c2.7 Exigir IMDSv2 en las instancias EC2
El servicio de metadatos de instancia (IMDS) de EC2 entrega credenciales temporales y rotativas a las instancias para que nunca codifique keys. Exija IMDSv2 en todas partes: agrega protecciones de sesión que bloquean el robo de credenciales mediante SSRF, al que IMDSv1 era vulnerable.
Guía de implementación
Por qué IMDSv2
El servicio de metadatos de instancia le da a la instancia credenciales temporales y rotadas con frecuencia sin codificarlas ni distribuirlas. IMDSv2 hace la solicitud orientada a sesión (requiere un token), lo que impide que un atacante alcance el endpoint de metadatos a través de una vulnerabilidad de server-side request forgery (SSRF) y robe esas credenciales.
Qué hacer
1. Los nuevos lanzamientos de instancias ahora usan IMDSv2 por defecto, pero las instancias creadas antes de ese cambio pueden seguir permitiendo IMDSv1. Confirme que los nuevos lanzamientos exijan IMDSv2 por defecto y reconfigure las instancias antiguas. 2. Detecte incumplimientos con el control EC2.8 de AWS Security Hub CSPM o la regla ec2-imdsv2-check de AWS Config. 3. Configure las instancias que aún permiten IMDSv1 para exigir IMDSv2 y luego deshabilite IMDSv1 en toda su flota; vea Get the full benefits of IMDSv2.
Hazlo con la CLI
Exige IMDSv2 (y deshabilita IMDSv1) en una instancia existente:
aws ec2 modify-instance-metadata-options \
--instance-id i-0123456789abcdef0 \
--http-tokens required \
--http-endpoint enabledHaz que todo nuevo lanzamiento en la cuenta exija IMDSv2 por defecto:
aws ec2 modify-instance-metadata-defaults \
--http-tokens required \
--http-endpoint enabledCómo validar
- ¿Sus instancias están configuradas para exigir IMDSv2?
- ¿Ha verificado que los nuevos lanzamientos de EC2 exijan IMDSv2 por defecto?
- ¿Usa AWS Security Hub CSPM o AWS Config para detectar instancias que aún permiten IMDSv1?
Amenazas que atiende
- Una aplicación vulnerable a SSRF en una instancia que aún permite IMDSv1 puede ser engañada para leer las credenciales de la instancia desde el endpoint de metadatos y usarlas fuera de la instancia.
Servicios AWS
Amazon EC2 
AWS Security Hub 
AWS Config Precios
Aplicar IMDSv2 en Amazon EC2 se ofrece sin cargo adicional.