AWS 四月小聚速記

Posted by Kakashi on 2017-04-07

這次的聚會是討論 security

  1. Bastion 機
    • 外面的 datacenter 都是買現成的 solution,然後有專業的 SI 幫你安裝,感覺很強大啊!
    • Tim Hsu 大大分享,他自己建立 bastion 機器,然後利用 container 隔離每個人的登入環境,很容易收集個別帳號在container 的行為,然後也有寫程式去管理哪些 user 可以連到哪個主機,bastion 機上面也有做 TOTP 加強其安全性。
    • 相關的實作方式可以參照 https://www.slideshare.net/timhsu/docker-honeypot-public
  2. 提到如何在外流的 IOT 裝置,如何提升安全性,可以在上面埋一些關卡,像是登入後一定要建立什麼臨時檔案,如果沒有就發出警告出來,或是把 ls, rm 之類的 command 換掉。
  3. 現在比較流行的是 Bug Bounty ,而不是滲透測試,如果真的要花錢找人做滲透測試,要先自己把該做的地方做一做,而不是無腦請人來攻擊。
  4. 資訊安全要想到的是,如果真的有洞或是被入侵,要先想好有什麼步驟可以阻斷減少傷害。主機擺在公開網段上就是有可能被攻擊,有點像是潛水艇,真正在出戰的時候,需要很多 sensor 去偵測每個部分是否有問題,真的被打一個洞,要能夠把那邊關掉隔離。
  5. 如果受到 DDOS 攻擊,在 AWS 上面就是先用 cloud front 去擋擋流量,如果不行就要請上游用 BGP 導去別的地方洗腎 (洗流量),就是會把髒髒的流量洗掉,聽說中華電信也有洗腎中心,怎麼聽起來也蠻厲害的(大誤