বিশ্বের জন্য বন্দর খুলবেন না - আপনি ভেঙে যাবেন (ঝুঁকি)

বারবার, একটি অডিট পরিচালনা করার পরে, একটি সাদা তালিকার আড়ালে বন্দরগুলিকে আড়াল করার জন্য আমার সুপারিশের প্রতিক্রিয়ায়, আমি ভুল বোঝাবুঝির প্রাচীরের মুখোমুখি হয়েছি। এমনকি খুব শান্ত প্রশাসক/DevOps জিজ্ঞাসা: "কেন?!?"

আমি সংঘটন এবং ক্ষয়ক্ষতির সম্ভাবনার ক্রমানুসারে ঝুঁকি বিবেচনা করার প্রস্তাব করছি।

1. কনফিগারেশন ত্রুটি
2. আইপির উপর DDoS
3. পাশবিক বল
4. পরিষেবার দুর্বলতা
5. কার্নেল স্ট্যাক দুর্বলতা
6. বর্ধিত DDoS আক্রমণ

কনফিগারেশন ত্রুটি

সবচেয়ে সাধারণ এবং বিপজ্জনক পরিস্থিতি। এটা কিভাবে হয়. বিকাশকারীকে দ্রুত হাইপোথিসিস পরীক্ষা করতে হবে; তিনি mysql/redis/mongodb/elastic সহ একটি অস্থায়ী সার্ভার সেট আপ করেন। পাসওয়ার্ডটি অবশ্যই জটিল, তিনি এটি সর্বত্র ব্যবহার করেন। এটি বিশ্বের জন্য পরিষেবাটি উন্মুক্ত করে - আপনার এই VPNগুলি ছাড়াই তার পিসি থেকে সংযোগ করা তার পক্ষে সুবিধাজনক৷ এবং আমি iptables সিনট্যাক্স মনে রাখতে খুব অলস; সার্ভারটি যাইহোক অস্থায়ী। বিকাশের আরও কয়েক দিন - এটি দুর্দান্ত পরিণত হয়েছে, আমরা এটি গ্রাহককে দেখাতে পারি। গ্রাহক এটি পছন্দ করেন, এটি পুনরায় করার কোন সময় নেই, আমরা এটিকে PROD-তে চালু করি!

সমস্ত রেকের মধ্য দিয়ে যাওয়ার জন্য ইচ্ছাকৃতভাবে অতিরঞ্জিত একটি উদাহরণ:

1. অস্থায়ী থেকে স্থায়ী আর কিছু নেই - আমি এই বাক্যাংশটি পছন্দ করি না, তবে বিষয়গত অনুভূতি অনুসারে, এই জাতীয় অস্থায়ী সার্ভারগুলির 20-40% দীর্ঘ সময়ের জন্য থাকে।
2. একটি জটিল সার্বজনীন পাসওয়ার্ড যা অনেক পরিষেবাতে ব্যবহৃত হয় তা খারাপ। কারণ এই পাসওয়ার্ড ব্যবহার করা হয়েছে এমন একটি পরিষেবা হ্যাক হয়ে যেতে পারে। এক বা অন্য উপায়ে, হ্যাক করা পরিষেবাগুলির ডাটাবেসগুলি একের মধ্যে একত্রিত হয়, যা [ব্রুট ফোর্স]* এর জন্য ব্যবহৃত হয়।
   এটা যোগ করা উচিত যে ইনস্টলেশনের পরে, রেডিস, মঙ্গোডবি এবং ইলাস্টিক সাধারণত প্রমাণীকরণ ছাড়াই পাওয়া যায় এবং প্রায়শই পুনরায় পূরণ করা হয় খোলা ডাটাবেস সংগ্রহ.
3. এটা মনে হতে পারে যে কয়েক দিনের মধ্যে কেউ আপনার 3306 পোর্ট স্ক্যান করবে না। এটা একটা বিভ্রম! Masscan একটি চমৎকার স্ক্যানার এবং প্রতি সেকেন্ডে 10M পোর্টে স্ক্যান করতে পারে। এবং ইন্টারনেটে মাত্র 4 বিলিয়ন IPv4 আছে। তদনুসারে, ইন্টারনেটের সমস্ত 3306 পোর্ট 7 মিনিটে অবস্থিত। চার্লস!!! সাত মিনিট!
   "কার এটা দরকার?" - তুমি আপত্তি কর। তাই আমি বিস্মিত হই যখন আমি বাদ দেওয়া প্যাকেজের পরিসংখ্যান দেখি। প্রতিদিন 40 হাজার অনন্য আইপি থেকে 3 হাজার স্ক্যান প্রচেষ্টা কোথা থেকে আসে? এখন সবাই স্ক্যান করছে, মায়ের হ্যাকার থেকে শুরু করে সরকার পর্যন্ত। এটা চেক করা খুবই সহজ - যেকোন** কম খরচের এয়ারলাইন থেকে $3-5 এর মধ্যে যেকোন VPS নিন, বাদ দেওয়া প্যাকেজগুলির লগিং সক্ষম করুন এবং একদিনে লগ ইন দেখুন৷

