IMDShift

메타데이터 엔드포인트에 의존하는 AWS 워크로드는 SSRF(Server-Side Request Forgery) 공격에 취약합니다. IMDShift는 향상된 보안 조치를 구현하여 이러한 공격을 방어하는 IMDSv2로 모든 워크로드의 마이그레이션 프로세스를 광범위한 기능으로 자동화합니다.

IMDShift CLI Image

기능

다양한 서비스(EC2, ECS, EKS, Lightsail, AutoScaling Groups, Sagemaker Notebooks, Beanstalk(진행 중)) 중에서 메타데이터 엔드포인트에 의존하는 AWS 워크로드 탐지
간단하고 직관적인 명령줄 인터페이스로 손쉬운 사용
모든 워크로드를 IMDSv2로 자동 마이그레이션
호환 리소스에 대한 독립적 홉 제한 업데이트
호환 리소스에 대한 독립적 메타데이터 엔드포인트 활성화 작업
마이그레이션 프로세스의 상세 로깅
지정된 리전에서 MetadataNoToken CloudWatch 메트릭을 사용하여 IMDSv1을 사용하는 리소스 식별
내장된 서비스 제어 정책(SCP) 권장 사항

IMDShift vs Metabadger

Metabadger는 AWS EC2 워크로드를 IMDSv2로 마이그레이션하는 데 사용된 이전 도구입니다.

IMDShift는 Metabadger의 기능에 여러 가지 개선 사항을 제공합니다:

IMDShift는 맹목적으로 모든 EC2 인스턴스가 아닌 독립 서비스의 마이그레이션을 허용합니다. 예를 들어, 사용자는 EKS 워크로드만 마이그레이션하도록 선택할 수 있으며, Lightsail과 같은 일부 서비스는 EC2 범주에 속하지 않지만 IMDShift는 이러한 리소스도 마이그레이션할 수 있습니다.
IMDShift는 현재 비활성화된 리소스에 대해 나머지 리소스 마이그레이션을 수행하지 않고도 독립적으로 메타데이터 엔드포인트를 활성화할 수 있습니다.
IMDShift는 메타데이터 엔드포인트가 활성화된 리소스에 대해 나머지 리소스 마이그레이션을 수행하지 않고도 독립적으로 응답 홉 제한을 업데이트할 수 있습니다.
IMDShift는 특정 리전을 포함하는 옵션뿐만 아니라 지정된 리전을 건너뛰는 옵션도 제공합니다.
IMDShift는 AWS 프로필 사용뿐만 아니라 역할을 수임하여 작업할 수도 있습니다.
IMDShift는 다양한 서비스 제어 정책(SCP)을 제안하여 마이그레이션 후 활동을 지원합니다.

설치

프로덕션 설치

git clone https://github.com/ayushpriya10/imdshift.git
cd imdshift/
python3 -m pip install .

개발 설치

git clone https://github.com/ayushpriya10/imdshift.git
cd imdshift/
python3 -m pip install -e .

사용법

Options:
  --services TEXT             This flag specifies services scan for IMDSv1
                              usage from [EC2, Sagemaker, ASG (Auto Scaling
                              Groups), Lightsail, ECS, EKS, Beanstalk].
                              Format: "--services EC2,Sagemaker,ASG"
  --include-regions TEXT      This flag specifies regions explicitly to
                              include scan for IMDSv1 usage. Format: "--
                              include-regions ap-south-1,ap-southeast-1"
  --exclude-regions TEXT      This flag specifies regions to exclude from the
                              scan explicitly. Format: "--exclude-regions ap-
                              south-1,ap-southeast-1"
  --migrate                   This boolean flag enables IMDShift to perform
                              the migration, defaults to "False". Format: "--
                              migrate"
  --update-hop-limit INTEGER  This flag specifies if the hop limit should be
                              updated and with what value. It is recommended
                              to set the hop limit to "2" to enable containers
                              to be able to work with the IMDS endpoint. If
                              this flag is not passed, hop limit is not
                              updated during migration. Format: "--update-hop-
                              limit 3"
  --enable-imds               This boolean flag enables IMDShift to enable the
                              metadata endpoint for resources that have it
                              disabled and then perform the migration,
                              defaults to "False". Format: "--enable-imds"
  --profile TEXT              This allows you to use any profile from your
                              ~/.aws/credentials file. Format: "--profile
                              prod-env"
  --role-arn TEXT             This flag let's you assume a role via aws sts.
                              Format: "--role-arn
                              arn:aws:sts::111111111:role/John"
  --print-scps                This boolean flag prints Service Control
                              Policies (SCPs) that can be used to control IMDS
                              usage, like deny access for credentials fetched
                              from IMDSv2 or deny creation of resources with
                              IMDSv1, defaults to "False". Format: "--print-
                              scps"
  --check-imds-usage          This boolean flag launches a scan to identify
                              how many instances are using IMDSv1 in specified
                              regions, during the last 30 days, by using the
                              "MetadataNoToken" CloudWatch metric, defaults to
                              "False". Format: "--check-imds-usage"
  --help                      Show this message and exit.

IMDShift

인기

IMDShift

기능

IMDShift vs Metabadger

설치

프로덕션 설치

개발 설치

사용법