht deaktiviert), mit einem einmaligen Passwort pro Instanz, und der Netzwerkverkehr ist mit TLS verschlüsselt, mit einem ebenfalls auf jeder Instanz erzeugten Zertifikat. Da der einzige SASL-Mechanismus von memcached PLAIN ist, würde das Passwort ohne TLS im Klartext übertragen — das kann hier nicht passieren.

Der Rest ist die gehärtete Imaxe-Basis: Firewall mit Default-Deny, gehärtetes SSH, AppArmor im Enforce-Modus, Auditing mit auditd, Dateiintegrität mit AIDE, Rootkit-Erkennung mit rkhunter, ClamAV-Antivirus und Brute-Force-Schutz mit fail2ban. Alles wird bei jeder Veröffentlichung mit einem Lynis-Audit verifiziert, dessen vollständigen Bericht Sie weiter unten lesen können.

Schnellstart: in 5 Minuten einsatzbereit #

Alles, was Sie brauchen, um von null auf einen gehärteten Cache in Produktion zu kommen.

Wenn Sie es lieber von Hand machen, führt der lange Weg über fünf Schritte:

Funktionen #

Alles, was das Image enthält, gruppiert nach Standard und nach dem, was von uns stammt.

Allgemein

• Memcached 1.6 aus den offiziellen Paketen von Ubuntu 26.04 LTS (resolute, arm64), verwaltet mit systemd — ohne Bäume unter /opt und ohne proprietäre Skripte.
• Ubuntu-Basis bei jedem Build aktualisiert, mit aktivierten automatischen Sicherheits-Patches (unattended-upgrades).
• ufw-Firewall mit Default-Deny: lokal nur 22 (SSH) und 11211 (memcached) erlaubt; die Security Group des Marketplace veröffentlicht nur Port 22.
• Gehärtetes SSH: kein Root, keine Passwörter, nur Public Key, moderne Kryptografie (ed25519, chacha20-poly1305, Post-Quanten-Kex sntrup761x25519).
• AppArmor mit zusätzlich installierten Profilen, alle im Enforce-Modus.
• Kernel-Härtung via sysctl, Mounts mit noexec,nosuid,nodev, /proc mit hidepid=2.
• Vollständiges Auditing mit auditd, Integrität mit AIDE und debsums, Anti-Malware mit rkhunter und ClamAV, fail2ban integriert mit ufw.

Besonderheiten

• SASL obligatorisch ab Werk: Benutzer memcached mit einmaligem Passwort pro Instanz (die instance-id beim ersten Start), ausgegeben in die EC2-Systemkonsole — dort, wo sie sucht, wer von Bitnami kommt. Nichts wird in die AMI eingebrannt: Jede Instanz erhält frische Zugangsdaten.
• TLS serienmäßig auf Port 11211 (mindestens TLS 1.2): selbstsigniertes Zertifikat, auf jeder Instanz ausgestellt — EC-Schlüssel P-256, instance-id als CN, IPs und Namen der Instanz als SAN — bevor der Dienst startet. Sie können Ihr eigenes installieren.
• Port 11212 im Klartext nur auf Loopback, für die Systemwerkzeuge (memcstat und Co. sprechen kein TLS). SASL bleibt Pflicht, und der Port ist von außen nicht erreichbar.
• UDP explizit deaktiviert (-U 0): Das UDP-Protokoll von memcached ist der klassische Vektor für DDoS-Amplification.
• Automatisches Tuning bei jedem Start: imaxe memcached optimize berechnet Cache-Speicher, Verbindungen und Threads anhand der tatsächlichen CPU und des RAM neu — Instanz stoppen, Typ ändern, starten, und der Cache dimensioniert sich von selbst.
• SASL-Benutzerverwaltung ohne Neustarts: imaxe memcached users add/rotate/delete — die SASL-Datenbank wird bei jeder Authentifizierung gelesen, und der Cache wird nicht geleert.
• Mitgeliefertes imaxe-Tool: eine CLI, um Dienst, Zugangsdaten, Zertifikat und das gesamte Hardening zu bedienen, ohne Dateien von Hand zu editieren.
• Lynis-Audit bei jeder Veröffentlichung, mit dem vollständigen Bericht auf dieser Seite.

