web-dev-qa-db-ja.com

SSH要塞を用意する必要がありますか？

AWSを使用しています。ローカルのSSHクライアントを使用してLinux EC2/ECSインスタンスに接続する必要があります。また、ローカルのPostgreSQLクライアントを使用してRDSインスタンスに接続する必要があります。

AWSでSSH要塞を作成するためのチュートリアルがあります。

私はこれをする人を何人か知っています。

私はこれをしないことについての記事も見る：

IAMロール、セキュリティグループなどを正しく使用していると仮定すると、（SSH）要塞の使用を強く検討する必要がある正当な理由はありますか？彼らは何ですか？

sshaws
2
Paul Draper

要塞ホストに対する投稿を読み終えたところです。最初に著者は、それを行うことは大多数がベストプラクティスと見なしていることに反すると述べています。その興味深い投稿を短くしようとすると、次の最も重要な点を識別できます。

  • 要塞ホストを使用する場合、それ自体は何も問題はありません。期待するほど強力ではない可能性があります。
  • 欠点は次のとおりです。
    • 維持するもう1つのマシン
    • 誤ったセキュリティ感は、詳細な保護ルールの低下につながる可能性があります-これは間違いなく悪いことです。

私見この最後のポイントは最悪のユースケースです。多くの場合、人々はすべてのセキュリティルールを心配することなくセキュリティを購入するを望み、要塞がその解決策であると言われます。それは何ではありません。要塞ホストは確かにセキュリティを向上させるための優れたツールですが、最小限の特権の原則が尊重されないと役に立たなくなります。

要するに、最善のセキュリティ慣行に対する私の意見は次のとおりです。

  1. 検討したい脅威を定義する
  2. ビジネスプロセスを可能にするために有効にする必要がある最小限の権限を定義する
  3. そのルールのみが許可されていることを確認してください

次に、セキュリティ脅威分析により、内部ネットワークの入り口で強力な保護が必要であることが示されている場合（これは一般的な使用例です）、要塞ホストは、そのソフトウェアの最新バージョンで一貫して監視および保守されている場合におそらく便利です。 。その条件を満たすことができない場合は、誤ったセキュリティ感情しかありません。 私のセキュリティは要塞ホストに依存しており、他のセキュリティに関する考慮事項に飽きたくありません場合、要塞ホストはおそらく有用ではなく有害です。

2
Serge Ballesta

私の現在の会社では、設定が簡単だと思う設定でSSH要塞を使用しています。サーバーは証明書を使用してSSH接続のみを許可し、パスワードログインは許可されていません http：//www.fail2ban .org / セットアップ。このサーバーはファイアウォールの背後にあり、サーバーへの接続制限があるかどうかは不明です。個人的には、要塞サーバーを用意するのは良い考えだと思います。おそらく他のユーザーは異なる意見を持つでしょう。

0
camp0