Memcached Hardened

Описание #

Imaxe Hardened Memcached — это усиленная и готовая к продакшену AMI с Memcached, задуманная как прямая замена «Memcached packaged by Bitnami». Memcached устанавливается из стандартных пакетов Ubuntu — apt, systemd и пути FHS, без монолитных деревьев в /opt и проприетарных супервизоров — поверх усиленной базы imaxe.

Два отличия в безопасности с завода по сравнению с продуктом Bitnami: аутентификация SASL включена (а не отключена), с уникальным паролем для каждого инстанса, и сетевой трафик шифруется TLS с сертификатом, который также генерируется на каждом инстансе. Поскольку единственный механизм SASL у memcached — PLAIN, без TLS пароль передавался бы в открытом виде — здесь это невозможно.

Остальное — усиленная база imaxe: файрвол с запретом по умолчанию, усиленный SSH, AppArmor в режиме enforce, аудит через auditd, контроль целостности файлов с AIDE, обнаружение руткитов с rkhunter, антивирус ClamAV и защита от перебора паролей с fail2ban. Всё это проверяется при каждой публикации аудитом Lynis, полный отчёт которого вы можете прочитать ниже.

Быстрый старт: в работе за 5 минут #

Всё, что нужно, чтобы пройти путь от нуля до усиленного кэша в продакшене.

Если предпочитаете делать всё вручную, длинный путь — это пять шагов:

Возможности #

Всё, что включает образ, сгруппировано по стандартному и по нашему собственному.

Общее

• Memcached 1.6 из официальных пакетов Ubuntu 26.04 LTS (resolute, arm64), под управлением systemd — без деревьев в /opt и проприетарных скриптов.
• База Ubuntu, обновляемая в каждой сборке, с включёнными автоматическими патчами безопасности (unattended-upgrades).
• Файрвол ufw с запретом по умолчанию: локально разрешены только 22 (SSH) и 11211 (memcached); группа безопасности Marketplace публикует только 22.
• Усиленный SSH: без root, без паролей, только публичный ключ, современная криптография (ed25519, chacha20-poly1305, постквантовый kex sntrup761x25519).
• AppArmor с установленными дополнительными профилями, все в режиме enforce.
• Усиленное ядро через sysctl, точки монтирования с noexec,nosuid,nodev, /proc с hidepid=2.
• Полный аудит через auditd, целостность с AIDE и debsums, анти-malware с rkhunter и ClamAV, fail2ban, интегрированный с ufw.

Особенное

• SASL обязателен с завода: пользователь memcached с уникальным паролем для каждого инстанса (instance-id при первой загрузке), выводится в системную консоль EC2 — там, где его ищут пришедшие с Bitnami. Ничего не запекается в AMI: каждый инстанс получает свои учётные данные.
• TLS из коробки на порту 11211 (минимум TLS 1.2): самоподписанный сертификат выпускается на каждом инстансе — ключ EC P-256, instance-id как CN, IP-адреса и имена инстанса как SAN — до старта службы. Можно установить свой.
• Порт 11212 без шифрования только на loopback, для системных инструментов (memcstat и компания не умеют TLS). SASL по-прежнему обязателен, снаружи порт недоступен.
• UDP явно отключён (-U 0): UDP-протокол memcached — классический вектор DDoS-амплификации.
• Автоматический тюнинг при каждой загрузке: imaxe memcached optimize пересчитывает память кэша, соединения и потоки по реальным CPU и RAM — остановите инстанс, смените тип, запустите, и кэш сам изменит размер.
• Управление пользователями SASL без перезапусков: imaxe memcached users add/rotate/delete — база SASL читается при каждой аутентификации, кэш не очищается.
• Встроенный инструмент imaxe: CLI для управления службой, учётными данными, сертификатом и всем усилением без ручного редактирования файлов.
• Аудит Lynis при каждой публикации, полный отчёт публикуется на этой странице.

Модули imaxe

Модули инструмента imaxe, запечённые в этой AMI, с их документацией:

Выбор размера и стоимость #

AMI работает на любом инстансе arm64 (Graviton) в AWS и подстраивается сама: при каждой загрузке imaxe memcached optimize выделяет кэшу 60 % доступной RAM (после резервирования 512 MB для ОС и агентов) и выводит число потоков и соединений из размера инстанса. Выбирайте тип по нужному объёму кэша: больше RAM = больше кэш, без правки конфигурации. Рекомендуемый стартовый инстанс — t4g.medium; на нём же выполняются сборки и тесты этого образа.

Отчёты Lynis #

Результат аудита усиления Lynis для каждой опубликованной версии: индекс hardening, предупреждения и рекомендации, с полным построчным отчётом.

Доступные версии #

Версии этой AMI, опубликованные в AWS Marketplace:

Жизненный цикл

v2.0 — текущая версия, активная и поддерживаемая: патчи безопасности Ubuntu приходят на инстансы сами через unattended-upgrades, а новые версии AMI мы публикуем в Marketplace регулярно, каждая со своим аудитом Lynis. Когда выйдет новая версия, она появится в этой таблице и в changelog.

Как запустить AMI #

AMI следует стандартному процессу запуска EC2 на инстансах arm64 (Graviton). Группа безопасности Marketplace публикует только один порт:

После запуска — SSH: пользователь ubuntu с ключевой парой, выбранной при запуске. Доступа под root и аутентификации по паролю нет. Учётные данные кэша: пользователь SASL memcached с instance-id в качестве начального пароля, виден в системной консоли EC2 или по SSH:

ssh -i mi-keypair.pem ubuntu@<ip-de-la-instancia>
sudo imaxe memcached credentials      # пользователь, пароль и порт
imaxe memcached tls show              # отпечаток сертификата этого инстанса

memcstat --binary --servers=127.0.0.1:11212 --username=memcached \
         --password=$(sudo imaxe memcached credentials --show-password --json | jq -r .password)

sudo install -m 0644 -o root -g root mi.crt /etc/memcached/tls/server.crt
sudo install -m 0640 -o root -g memcache mi.key /etc/memcached/tls/server.key
sudo rm -f /etc/memcached/tls/.generated-for   # sin testigo, el módulo no lo toca
sudo systemctl restart memcached

Резервные копии и обновления #

• Автоматические патчи: unattended-upgrades ежедневно применяет обновления безопасности Ubuntu без вмешательства.
• Антивирусные сигнатуры: freshclam обновляет базу ClamAV 24 раза в день.
• Новые AMI: мы регулярно публикуем обновлённые версии образа в Marketplace; каждая версия проходит собственный аудит Lynis перед публикацией.
• Резервные копии: их нет — так задумано. Memcached — это волатильный кэш: его содержимое теряется при каждом перезапуске и не должно содержать единственный экземпляр каких-либо данных. Резервировать и восстанавливать нечего.

Решение проблем #

Проблемы, на которые приходится почти вся поддержка, с типичной причиной и решением.

Частые вопросы #

Changelog #

История AMI. Даты соответствуют публикации каждой версии в AWS Marketplace.