Memcached Hardened

تفصیل #

Imaxe Hardened Memcached ایک ہارڈنڈ اور پروڈکشن کے لیے تیار Memcached ‏AMI ہے، جو «Memcached packaged by Bitnami» کے براہِ راست متبادل کے طور پر بنائی گئی ہے۔ یہ Memcached کو Ubuntu کے معیاری پیکیجز سے نصب کرتی ہے — apt، ‏systemd اور FHS راستے، نہ /opt میں یک سنگی درخت نہ ملکیتی سپروائزرز — imaxe کی ہارڈنڈ بنیاد پر۔

Bitnami کے پروڈکٹ کے مقابلے میں فیکٹری سے دو سیکیورٹی فرق: SASL تصدیق فعال آتی ہے (غیر فعال نہیں)، فی انسٹینس منفرد پاس ورڈ کے ساتھ، اور نیٹ ورک ٹریفک TLS سے انکرپٹ ہوتا ہے، سرٹیفکیٹ بھی ہر انسٹینس پر ہی بنتا ہے۔ چونکہ memcached کا واحد SASL میکانزم PLAIN ہے، TLS کے بغیر پاس ورڈ صاف متن میں سفر کرتا — یہاں ایسا ہو ہی نہیں سکتا۔

باقی سب imaxe کی ہارڈنڈ بنیاد ہے: ڈیفالٹ-ڈینائی فائر وال، مضبوط SSH، ‏enforce موڈ میں AppArmor، ‏auditd سے آڈٹنگ، AIDE سے فائل انٹیگریٹی، rkhunter سے روٹ کٹ کی کھوج، ClamAV اینٹی وائرس اور fail2ban سے بروٹ فورس تحفظ۔ ہر ریلیز پر یہ سب Lynis آڈٹ سے تصدیق ہوتا ہے جس کی مکمل رپورٹ آپ نیچے پڑھ سکتے ہیں۔

فوری گائیڈ: 5 منٹ میں چالو #

صفر سے پروڈکشن میں ہارڈنڈ کیش تک پہنچنے کے لیے جو کچھ چاہیے وہ سب۔

اگر آپ ہاتھ سے کرنا چاہیں تو لمبا راستہ پانچ مراحل کا ہے:

خصوصیات #

امیج میں شامل ہر چیز، اس تقسیم کے ساتھ کہ کیا معیاری ہے اور کیا ہمارا اپنا۔

عمومی

• Ubuntu 26.04 LTS ‏(resolute، ‏arm64) کے سرکاری پیکیجز سے Memcached 1.6، ‏systemd سے منظم — نہ /opt میں درخت نہ ملکیتی اسکرپٹس۔
• Ubuntu بنیاد ہر بلڈ میں اپ ڈیٹ، خودکار سیکیورٹی پیچز (unattended-upgrades) فعال کے ساتھ۔
• ‏ufw فائر وال ڈیفالٹ-ڈینائی پر: مقامی طور پر صرف 22 ‏(SSH) اور 11211 ‏(memcached) کی اجازت؛ Marketplace کا سیکیورٹی گروپ صرف 22 شائع کرتا ہے۔
• ہارڈنڈ SSH: نہ root، نہ پاس ورڈ، صرف پبلک کی، جدید کرپٹوگرافی (ed25519، ‏chacha20-poly1305، پوسٹ کوانٹم kex ‏sntrup761x25519)۔
• AppArmor اضافی پروفائلز کے ساتھ نصب اور سب enforce موڈ میں۔
• sysctl کے ذریعے ہارڈنڈ کرنل، noexec,nosuid,nodev کے ساتھ ماؤنٹس، /proc ‏hidepid=2 کے ساتھ۔
• ‏auditd سے مکمل آڈٹنگ، AIDE اور debsums سے انٹیگریٹی، rkhunter اور ClamAV سے اینٹی میلویئر، ufw کے ساتھ مربوط fail2ban۔

خصوصی

• فیکٹری سے لازمی SASL: صارف memcached فی انسٹینس منفرد پاس ورڈ کے ساتھ (پہلے بوٹ پر instance-id)، جو EC2 سسٹم کنسول پر ڈال دیا جاتا ہے — جہاں Bitnami سے آنے والے اسے ڈھونڈتے ہیں۔ AMI میں کچھ بھی بیک نہیں ہوتا: ہر انسٹینس اپنا نیا کریڈینشل پاتی ہے۔
• پورٹ 11211 پر بطور معیار TLS (کم از کم TLS 1.2): ہر انسٹینس پر جاری کردہ خود دستخط شدہ سرٹیفکیٹ — EC P-256 کی، ‏CN کے طور پر instance-id، ‏SAN کے طور پر انسٹینس کی IPs اور نام — سروس شروع ہونے سے پہلے۔ آپ اپنا نصب کر سکتے ہیں۔
• پورٹ 11212 صاف متن میں صرف loopback پر، سسٹم ٹولز کے لیے (memcstat اور اس جیسے TLS نہیں بولتے)۔ SASL بدستور لازمی ہے اور باہر سے قابلِ رسائی نہیں۔
• UDP واضح طور پر غیر فعال (-U 0): memcached کا UDP پروٹوکول DDoS ایمپلیفیکیشن کا کلاسک ویکٹر ہے۔
• ہر بوٹ پر خودکار ٹیوننگ: ‏imaxe memcached optimize حقیقی CPU اور RAM کے ساتھ کیش میموری، کنکشنز اور تھریڈز دوبارہ حساب کرتا ہے — انسٹینس روکیں، ٹائپ بدلیں، چلائیں، اور کیش خود ری سائز ہو جاتی ہے۔
• بغیر ری اسٹارٹ SASL صارفین کا انتظام: ‏imaxe memcached users add/rotate/delete — ‏SASL ڈیٹا بیس ہر تصدیق پر پڑھا جاتا ہے اور کیش خالی نہیں ہوتی۔
• شامل imaxe ٹول: ایک CLI جس سے سروس، کریڈینشلز، سرٹیفکیٹ اور پوری ہارڈننگ فائلیں ہاتھ سے ایڈٹ کیے بغیر چلائی جا سکتی ہے۔
• ہر ریلیز پر Lynis آڈٹ، مکمل رپورٹ اسی صفحے پر شائع۔

imaxe کے ماڈیولز

اس AMI میں شامل imaxe ٹول کے ماڈیولز، اپنی دستاویزات کے ساتھ:

