【云安全】云服务-云服务器ECS-安全问题分析

标签：RAM 用户安全实例 ECS 服务器阿里 Cloud

ECS概念

弹性计算服务（Elastic Compute Service, ECS）是一种云计算基础设施服务。它可以轻松地创建和管理虚拟服务器，为用户提供弹性的计算能力。

弹性计算服务的主要特点包括：

弹性伸缩：用户可以根据实际需求自动或手动调整计算能力。可以根据业务负载的变化，动态地增加或减少虚拟服务器的数量，以确保应用程序始终具有足够的计算资源。
多种实例类型：弹性计算服务提供多种实例类型，包括通用型、计算型、内存型和存储型等，以满足不同应用场景的需求。用户可以根据应用程序的性能和存储需求选择合适的实例类型。
快速部署：用户可以通过简单的配置步骤快速部署虚拟服务器。云服务厂商提供了丰富的镜像和应用程序模板，用户可以选择适合自己需求的模板进行部署，大大减少了部署时间和复杂性。
安全可靠：弹性计算服务提供多层次的安全措施，包括数据加密、身份验证和访问控制等。此外，云服务厂商还提供了自动备份和容灾机制，以确保数据的安全性和可靠性。
弹性网络：弹性计算服务与云服务厂商的弹性 IP 和虚拟私有网络（VPC）等网络服务紧密集成，为用户提供弹性的网络配置选项。用户可以根据自己的需求灵活地创建和管理网络资源。

弹性计算服务广泛应用于网站托管、应用程序开发、大数据分析、企业应用部署等各种场景，为用户提供强大的计算能力和灵活的资源管理功能。

ECS不同叫法

各大云服务厂商关于ECS（弹性计算服务）的不同叫法：

亚马逊AWS（Amazon Web Services）：EC2（Elastic Compute Cloud）
微软Azure：VM（Virtual Machines）
谷歌云（Google Cloud）：GCE（Google Compute Engine）
阿里云（Alibaba Cloud）：ECS（Elastic Compute Service）
腾讯云（Tencent Cloud）：CVM（Cloud Virtual Machine）
华为云（Huawei Cloud）：ECS（Elastic Cloud Server）
百度云（Baidu Cloud）：BCS（Baidu Cloud Server）

ECS购买

ECS的购买也可称之为“创建实例”，这里以阿里云ECS举例

选择自身需要的配置

下单后，返回控制台，查看实例，这样就购买了一台ECS（创建了一个实例）

ECS安全问题

ECS主要安全问题：攻击者通过ECS实例上的相关权限，如SSRF漏洞，获取到实例元数据中的RAM角色的STS临时凭证信息，进而实现横向移动。

实例元数据（metadata）

ECS实例元数据是指实例ID、VPC信息、网卡信息等实例属性信息，支持在ECS实例内部通过访问元数据服务（Metadata Service）获取。通过该获取方式，您无需登录控制台或调用API，在实例内部即可访问实例信息，可以更便捷、安全地配置或管理正在运行的实例或实例上的程序。例如，运行在ECS实例中的应用程序，可以通过访问实例元数据服务获取绑定到实例上的RAM角色身份凭证（STS），以在不硬编码凭证的情况下访问授权资源（如OSS、KMS、其他ECS等）。

获取方式

不同云厂商提供不同的方式来获取实例元数据。以下是一些常见云厂商的实例元数据获取地址：

阿里云元数据地址：http://100.100.100.200/

腾讯云元数据地址：http://metadata.tencentyun.com/

华为云元数据地址：http://169.254.169.254/

亚马云元数据地址：http://169.254.169.254/

微软云元数据地址：http://169.254.169.254/

谷歌云元数据地址：http://metadata.google.internal/

阿里云服务器获取实例元数据示例