ISFJ 개발자의 이야기

이번 블로그에서는 DNS 스푸핑 등 여러가지 DNS공격을 막기위한 장치인 Route53 DNSSEC에 대한 글을 작성해보겠습니다. DNSSEC의 필요성공격자는 DNS 쿼리를 가로채고 인터넷 엔드포인트의 실제 IP 주소 대신 자신의 IP 주소를 DNS 해석기로 반환하여 웹 서버와 같은 인터넷 엔드포인트로 전송되는 트래픽을 가로챕니다. 그러면 사용자는 공격자가 웹 사이트를 위조하기 위해 스푸핑한 응답의 IP 주소로 라우팅됩니다. DNS 트래픽을 보호하는 프로토콜인 DNSSEC(Domain Name System Security Extensions)를 구성하여 DNS 스푸핑 또는 메시지 가로채기(man-in-the-middle) 공격으로 알려진 이러한 유형의 공격으로부터 도메인을 보호할 수 있습니다. 구축 방안..

이번 블로그에서는 Route53 DNS Query Logging에 대한 글을 작성해보겠습니다. DNS Query Log란?내가 소유한 DNS에 누군가가 보안침해 시도를 할때에 DNS 쿼리 로그를 검출하여 분석하고 파악할 때 사용 되는 로그입니다.로그 정보Route53 DNS 쿼리 로그에서 아래의 정보를 확인할 수 있습니다.요청한 도메인 또는 하위 도메인요청 날짜 및 시간DNS 레코드 유형(A, AAAA 등)DNS 쿼리에 응답하는 Route 53 엣지 위치DNS 응답 코드 구축 방안Route53 DNS Query Logging은 Public Domain으로만 생성할 수 있습니다.먼저 Route53의 Public Hosted Zone을 생성해줍니다.다음으로 Configure query logging을 선택해..

이번 블로그에서는 EC2 Connect Endpoint에 대한 개념 및 구축방법을 소개하는 글을 작성해보겠습니다. EC2 Connect Endpoint 개념EC2 Instance Connect Endpoint는 결국 VPC Endpoint입니다. 이를 생성하게 되면 VPC 내부에 ENI가 생기게 되며 해당 ENI를 통해 Private Subnet에 22(SSH) 접속을 하게되는 원리입니다.EC2 Connect Endpoint의 제한사항EC2 Connect Endpoint는 다음과 같은 제한사항을 가지고 있습니다.포트는 22 및 3389 포트만 지원됩니다.Ipv6주소를 지원하는 인스턴스 연결을 지원하지 않습니다.클라이언트 Ip 보존이 활성화되면 연결할 인스턴스는 EC2 Connect Endpoint와 동일..

이번 블로그에서는 Event Bridge를 이용해서 ECR의 새로운 Image가 Push 될 경우 서버의 새로운 ECR Image를 실행되게하는 아키텍처 글을 작성해보려 합니다.아키텍처는 아래와 같이 구성됩니다. Event Bridge를 이용해 ECR Image Push를 감지하는 아키텍처를 구성하기 위해서는 아래의 순서를 따라야합니다. 1. ECR 생성2. EC2 Server 생성3. IAM 구성4. Event Bridge 생성 ECR 생성아래의 명령어를 이용해서 Image 저장소인 ECR Repository를 생성해줍니다.aws ecr create-repository \ --repository-name skills-app EC2 Server 생성다음으로 아래의 UserData를 갖도록 하는 E..

이번 블로그에서는 EC2 Hop Limit에 대한 글을 작성해보려 합니다.아키텍처는 아래와 같이 구성됩니다. EC2 Hop Limit에 대해서 알아보기 위해서는 아래의 순서를 따라야 합니다. 우선 Hop Limit에 대한 개념을 설명하고 진행하겠습니다. 1. VPC 생성2. EC2 생성 Hop Limit네트워크에서의 Hop count는 데이터가 출발지에서 도착지까지 전달되면서 거치는 네트워크 장치의 수를 나타냅니다. Hop limit은 하나의 통신에서 허용하는 최대 Hop count입니다. Hop count가 Hop limit을 넘어서게 되면 네트워크 장비가 패킷을 전달하지 않게 합니다. VPC 생성먼저 아래의 사진과 같이 Default VPC를 생성해줍니다. EC2 생성다음으로 아래의 사진을 따라서..