سائزنگ اور اخراجات #

AMI ‏AWS کی کسی بھی arm64 ‏(Graviton) انسٹینس پر چلتی ہے اور خود اپنا سائز طے کرتی ہے: ہر بوٹ پر imaxe memcached optimize قابلِ استعمال RAM کا 60 % کیش کو دیتا ہے (OS اور ایجنٹس کے لیے 512 MB ریزرو کرنے کے بعد) اور تھریڈز و کنکشنز انسٹینس کے سائز سے اخذ کرتا ہے۔ انسٹینس ٹائپ اپنی مطلوبہ کیش کے حساب سے چنیں: زیادہ RAM = زیادہ کیش، بغیر کوئی کنفیگریشن چھیڑے۔ شروعات کے لیے تجویز کردہ انسٹینس t4g.medium ہے؛ اسی پر اس امیج کی بلڈز اور ٹیسٹس بھی چلتی ہیں۔

Lynis رپورٹس #

ہر شائع شدہ ورژن کے Lynis ہارڈننگ آڈٹ کا نتیجہ: ہارڈننگ انڈیکس، وارننگز اور تجاویز، لائن بہ لائن مکمل رپورٹ کے ساتھ۔

دستیاب ورژنز #

AWS Marketplace پر شائع شدہ اس AMI کے ورژنز:

لائف سائیکل

v2.0 موجودہ ورژن ہے، فعال اور زیرِ دیکھ بھال: Ubuntu کے سیکیورٹی پیچز unattended-upgrades کے ذریعے خود انسٹینسز تک پہنچ جاتے ہیں، اور ہم Marketplace پر باقاعدہ وقفوں سے AMI کے نئے ورژنز شائع کرتے ہیں، ہر ایک اپنے Lynis آڈٹ کے ساتھ۔ جب نیا ورژن آئے گا تو وہ اس جدول اور چینج لاگ میں نظر آئے گا۔

AMI کیسے لانچ کریں #

AMI ‏arm64 ‏(Graviton) انسٹینسز پر EC2 کے معیاری لانچ فلو کی پیروی کرتی ہے۔ Marketplace کا سیکیورٹی گروپ صرف ایک پورٹ شائع کرتا ہے:

چالو ہونے کے بعد — SSH: لانچ کے وقت منتخب کی گئی keypair کے ساتھ صارف ubuntu۔ نہ قابلِ رسائی root صارف ہے نہ پاس ورڈ سے تصدیق۔ کیش کا کریڈینشل: ‏SASL صارف memcached ابتدائی پاس ورڈ کے طور پر instance-id کے ساتھ، جو EC2 سسٹم کنسول میں یا SSH سے نظر آتا ہے:

ssh -i mi-keypair.pem ubuntu@<ip-de-la-instancia>
sudo imaxe memcached credentials      # usuario, password y puerto
imaxe memcached tls show              # huella del certificado de esta instancia

memcstat --binary --servers=127.0.0.1:11212 --username=memcached \
         --password=$(sudo imaxe memcached credentials --show-password --json | jq -r .password)

sudo install -m 0644 -o root -g root mi.crt /etc/memcached/tls/server.crt
sudo install -m 0640 -o root -g memcache mi.key /etc/memcached/tls/server.key
sudo rm -f /etc/memcached/tls/.generated-for   # sin testigo, el módulo no lo toca
sudo systemctl restart memcached

بیک اپ اور اپ ڈیٹس #

• خودکار پیچز: ‏unattended-upgrades روزانہ Ubuntu کی سیکیورٹی اپ ڈیٹس بغیر مداخلت لگاتا ہے۔
• اینٹی وائرس سگنیچرز: freshclam دن میں 24 بار ClamAV کا ڈیٹا بیس اپ ڈیٹ کرتا ہے۔
• نئی AMIs: ہم امیج کے اپ ڈیٹ شدہ ورژنز باقاعدہ وقفوں سے Marketplace پر شائع کرتے ہیں؛ ہر ورژن شائع ہونے سے پہلے اپنا Lynis آڈٹ پاس کرتا ہے۔
• بیک اپ: نہیں ہے، ڈیزائن کے مطابق۔ Memcached ایک عارضی کیش ہے: اس کا مواد ہر ری اسٹارٹ پر مٹ جاتا ہے اور اس میں کسی ڈیٹا کی واحد نقل نہیں ہونی چاہیے۔ نہ کچھ بیک اپ کرنے کو ہے نہ بحال کرنے کو۔

مسائل کا حل #

وہ مسائل جن پر تقریباً تمام ٹکٹس آتے ہیں، ان کی عام وجہ اور حل کے ساتھ۔

اکثر پوچھے گئے سوالات #

چینج لاگ #

AMI کی تاریخ۔ تاریخیں ہر ورژن کی AWS Marketplace پر اشاعت کے مطابق ہیں۔