c2.7 Exigir IMDSv2 nas instâncias EC2
O serviço de metadados de instância (IMDS) do EC2 entrega credenciais temporárias e rotativas às instâncias para que você nunca codifique keys. Exija IMDSv2 em todos os lugares: ele adiciona proteções de sessão que bloqueiam o roubo de credenciais via SSRF, ao qual o IMDSv1 era vulnerável.
Guia de implementação
Por que IMDSv2
O serviço de metadados de instância fornece à instância credenciais temporárias e rotacionadas com frequência sem codificá-las ou distribuí-las. O IMDSv2 torna a requisição orientada a sessão (exige um token), o que impede que um atacante alcance o endpoint de metadados por meio de uma vulnerabilidade de server-side request forgery (SSRF) e roube essas credenciais.
O que fazer
1. Novos lançamentos de instâncias agora usam IMDSv2 por padrão, mas instâncias criadas antes dessa mudança podem ainda permitir IMDSv1. Confirme que novos lançamentos exijam IMDSv2 por padrão e reconfigure as instâncias antigas. 2. Detecte não conformidades com o controle EC2.8 do AWS Security Hub CSPM ou a regra ec2-imdsv2-check do AWS Config. 3. Configure as instâncias que ainda permitem IMDSv1 para exigir IMDSv2 e depois desative o IMDSv1 em toda a sua frota; veja Get the full benefits of IMDSv2.
Faça pela CLI
Exija IMDSv2 (e desative o IMDSv1) em uma instância existente:
aws ec2 modify-instance-metadata-options \
--instance-id i-0123456789abcdef0 \
--http-tokens required \
--http-endpoint enabledFaça com que todo novo lançamento na conta exija IMDSv2 por padrão:
aws ec2 modify-instance-metadata-defaults \
--http-tokens required \
--http-endpoint enabledComo validar
- Suas instâncias estão configuradas para exigir IMDSv2?
- Você verificou que novos lançamentos de EC2 exigem IMDSv2 por padrão?
- Você usa o AWS Security Hub CSPM ou o AWS Config para detectar instâncias que ainda permitem IMDSv1?
Ameaças atendidas
- Uma aplicação vulnerável a SSRF em uma instância que ainda permite IMDSv1 pode ser enganada para ler as credenciais da instância no endpoint de metadados e usá-las fora da instância.
Serviços AWS
Amazon EC2 
AWS Security Hub 
AWS Config Preços
Aplicar o IMDSv2 no Amazon EC2 é oferecido sem custo adicional.