Lanzar una instancia desde una AMI es, en la práctica, ejecutar en tu cuenta software empaquetado por otra persona. Si la imagen contiene malware, mineros de criptomonedas, claves incrustadas o simplemente paquetes sin parchear, ese riesgo entra directamente en tu infraestructura. Se han documentado casos de imágenes públicas maliciosas diseñadas precisamente para eso.
La solución no es la paranoia, sino un proceso de verificación repetible. Elegir bien una AMI se parece a contratar a alguien: compruebas identidad, referencias y estado antes de darle las llaves.
Los cinco pilares de una AMI de confianza
Evalúa toda imagen candidata contra estos cinco ejes. Si falla en varios, busca otra.
1. Procedencia: ¿quién la publica?
- Verifica el owner ID de la cuenta que publica la imagen; desconfía de propietarios anónimos o desconocidos.
- Prefiere imágenes de proveedores oficiales, partners verificados o publicadores con reputación demostrable.
- Comprueba que el nombre y la descripción coinciden con un origen legítimo: cuidado con las imitaciones por typosquatting.
2. Seguridad: ¿qué lleva dentro?
- ¿Está endurecida (CIS o hardening equivalente) o es una base sin proteger?
- ¿Los snapshots están cifrados?
- Escanéala tú mismo antes de producción con Inspector, Trivy o similar para detectar CVE y secretos.
- Revisa que no tenga claves SSH autorizadas desconocidas ni usuarios de más.
3. Mantenimiento: ¿está viva?
- ¿Con qué frecuencia se actualiza? Una imagen sin nuevas versiones en un año es una señal de alarma.
- ¿El publicador informa de los CVE corregidos en cada versión?
- ¿Existe documentación clara de qué contiene y cómo se configura?
4. Compatibilidad: ¿sirve para tu caso?
- Arquitectura correcta (x86_64 frente a ARM/Graviton) y tipo de virtualización.
- Región disponible y posibilidad de copiarla a la tuya.
- Soporte del tipo de instancia que necesitas y compatibilidad con tu automatización.
5. Coste y licencia: ¿qué pagas y bajo qué términos?
- Modelo de coste: gratuita, de pago por hora o BYOL.
- Licencia del software incluido y sus obligaciones.
- Coste de los snapshots y del almacenamiento asociado.
Checklist rápida de verificación
| Comprobación | Señal buena | Señal de alarma |
|---|---|---|
| Propietario | Owner verificado y conocido | Cuenta anónima o recién creada |
| Cifrado | Snapshots cifrados | Sin cifrado |
| Actualización | Versiones recientes y frecuentes | Sin cambios en más de 12 meses |
| Documentación | Notas de versión y CVE | Nula o inexistente |
| Escaneo propio | Sin CVE críticas ni secretos | Vulnerabilidades o claves incrustadas |
| Coste | Modelo claro y previsible | Costes ocultos de almacenamiento |
Verifica cada punto antes de llevar una AMI a producción.
Buena práctica: rehornea sobre lo que recibes
Incluso una imagen de confianza envejece. La práctica más segura es tomar una AMI base fiable y rehornearla en tu propio pipeline: aplicas tus parches, tu hardening y tu configuración, la cifras con tu clave y la versionas. Así heredas lo bueno de la imagen de origen y añades tu propio control de calidad y trazabilidad.
Preguntas frecuentes
¿Es seguro usar una AMI pública de la comunidad?
Puede serlo, pero debes verificar propietario, contenido y estado, y escanearla antes de usarla. Para producción es preferible una imagen de un publicador de confianza, o rehornearla tú mismo.
¿Cómo sé si una AMI tiene una puerta trasera?
Ningún método es infalible, pero escanear la imagen, revisar usuarios y claves autorizadas, inspeccionar tareas programadas y analizar el tráfico de red en una instancia de prueba aislada reduce mucho el riesgo.
¿Debo confiar más en imágenes de pago que en gratuitas?
El precio no garantiza seguridad, pero un publicador que mantiene y documenta sus imágenes —de pago o no— suele ofrecer más garantías que una imagen anónima abandonada.
En imaxe.cloud construimos imágenes con procedencia clara, cifrado y actualización continua para que puedas desplegar con confianza.
