Memcached Hardened

Descrizione #

Imaxe Hardened Memcached è una AMI di Memcached irrobustita e pronta per la produzione, pensata come sostituto diretto di «Memcached packaged by Bitnami». Installa Memcached con i pacchetti standard di Ubuntu — apt, systemd e percorsi FHS, senza alberi monolitici in /opt né supervisori proprietari — sulla base irrobustita di imaxe.

Due differenze di sicurezza di fabbrica rispetto al prodotto Bitnami: l’autenticazione SASL è attivata (non disabilitata), con una password unica per istanza, e il traffico di rete è cifrato con TLS, con un certificato generato anch’esso su ogni istanza. Dato che l’unico meccanismo SASL di memcached è PLAIN, senza TLS la password viaggerebbe in chiaro — qui non può succedere.

Il resto è la base irrobustita di imaxe: firewall in negazione predefinita, SSH rinforzato, AppArmor in modalità enforce, auditing con auditd, integrità dei file con AIDE, rilevamento di rootkit con rkhunter, antivirus ClamAV e protezione dalla forza bruta con fail2ban. Tutto verificato a ogni pubblicazione con un audit Lynis di cui puoi leggere il report completo più in basso.

Guida rapida: operativa in 5 minuti #

Tutto quello che ti serve per passare da zero a una cache irrobustita in produzione.

Se preferisci farlo a mano, la strada lunga sono cinque passi:

Caratteristiche #

Tutto ciò che include l’immagine, raggruppato tra ciò che è standard e ciò che è nostro.

Generale

• Memcached 1.6 dai pacchetti ufficiali di Ubuntu 26.04 LTS (resolute, arm64), gestito con systemd — senza alberi in /opt né script proprietari.
• Base Ubuntu aggiornata a ogni build, con le patch di sicurezza automatiche (unattended-upgrades) attivate.
• Firewall ufw in negazione predefinita: localmente sono consentite solo 22 (SSH) e 11211 (memcached); il gruppo di sicurezza del Marketplace pubblica solo la 22.
• SSH irrobustito: niente root, niente password, solo chiave pubblica, crittografia moderna (ed25519, chacha20-poly1305, kex post-quantistico sntrup761x25519).
• AppArmor con profili extra installati e tutti in modalità enforce.
• Kernel irrobustito via sysctl, mount con noexec,nosuid,nodev, /proc con hidepid=2.
• Auditing completo con auditd, integrità con AIDE e debsums, anti-malware con rkhunter e ClamAV, fail2ban integrato con ufw.

Specialità

• SASL obbligatorio di fabbrica: utente memcached con password unica per istanza (l’instance-id al primo avvio), scritta nella console di sistema EC2 — dove la cerca chi arriva da Bitnami. Nulla viene preinstallato nella AMI: ogni istanza inaugura la propria credenziale.
• TLS di serie sulla porta 11211 (minimo TLS 1.2): certificato autofirmato emesso su ogni istanza — chiave EC P-256, instance-id come CN, IP e nomi dell’istanza come SAN — prima che il servizio si avvii. Puoi installare il tuo.
• Porta 11212 in chiaro solo su loopback, per gli strumenti di sistema (memcstat e compagnia non parlano TLS). Continua a esigere SASL e non è accessibile dall’esterno.
• UDP disattivato in modo esplicito (-U 0): il protocollo UDP di memcached è il vettore classico di amplificazione DDoS.
• Tuning automatico a ogni avvio: imaxe memcached optimize ricalcola memoria della cache, connessioni e thread con la CPU e la RAM reali — ferma l’istanza, cambia il tipo, riavvia, e la cache si ridimensiona da sola.
• Gestione degli utenti SASL senza riavvii: imaxe memcached users add/rotate/delete — il database SASL viene letto a ogni autenticazione e la cache non si svuota.
• Strumento imaxe incluso: una CLI per gestire il servizio, le credenziali, il certificato e tutto l’hardening senza modificare file a mano.
• Audit Lynis a ogni pubblicazione, con il report completo pubblicato in questa pagina.

Moduli di imaxe

Moduli dello strumento imaxe preinstallati in questa AMI, con la loro documentazione:

Dimensionamento e costi #

La AMI gira su qualsiasi istanza arm64 (Graviton) di AWS e si autodimensiona: a ogni avvio, imaxe memcached optimize assegna alla cache il 60 % della RAM utilizzabile (dopo aver riservato 512 MB per il SO e gli agenti) e ricava thread e connessioni dalla taglia dell’istanza. Scegli il tipo in base alla cache di cui hai bisogno: più RAM = più cache, senza toccare la configurazione. L’istanza consigliata per iniziare è t4g.medium, la stessa su cui girano le build e i test di questa immagine.

Report Lynis #

Risultato dell’audit di hardening Lynis di ogni versione pubblicata: indice di hardening, avvisi e suggerimenti, con il report completo riga per riga.

Versioni disponibili #

Versioni di questa AMI pubblicate su AWS Marketplace:

Ciclo di vita

La v2.0 è la versione attuale, attiva e mantenuta: le patch di sicurezza di Ubuntu arrivano da sole alle istanze via unattended-upgrades, e pubblichiamo nuove versioni della AMI sul Marketplace con cadenza regolare, ognuna con il proprio audit Lynis. Quando uscirà una nuova versione apparirà in questa tabella e nel changelog.

Come avviare la AMI #

La AMI segue il flusso standard di lancio di EC2 su istanze arm64 (Graviton). Il gruppo di sicurezza del Marketplace pubblica una sola porta:

Una volta in funzione — SSH: utente ubuntu con la keypair scelta all’avvio. Non c’è utente root accessibile né autenticazione con password. Credenziale della cache: utente SASL memcached con l’instance-id come password iniziale, visibile nella console di sistema EC2 o via SSH:

ssh -i mi-keypair.pem ubuntu@<ip-de-la-instancia>
sudo imaxe memcached credentials      # usuario, password y puerto
imaxe memcached tls show              # huella del certificado de esta instancia

memcstat --binary --servers=127.0.0.1:11212 --username=memcached \
         --password=$(sudo imaxe memcached credentials --show-password --json | jq -r .password)

sudo install -m 0644 -o root -g root mi.crt /etc/memcached/tls/server.crt
sudo install -m 0640 -o root -g memcache mi.key /etc/memcached/tls/server.key
sudo rm -f /etc/memcached/tls/.generated-for   # sin testigo, el módulo no lo toca
sudo systemctl restart memcached

Backup e aggiornamenti #

• Patch automatiche: unattended-upgrades applica ogni giorno gli aggiornamenti di sicurezza di Ubuntu, senza intervento.
• Firme antivirus: freshclam aggiorna il database di ClamAV 24 volte al giorno.
• Nuove AMI: pubblichiamo versioni aggiornate dell’immagine sul Marketplace con cadenza regolare; ogni versione supera il proprio audit Lynis prima della pubblicazione.
• Backup: non ci sono, per scelta progettuale. Memcached è una cache volatile: il suo contenuto si perde a ogni riavvio e non deve contenere l’unica copia di alcun dato. Non c’è nulla da salvare né da ripristinare.

Risoluzione dei problemi #

I problemi che concentrano quasi tutti i ticket, con la loro causa abituale e la soluzione.

Domande frequenti #

Changelog #

Storico della AMI. Le date corrispondono alla pubblicazione di ogni versione su AWS Marketplace.