이번 블로그에서는 최근 나온 기능인 Lambda Git Actions를 이용해 CICD Pipeline을 구축해보려 합니다.아키텍처는 아래와 같이 구성됩니다. Lambda Git Actions CICD Pipeline을 구축하기 위해서는 아래의 순서를 따라야합니다. 1. IAM OIDC 생성 및 정책이 부여된 역할 생성2. Lambda Function 구성3. Github 구성 IAM OIDC 생성 및 정책이 부여된 역할 생성우선 아래의 사진과 같이 OIDC를 생성해줘야합니다.https://token.actions.githubusercontent.comsts.amazonaws.com 다음으로 아래의 정책을 참고해서 Trust Policy를 생성해줘야합니다.{ "Version": "2012-10-17..

이번엔 nginx docker container의 로그를 CloudWatch Log Group에 저장하는 법을 작성해보겠습니다. 먼저 로그를 저장할 로그 그룹을 하나 생성해줍니다.다음으로 CloudWatch Logs에 로그를 보낼 수 있도록 서버의 역할을 생성 해주겠습니다.이름은 알아보기 쉽도록 log-role로 지정하였습니다. 다음으로 서버에서 CloudWatch Logs에 접근할 수 있도록 인라인 정책을 부여해줍니다.아래의 정책을 그대로 넣어주면 됩니다.정책이름은 알아보기 쉽도록 logs-policy로 지정하겠습니다.EC2에 생성한 IAM Role을 할당해주고 아래의 명령어를 이용해서 nginx 컨테이너를 log option을 포함해서 실행시켜줍니다.sudo docker run -d --nam..

Google Authenticator를 이용해서 MFA 인증 시 Amazon Linux 2023 EC2서버에 접근 가능하도록 구축해보겠습니다. 우선 ssh 접근 관련 설정을 수정해줍니다.sudo sed -i '40i\PermitRootLogin yes' /etc/ssh/sshd_configsudo sed -i '41i\RSAAuthentication yes' /etc/ssh/sshd_config sudo sed -i '8i\auth required pam_google_authenticator.so nullok' /etc/pam.d/sshd sudo sed -i '10i\ChallengeResponseAuthentication yes' /etc/ssh/sshd_config.d/50-redhat.confsu..

현재 아래와 같이 생성한 아마존 리눅스 2023 EC2 서버에 root 유저로 접속하려고 하면 아래와 같은 문제가 발생합니다. 해결 방안sudo su # root 유저vim /etc/ssh/sshd_config먼저 위 명령어로 root 에 접근해주고 sshd_config 파일을 아래의 사진과 같이 수정해줘야 합니다.PermitRootLogin yes 부분을 작성해주고 저장하고 나옵니다. systemctl restart sshd그리고 위 명령어로 sshd를 재시작 해줍니다. 마지막으로 아래의 명령어를 통해 루트 디렉터리로 .ssh 를 옮겨줍니다.sudo cp /home/ec2-user/.ssh/authorized_keys /root/.ssh/chmod 700 /root/.sshchmod 600 /root/..

ecr.api 엔드포인트ECR.API는 레지스트리 관리 작업을 위한 인터페이스입니다.주로 Amazon ECR 서비스의 관리 작업에 사용됩니다.레포지토리 생성/삭제, 이미지 태그 관리, 권한 설정, 정책 관리 등과 같은 제어 영역(control plane) 작업을 처리예: 레포지토리 목록 조회, 이미지 메타데이터 검색, 레포지토리 권한 설정 등ecr.dkr 엔드포인트ECR.DKR은 실제 Docker 이미지를 주고받는 Docker 호환 인터페이스입니다.Docker 레지스트리 호환 API 작업을 위한 엔드포인트Docker 클라이언트와 호환되어 Docker push/pull과 같은 데이터 영역(data plane) 작업을 처리예: Docker 이미지 업로드(push), 다운로드(pull) 등한줄 요약ecr.ap..