Cyber Security · मराठी आवृत्ती

Login नंतरचे पहिले commands आणि instance metadata

रवींद्र बागले यांच्या course वर आधारित · सहज मराठीत explanation

Login झाल्यावर आधी आपण अपेक्षित OS वर आहोत का ते पाहू. मग त्या OS साठी update command वापरू आणि आवश्यक timezone सेट करू.

cat /etc/os-release                 # confirm distribution
sudo yum update -y                 # AL2023 / CentOS Stream
sudo apt update && sudo apt upgrade -y   # Ubuntu
curl -s http://169.254.169.254/latest/meta-data/ -H "X-aws-ec2-metadata-token: $(curl -s -X PUT http://169.254.169.254/latest/api/token -H 'X-aws-ec2-metadata-token-ttl-seconds: 60')"
sudo timedatectl set-timezone Asia/Kolkata

cat /etc/os-release distribution दाखवतो. Amazon Linux/CentOS-family साठी source मधला yum command, Ubuntu साठी apt command आहे; दोन्ही एकाच server वर आंधळेपणाने चालवू नका. timedatectl timezone Asia/Kolkata करते.

Instance metadata आणि IMDSv2

169.254.169.254 हा EC2 instance मधून metadata service साठी वापरला जाणारा special address आहे. Service enabled आणि accessible असल्यास instance ID, public IP, AZ आणि attached IAM role संबंधित temporary credentials यांसारखी माहिती उपलब्ध होऊ शकते.

वरच्या command मध्ये आधी IMDSv2 token मागितला आहे, मग X-aws-ec2-metadata-token header मध्ये तो वापरला आहे. एखादा field हवा असेल तर metadata URL च्या शेवटी instance-id, public-ipv4 किंवा placement/availability-zone जोडा. Public IPv4 assign केलेला नसेल तर तो field मिळणार नाही.

Security साठी IMDSv2 का?

Vulnerable app ला attacker ने internal URL fetch करायला लावण्याचा प्रकार SSRF म्हणून ओळखला जातो. Metadata service मधली temporary credentials बाहेर गेली तर role permissions चा गैरवापर होऊ शकतो. IMDSv2 चे token-based requests हा धोका कमी करतात. Instance metadata options मध्ये IMDSv2 required ठेवा आणि role ला आवश्यक तितक्याच permissions द्या.

Practice

तुमच्या स्वतःच्या EC2 instance वर IMDSv2 वापरून instance ID, public IPv4 आणि availability zone पहा. Credentials fields या exercise साठी print/share करण्याची गरज नाही.