imaxe-Module

In diese AMI eingebrannte Module des imaxe-Tools, mit ihrer Dokumentation:

Dimensionierung und Kosten #

Die AMI läuft auf jeder arm64-Instanz (Graviton) von AWS und dimensioniert sich selbst: Bei jedem Start weist imaxe memcached optimize dem Cache 60 % des nutzbaren RAM zu (nach Reservierung von 512 MB für das Betriebssystem und die Agenten) und leitet Threads und Verbindungen aus der Instanzgröße ab. Wählen Sie den Typ nach dem Cache, den Sie brauchen: mehr RAM = mehr Cache, ohne Konfigurationsänderung. Als Ausgangspunkt wird t4g.medium empfohlen — dort laufen auch Builds und Tests dieses Images.

Lynis-Berichte #

Ergebnis des Lynis-Hardening-Audits jeder veröffentlichten Version: Hardening-Index, Warnungen und Vorschläge, mit dem vollständigen Bericht Zeile für Zeile.

Verfügbare Versionen #

Im AWS Marketplace veröffentlichte Versionen dieser AMI:

Lebenszyklus

Die v2.0 ist die aktuelle Version, aktiv und gepflegt: Die Ubuntu-Sicherheits-Patches erreichen die Instanzen von selbst über unattended-upgrades, und wir veröffentlichen regelmäßig neue Versionen der AMI im Marketplace, jede mit ihrem eigenen Lynis-Audit. Sobald eine neue Version erscheint, taucht sie in dieser Tabelle und im Changelog auf.

So starten Sie die AMI #

Die AMI folgt dem Standard-Startablauf von EC2 auf arm64-Instanzen (Graviton). Die Security Group des Marketplace veröffentlicht nur einen Port:

Sobald sie läuft — SSH: Benutzer ubuntu mit dem beim Start gewählten Keypair. Es gibt keinen zugänglichen Root-Benutzer und keine Passwort-Authentifizierung. Cache-Zugangsdaten: SASL-Benutzer memcached mit der instance-id als Anfangspasswort, sichtbar in der EC2-Systemkonsole oder per SSH:

ssh -i mi-keypair.pem ubuntu@<ip-de-la-instancia>
sudo imaxe memcached credentials      # usuario, password y puerto
imaxe memcached tls show              # huella del certificado de esta instancia

memcstat --binary --servers=127.0.0.1:11212 --username=memcached \
         --password=$(sudo imaxe memcached credentials --show-password --json | jq -r .password)

sudo install -m 0644 -o root -g root mi.crt /etc/memcached/tls/server.crt
sudo install -m 0640 -o root -g memcache mi.key /etc/memcached/tls/server.key
sudo rm -f /etc/memcached/tls/.generated-for   # sin testigo, el módulo no lo toca
sudo systemctl restart memcached

Backups und Updates #

• Automatische Patches: unattended-upgrades spielt die Ubuntu-Sicherheitsupdates täglich ein, ohne Zutun.
• Antivirus-Signaturen: freshclam aktualisiert die ClamAV-Datenbank 24-mal pro Tag.
• Neue AMIs: Wir veröffentlichen regelmäßig aktualisierte Versionen des Images im Marketplace; jede Version durchläuft vor der Veröffentlichung ihr eigenes Lynis-Audit.
• Backups: Es gibt keine, absichtlich. Memcached ist ein flüchtiger Cache: Sein Inhalt geht bei jedem Neustart verloren und darf nie das einzige Exemplar irgendeines Datums enthalten. Es gibt nichts zu sichern und nichts wiederherzustellen.

Fehlerbehebung #

Die Probleme, auf die fast alle Tickets entfallen, mit ihrer üblichen Ursache und der Lösung.

Häufige Fragen #

Changelog #

Historie der AMI. Die Daten entsprechen der Veröffentlichung jeder Version im AWS Marketplace.