Memcached Hardened

Description #

Imaxe Hardened Memcached est une AMI de Memcached durcie et prête pour la production, pensée comme remplaçante directe de « Memcached packaged by Bitnami ». Elle installe Memcached avec les paquets standard d’Ubuntu — apt, systemd et chemins FHS, sans arborescences monolithiques dans /opt ni superviseurs propriétaires — sur la base durcie d’imaxe.

Deux différences de sécurité d’usine par rapport au produit de Bitnami : l’authentification SASL est activée (et non désactivée), avec un mot de passe unique par instance, et le trafic réseau est chiffré avec TLS, avec un certificat généré lui aussi sur chaque instance. Comme le seul mécanisme SASL de memcached est PLAIN, sans TLS le mot de passe circulerait en clair — ici, c’est impossible.

Le reste est la base durcie d’imaxe : pare-feu en refus par défaut, SSH renforcé, AppArmor en mode enforce, audit avec auditd, intégrité des fichiers avec AIDE, détection de rootkits avec rkhunter, antivirus ClamAV et protection anti force brute avec fail2ban. Le tout vérifié à chaque publication par un audit Lynis dont vous pouvez lire le rapport complet plus bas.

Guide rapide : opérationnel en 5 minutes #

Tout ce qu’il vous faut pour passer de zéro à un cache durci en production.

Si vous préférez le faire à la main, le chemin long tient en cinq étapes :

Caractéristiques #

Tout ce que l’image inclut, regroupé entre ce qui est standard et ce qui est de notre cru.

Général

• Memcached 1.6 issu des paquets officiels d’Ubuntu 26.04 LTS (resolute, arm64), géré avec systemd — sans arborescences dans /opt ni scripts propriétaires.
• Base Ubuntu mise à jour à chaque build, avec les correctifs de sécurité automatiques (unattended-upgrades) activés.
• Pare-feu ufw en refus par défaut : seuls le 22 (SSH) et le 11211 (memcached) sont autorisés localement ; le groupe de sécurité du Marketplace n’expose que le 22.
• SSH durci : pas de root, pas de mots de passe, clé publique uniquement, cryptographie moderne (ed25519, chacha20-poly1305, kex post-quantique sntrup761x25519).
• AppArmor avec des profils supplémentaires installés, tous en mode enforce.
• Noyau durci via sysctl, montages avec noexec,nosuid,nodev, /proc avec hidepid=2.
• Audit complet avec auditd, intégrité avec AIDE et debsums, anti-malware avec rkhunter et ClamAV, fail2ban intégré à ufw.

Spécificités

• SASL obligatoire d’usine : utilisateur memcached avec un mot de passe unique par instance (l’instance-id au premier démarrage), affiché dans la console système EC2 — là où le cherchent ceux qui viennent de Bitnami. Rien n’est figé dans l’AMI : chaque instance étrenne son identifiant.
• TLS de série sur le port 11211 (minimum TLS 1.2) : certificat auto-signé émis sur chaque instance — clé EC P-256, instance-id comme CN, IP et noms de l’instance comme SAN — avant le démarrage du service. Vous pouvez installer le vôtre.
• Port 11212 en clair uniquement sur loopback, pour les outils du système (memcstat et compagnie ne parlent pas TLS). Il exige toujours SASL et n’est pas accessible de l’extérieur.
• UDP désactivé explicitement (-U 0) : le protocole UDP de memcached est le vecteur classique d’amplification DDoS.
• Tuning automatique à chaque démarrage : imaxe memcached optimize recalcule la mémoire du cache, les connexions et les threads avec le CPU et la RAM réels — arrêtez l’instance, changez le type, redémarrez, et le cache se redimensionne tout seul.
• Gestion des utilisateurs SASL sans redémarrage : imaxe memcached users add/rotate/delete — la base SASL est lue à chaque authentification et le cache n’est pas vidé.
• Outil imaxe inclus : une CLI pour opérer le service, les identifiants, le certificat et tout le durcissement sans éditer de fichiers à la main.
• Audit Lynis à chaque publication, avec le rapport complet publié sur cette page.

Modules d'imaxe

Modules de l’outil imaxe intégrés à cette AMI, avec leur documentation :

Dimensionnement et coûts #

L’AMI tourne sur n’importe quelle instance arm64 (Graviton) d’AWS et s’auto-dimensionne : à chaque démarrage, imaxe memcached optimize alloue au cache 60 % de la RAM utilisable (après avoir réservé 512 MB pour l’OS et les agents) et déduit les threads et les connexions de la taille de l’instance. Choisissez le type selon le cache dont vous avez besoin : plus de RAM = plus de cache, sans toucher à la configuration. L’instance recommandée pour commencer est t4g.medium, celle-là même où s’exécutent les builds et les tests de cette image.

Rapports Lynis #

Résultat de l’audit de durcissement Lynis de chaque version publiée : indice de hardening, avertissements et suggestions, avec le rapport complet ligne par ligne.

Versions disponibles #

Versions de cette AMI publiées sur AWS Marketplace :

Cycle de vie

La v2.0 est la version actuelle, active et maintenue : les correctifs de sécurité d’Ubuntu arrivent tout seuls sur les instances via unattended-upgrades, et nous publions de nouvelles versions de l’AMI sur le Marketplace à cadence régulière, chacune avec son propre audit Lynis. Quand une nouvelle version sortira, elle apparaîtra dans ce tableau et dans le changelog.

Comment lancer l'AMI #

L’AMI suit le flux de lancement standard d’EC2 sur des instances arm64 (Graviton). Le groupe de sécurité du Marketplace n’expose qu’un seul port :

Une fois lancée — SSH : utilisateur ubuntu avec la keypair choisie au lancement. Il n’y a ni utilisateur root accessible ni authentification par mot de passe. Identifiant du cache : utilisateur SASL memcached avec l’instance-id comme mot de passe initial, visible dans la console système EC2 ou en SSH :

ssh -i mi-keypair.pem ubuntu@<ip-de-la-instancia>
sudo imaxe memcached credentials      # usuario, password y puerto
imaxe memcached tls show              # huella del certificado de esta instancia

memcstat --binary --servers=127.0.0.1:11212 --username=memcached \
         --password=$(sudo imaxe memcached credentials --show-password --json | jq -r .password)

sudo install -m 0644 -o root -g root mi.crt /etc/memcached/tls/server.crt
sudo install -m 0640 -o root -g memcache mi.key /etc/memcached/tls/server.key
sudo rm -f /etc/memcached/tls/.generated-for   # sin testigo, el módulo no lo toca
sudo systemctl restart memcached

Sauvegardes et mises à jour #

• Correctifs automatiques : unattended-upgrades applique quotidiennement les mises à jour de sécurité d’Ubuntu, sans intervention.
• Signatures antivirus : freshclam met à jour la base ClamAV 24 fois par jour.
• Nouvelles AMI : nous publions des versions mises à jour de l’image sur le Marketplace à cadence régulière ; chaque version passe son propre audit Lynis avant publication.
• Sauvegardes : il n’y en a pas, par conception. Memcached est un cache volatil : son contenu se perd à chaque redémarrage et ne doit contenir l’unique exemplaire d’aucune donnée. Il n’y a rien à sauvegarder ni à restaurer.

Dépannage #

Les problèmes qui concentrent la quasi-totalité des tickets, avec leur cause habituelle et la solution.

Foire aux questions #

Changelog #

Historique de l’AMI. Les dates correspondent à la publication de chaque version sur AWS Marketplace.