লগিং সক্ষম করা হচ্ছে

/etc/iptables/rules.v4-এ শেষে যোগ করুন:
-A INPUT -j LOG --log-prefix "[FW - ALL]" --log-level 4

এবং /etc/rsyslog.d/10-iptables.conf-এ
:msg, ধারণ করে,"[FW - " /var/log/iptables.log
এবং থামুন

আইপির উপর DDoS

যদি একজন আক্রমণকারী আপনার আইপি জানে, সে আপনার সার্ভারকে কয়েক ঘন্টা বা দিনের জন্য হাইজ্যাক করতে পারে। সব কম খরচে হোস্টিং প্রদানকারীর DDoS সুরক্ষা নেই এবং আপনার সার্ভার কেবল নেটওয়ার্ক থেকে সংযোগ বিচ্ছিন্ন হয়ে যাবে। আপনি যদি একটি CDN এর পিছনে আপনার সার্ভার লুকিয়ে রাখেন, তাহলে IP পরিবর্তন করতে ভুলবেন না, অন্যথায় একজন হ্যাকার এটিকে গুগল করবে এবং CDN (একটি খুব জনপ্রিয় ভুল) বাইপাস করে আপনার সার্ভার DDoS করবে।

পরিষেবার দুর্বলতা

সমস্ত জনপ্রিয় সফ্টওয়্যার শীঘ্রই বা পরে ত্রুটিগুলি খুঁজে পায়, এমনকি সবচেয়ে পরীক্ষিত এবং সমালোচনামূলকও৷ আইবি বিশেষজ্ঞদের মধ্যে, একটি অর্ধ-তামাশা আছে - শেষ আপডেটের সময় দ্বারা পরিকাঠামোর নিরাপত্তা নিরাপদে মূল্যায়ন করা যেতে পারে। যদি আপনার অবকাঠামো বিশ্বের মধ্যে আটকে থাকা বন্দরগুলিতে সমৃদ্ধ হয় এবং আপনি এটি এক বছর ধরে আপডেট না করেন, তাহলে যেকোন নিরাপত্তা বিশেষজ্ঞ আপনাকে না দেখেই বলবেন যে আপনি ফাঁস করছেন এবং সম্ভবত ইতিমধ্যেই হ্যাক হয়ে গেছে।
এটাও উল্লেখ করার মতো যে সমস্ত পরিচিত দুর্বলতা একসময় অজানা ছিল। কল্পনা করুন একজন হ্যাকার যে এমন একটি দুর্বলতা খুঁজে পেয়েছে এবং তার উপস্থিতির জন্য 7 মিনিটের মধ্যে পুরো ইন্টারনেট স্ক্যান করেছে... এখানে একটি নতুন ভাইরাস মহামারী রয়েছে) আমাদের আপডেট করতে হবে, কিন্তু এটি পণ্যের ক্ষতি করতে পারে, আপনি বলছেন। এবং আপনি সঠিক হবেন যদি প্যাকেজগুলি অফিসিয়াল OS সংগ্রহস্থল থেকে ইনস্টল না করা হয়। অভিজ্ঞতা থেকে, অফিসিয়াল রিপোজিটরি থেকে আপডেটগুলি খুব কমই পণ্যটি ভেঙে দেয়।

পাশবিক বল

উপরে বর্ণিত হিসাবে, অর্ধ বিলিয়ন পাসওয়ার্ড সহ একটি ডাটাবেস রয়েছে যা কীবোর্ড থেকে টাইপ করা সুবিধাজনক। অন্য কথায়, আপনি যদি পাসওয়ার্ড তৈরি না করেন, কিন্তু কীবোর্ডে সংলগ্ন চিহ্ন টাইপ করেন, তবে নিশ্চিত থাকুন* যে তারা আপনাকে বিভ্রান্ত করবে।

