Memcached Hardened

Descrição #

A Imaxe Hardened Memcached é uma AMI de Memcached reforçada e pronta para produção, pensada como substituta direta do «Memcached packaged by Bitnami». Instala o Memcached com os pacotes padrão do Ubuntu — apt, systemd e caminhos FHS, sem árvores monolíticas em /opt nem supervisores proprietários — sobre a base reforçada da imaxe.

Duas diferenças de segurança de fábrica face ao produto da Bitnami: a autenticação SASL vem ativada (não desativada), com uma palavra-passe única por instância, e o tráfego de rede vai cifrado com TLS, com um certificado gerado também em cada instância. Como o único mecanismo SASL do memcached é PLAIN, sem TLS a palavra-passe viajaria em claro — aqui não pode acontecer.

O resto é a base reforçada da imaxe: firewall em negação por omissão, SSH endurecido, AppArmor em modo enforce, auditoria com auditd, integridade de ficheiros com AIDE, deteção de rootkits com rkhunter, antivírus ClamAV e proteção contra força bruta com fail2ban. Tudo verificado em cada publicação com uma auditoria Lynis cujo relatório completo pode ler mais abaixo.

Guia rápido: a funcionar em 5 minutos #

Tudo o que precisa para passar do zero a uma cache reforçada em produção.

Se preferir fazê-lo à mão, o caminho longo são cinco passos:

Características #

Tudo o que a imagem inclui, agrupado entre o que é padrão e o que é nosso.

Geral

• Memcached 1.6 dos pacotes oficiais do Ubuntu 26.04 LTS (resolute, arm64), gerido com systemd — sem árvores em /opt nem scripts proprietários.
• Base Ubuntu atualizada em cada build, com patches de segurança automáticos (unattended-upgrades) ativados.
• Firewall ufw em negação por omissão: só a 22 (SSH) e a 11211 (memcached) permitidas localmente; o grupo de segurança do Marketplace só publica a 22.
• SSH endurecido: sem root, sem palavras-passe, só chave pública, criptografia moderna (ed25519, chacha20-poly1305, kex pós-quântico sntrup761x25519).
• AppArmor com perfis extra instalados e todos em modo enforce.
• Kernel reforçado via sysctl, montagens com noexec,nosuid,nodev, /proc com hidepid=2.
• Auditoria completa com auditd, integridade com AIDE e debsums, anti-malware com rkhunter e ClamAV, fail2ban integrado com o ufw.

Especiais

• SASL obrigatório de fábrica: utilizador memcached com palavra-passe única por instância (o instance-id no primeiro arranque), enviada para a consola do sistema EC2 — onde a procura quem vem da Bitnami. Nada é gravado na AMI: cada instância estreia credencial.
• TLS de série na porta 11211 (mínimo TLS 1.2): certificado autoassinado emitido em cada instância — chave EC P-256, instance-id como CN, IPs e nomes da instância como SAN — antes de o serviço arrancar. Pode instalar o seu.
• Porta 11212 em claro só em loopback, para as ferramentas do sistema (memcstat e companhia não falam TLS). Continua a exigir SASL e não é acessível do exterior.
• UDP desativado afirmativamente (-U 0): o protocolo UDP do memcached é o vetor clássico de amplificação DDoS.
• Tuning automático em cada arranque: o imaxe memcached optimize recalcula memória de cache, ligações e threads com a CPU e RAM reais — pare a instância, mude o tipo, arranque, e a cache redimensiona-se sozinha.
• Gestão de utilizadores SASL sem reinícios: imaxe memcached users add/rotate/delete — a base SASL é lida em cada autenticação e a cache não se esvazia.
• Ferramenta imaxe incluída: uma CLI para operar o serviço, as credenciais, o certificado e todo o hardening sem editar ficheiros à mão.
• Auditoria Lynis em cada publicação, com o relatório completo publicado nesta página.

Módulos do imaxe

Módulos da ferramenta imaxe pré-instalados nesta AMI, com a respetiva documentação:

Dimensionamento e custos #

A AMI corre em qualquer instância arm64 (Graviton) da AWS e autodimensiona-se: em cada arranque, o imaxe memcached optimize atribui à cache 60 % da RAM utilizável (após reservar 512 MB para o SO e os agentes) e deriva threads e ligações do tamanho da instância. Escolha o tipo pela cache de que precisa: mais RAM = mais cache, sem tocar na configuração. A instância recomendada de partida é a t4g.medium, a mesma em que correm as builds e os testes desta imagem.

Relatórios Lynis #

Resultado da auditoria de hardening Lynis de cada versão publicada: índice de hardening, avisos e sugestões, com o relatório completo linha a linha.

Versões disponíveis #

Versões desta AMI publicadas no AWS Marketplace:

Ciclo de vida

A v2.0 é a versão atual, ativa e mantida: os patches de segurança do Ubuntu chegam sozinhos às instâncias via unattended-upgrades, e publicamos versões novas da AMI no Marketplace com cadência regular, cada uma com a sua própria auditoria Lynis. Quando sair uma versão nova aparecerá nesta tabela e no changelog.

Como lançar a AMI #

A AMI segue o fluxo padrão de lançamento do EC2 em instâncias arm64 (Graviton). O grupo de segurança do Marketplace só publica uma porta:

Uma vez a funcionar — SSH: utilizador ubuntu com a keypair escolhida ao lançar. Não há utilizador root acessível nem autenticação por palavra-passe. Credencial da cache: utilizador SASL memcached com o instance-id como palavra-passe inicial, visível na consola do sistema EC2 ou por SSH:

ssh -i mi-keypair.pem ubuntu@<ip-de-la-instancia>
sudo imaxe memcached credentials      # usuario, password y puerto
imaxe memcached tls show              # huella del certificado de esta instancia

memcstat --binary --servers=127.0.0.1:11212 --username=memcached \
         --password=$(sudo imaxe memcached credentials --show-password --json | jq -r .password)

sudo install -m 0644 -o root -g root mi.crt /etc/memcached/tls/server.crt
sudo install -m 0640 -o root -g memcache mi.key /etc/memcached/tls/server.key
sudo rm -f /etc/memcached/tls/.generated-for   # sin testigo, el módulo no lo toca
sudo systemctl restart memcached

Cópias e atualizações #

• Patches automáticos: o unattended-upgrades aplica diariamente as atualizações de segurança do Ubuntu, sem intervenção.
• Assinaturas antivírus: o freshclam atualiza a base do ClamAV 24 vezes por dia.
• AMIs novas: publicamos versões atualizadas da imagem no Marketplace com cadência regular; cada versão passa a sua própria auditoria Lynis antes de ser publicada.
• Cópias de segurança: não há, por desenho. O Memcached é uma cache volátil: o seu conteúdo perde-se em cada reinício e não deve conter o único exemplar de nenhum dado. Não há nada para salvaguardar nem restaurar.

Resolução de problemas #

Os problemas que concentram quase todos os tickets, com a sua causa habitual e a solução.

Perguntas frequentes #

Changelog #

Histórico da AMI. As datas correspondem à publicação de cada versão no AWS Marketplace.