Memcached Hardened

Descripción #

Imaxe Hardened Memcached es una AMI de Memcached endurecida y lista para producción, pensada como sustituta directa de «Memcached packaged by Bitnami». Instala Memcached con los paquetes estándar de Ubuntu — apt, systemd y rutas FHS, sin árboles monolíticos en /opt ni supervisores propietarios — sobre la base endurecida de imaxe.

Dos diferencias de seguridad de fábrica frente al producto de Bitnami: la autenticación SASL viene activada (no deshabilitada), con una password única por instancia, y el tráfico de red va cifrado con TLS, con un certificado generado también en cada instancia. Como el único mecanismo SASL de memcached es PLAIN, sin TLS la password viajaría en claro — aquí no puede pasar.

El resto es la base endurecida de imaxe: firewall en denegación por defecto, SSH reforzado, AppArmor en modo enforce, auditoría con auditd, integridad de ficheros con AIDE, detección de rootkits con rkhunter, antivirus ClamAV y protección de fuerza bruta con fail2ban. Todo verificado en cada publicación con una auditoría Lynis cuyo informe completo puedes leer más abajo.

Guía rápida: en marcha en 5 minutos #

Todo lo que necesitas para pasar de cero a una cache endurecida en producción.

Si prefieres hacerlo a mano, el camino largo son cinco pasos:

Características #

Todo lo que incluye la imagen, agrupado por lo que es estándar y lo que es nuestro.

General

• Memcached 1.6 de los paquetes oficiales de Ubuntu 26.04 LTS (resolute, arm64), gestionado con systemd — sin árboles en /opt ni scripts propietarios.
• Base Ubuntu actualizada en cada build, con parches de seguridad automáticos (unattended-upgrades) activados.
• Firewall ufw en denegación por defecto: solo 22 (SSH) y 11211 (memcached) permitidos localmente; el grupo de seguridad del Marketplace solo publica el 22.
• SSH endurecido: sin root, sin contraseñas, solo clave pública, criptografía moderna (ed25519, chacha20-poly1305, kex post-cuántico sntrup761x25519).
• AppArmor con perfiles extra instalados y todos en modo enforce.
• Kernel endurecido vía sysctl, montajes con noexec,nosuid,nodev, /proc con hidepid=2.
• Auditoría completa con auditd, integridad con AIDE y debsums, anti-malware con rkhunter y ClamAV, fail2ban integrado con ufw.

Especiales

• SASL obligatorio de fábrica: usuario memcached con password única por instancia (el instance-id en el primer arranque), volcada a la consola del sistema EC2 — donde la busca quien viene de Bitnami. Nada se hornea en la AMI: cada instancia estrena credencial.
• TLS de serie en el puerto 11211 (mínimo TLS 1.2): certificado autofirmado emitido en cada instancia — clave EC P-256, instance-id como CN, IPs y nombres de la instancia como SAN — antes de que arranque el servicio. Puedes instalar el tuyo.
• Puerto 11212 en claro solo en loopback, para las herramientas del sistema (memcstat y compañía no hablan TLS). Sigue exigiendo SASL y no es accesible desde fuera.
• UDP desactivado afirmativamente (-U 0): el protocolo UDP de memcached es el vector clásico de amplificación DDoS.
• Tuning automático en cada arranque: imaxe memcached optimize recalcula memoria de cache, conexiones e hilos con la CPU y RAM reales — para la instancia, cambia el tipo, arranca, y la cache se redimensiona sola.
• Gestión de usuarios SASL sin reinicios: imaxe memcached users add/rotate/delete — la base SASL se lee en cada autenticación y la cache no se vacía.
• Herramienta imaxe incluida: una CLI para operar el servicio, las credenciales, el certificado y todo el hardening sin editar ficheros a mano.
• Auditoría Lynis en cada publicación, con el informe completo publicado en esta página.

Módulos de imaxe

Módulos de la herramienta imaxe horneados en esta AMI, con su documentación:

Dimensionamiento y costes #

La AMI corre en cualquier instancia arm64 (Graviton) de AWS y se autodimensiona: en cada arranque, imaxe memcached optimize asigna a la cache el 60 % de la RAM utilizable (tras reservar 512 MB para el SO y los agentes) y deriva hilos y conexiones del tamaño de la instancia. Elige el tipo por la cache que necesites: más RAM = más cache, sin tocar configuración. La instancia recomendada de partida es t4g.medium, que es también donde se ejecutan las builds y tests de esta imagen.

Reportes Lynis #

Resultado de la auditoría de endurecimiento Lynis de cada versión publicada: índice de hardening, avisos y sugerencias, con el informe completo línea a línea.

Versiones disponibles #

Versiones de esta AMI publicadas en AWS Marketplace:

Ciclo de vida

La v2.0 es la versión actual, activa y mantenida: los parches de seguridad de Ubuntu llegan solos a las instancias vía unattended-upgrades, y publicamos versiones nuevas de la AMI en el Marketplace con cadencia regular, cada una con su propia auditoría Lynis. Cuando salga una versión nueva aparecerá en esta tabla y en el changelog.

Cómo lanzar la AMI #

La AMI sigue el flujo estándar de lanzamiento de EC2 sobre instancias arm64 (Graviton). El grupo de seguridad del Marketplace solo publica un puerto:

Una vez en marcha — SSH: usuario ubuntu con la keypair elegida al lanzar. No hay usuario root accesible ni autenticación por contraseña. Credencial de la cache: usuario SASL memcached con el instance-id como password inicial, visible en la consola del sistema EC2 o por SSH:

ssh -i mi-keypair.pem ubuntu@<ip-de-la-instancia>
sudo imaxe memcached credentials      # usuario, password y puerto
imaxe memcached tls show              # huella del certificado de esta instancia

memcstat --binary --servers=127.0.0.1:11212 --username=memcached \
         --password=$(sudo imaxe memcached credentials --show-password --json | jq -r .password)

sudo install -m 0644 -o root -g root mi.crt /etc/memcached/tls/server.crt
sudo install -m 0640 -o root -g memcache mi.key /etc/memcached/tls/server.key
sudo rm -f /etc/memcached/tls/.generated-for   # sin testigo, el módulo no lo toca
sudo systemctl restart memcached

Copias y actualizaciones #

• Parches automáticos: unattended-upgrades aplica las actualizaciones de seguridad de Ubuntu a diario, sin intervención.
• Firmas antivirus: freshclam actualiza la base de ClamAV 24 veces al día.
• AMIs nuevas: publicamos versiones actualizadas de la imagen en el Marketplace con cadencia regular; cada versión pasa su propia auditoría Lynis antes de publicarse.
• Copias de seguridad: no hay, por diseño. Memcached es una cache volátil: su contenido se pierde en cada reinicio y no debe contener el único ejemplar de ningún dato. No hay nada que respaldar ni restaurar.

Resolución de problemas #

Los problemas que concentran casi todos los tickets, con su causa habitual y la solución.

Preguntas frecuentes #

Changelog #

Historial de la AMI. Las fechas corresponden a la publicación de cada versión en AWS Marketplace.