কার্নেল স্ট্যাক দুর্বলতা।

এটাও ঘটে **** যে কার্নেল নেটওয়ার্ক স্ট্যাক নিজেই দুর্বল হলে কোন পরিষেবাটি পোর্টটি খোলে তা বিবেচ্য নয়। অর্থাৎ, দুই বছরের পুরানো সিস্টেমে যেকোনও tcp/udp সকেট DDoS-এর দিকে পরিচালিত একটি দুর্বলতার জন্য সংবেদনশীল।

বর্ধিত DDoS আক্রমণ

এটি কোনও সরাসরি ক্ষতির কারণ হবে না, তবে এটি আপনার চ্যানেলকে আটকাতে পারে, সিস্টেমে লোড বাড়াতে পারে, আপনার আইপি কিছু কালো-তালিকায় শেষ হবে ****, এবং আপনি হোস্টার থেকে অপব্যবহার পাবেন।

আপনি সত্যিই এই সব ঝুঁকি প্রয়োজন? সাদা তালিকায় আপনার বাড়ি এবং কাজের আইপি যোগ করুন। এমনকি যদি এটি গতিশীল হয়, হোস্টারের অ্যাডমিন প্যানেলের মাধ্যমে, ওয়েব কনসোলের মাধ্যমে লগ ইন করুন এবং অন্য একটি যোগ করুন।

আমি 15 বছর ধরে আইটি অবকাঠামো তৈরি ও রক্ষা করছি। আমি একটি নিয়ম তৈরি করেছি যা আমি দৃঢ়ভাবে প্রত্যেকের কাছে সুপারিশ করছি - কোন বন্দর সাদা তালিকা ছাড়া বিশ্বের মধ্যে আটকে থাকা উচিত নয়.

উদাহরণ স্বরূপ, সবচেয়ে নিরাপদ ওয়েব সার্ভার*** যেটি শুধুমাত্র CDN/WAF-এর জন্য 80 এবং 443 খোলে। এবং পরিষেবা পোর্টগুলি (ssh, netdata, bacula, phpmyadmin) অন্তত সাদা-তালিকার পিছনে থাকা উচিত এবং VPN এর পিছনে আরও ভাল। অন্যথায়, আপনি আপস করা ঝুঁকি.

এটাই বলতে চেয়েছিলাম। আপনার পোর্ট বন্ধ রাখুন!

• (1) ইউপিডি 1: এটা হল আপনি আপনার দুর্দান্ত সার্বজনীন পাসওয়ার্ড পরীক্ষা করতে পারেন (সমস্ত পরিষেবাতে এই পাসওয়ার্ডটি র্যান্ডম দিয়ে প্রতিস্থাপন না করে এটি করবেন না), এটি মার্জ করা ডাটাবেসে উপস্থিত হয়েছে কিনা। এবং এখানে আপনি দেখতে পারেন কতগুলি পরিষেবা হ্যাক হয়েছে, যেখানে আপনার ইমেল অন্তর্ভুক্ত করা হয়েছে এবং সেই অনুযায়ী, আপনার দুর্দান্ত সার্বজনীন পাসওয়ার্ডের সাথে আপস করা হয়েছে কিনা তা খুঁজে বের করুন৷
• (2) অ্যামাজনের কৃতিত্বের জন্য, লাইটসেলের ন্যূনতম স্ক্যান রয়েছে। দৃশ্যত তারা এটি একরকম ফিল্টার.
• (3) একটি ডেডিকেটেড ফায়ারওয়ালের পিছনে একটি আরও নিরাপদ ওয়েব সার্ভার, এটির নিজস্ব WAF, কিন্তু আমরা পাবলিক VPS/ডেডিকেটেড সম্পর্কে কথা বলছি।
• (4) সেগমেন্টমাক।
• (5) ফায়ারহোল।

শুধুমাত্র নিবন্ধিত ব্যবহারকারীরা জরিপে অংশগ্রহণ করতে পারবেন। সাইন ইন করুনকরুন।

আপনার পোর্ট আউট লাঠি?

• সর্বদা

• কখনও কখনও

• না

• আমি জানি না, চোদন

54 জন ব্যবহারকারী ভোট দিয়েছেন। 6 জন ব্যবহারকারী বিরত ছিলেন।

উত্স: www.habr.com