🥇Nenechávejte porty otevřené do světa — rozlomí vás (rizika)

Znovu a znovu, po provedení auditu se setkávám se zdí nepochopení, když doporučuji skrýt porty za bílým seznamem. I velmi zkušení administrátoři/DevOps se ptají: „Proč?!?“

Navrhuji zvážit rizika podle klesající pravděpodobnosti výskytu a škod.

Chyba konfigurace
DDoS podle IP
Bruteforce
Zranitelnosti služeb
Zranitelnosti jádrového zásobníku
Posílení DDoS útoků

Chyba konfigurace

Nejtypičtější a nejnebezpečnější situace. Jak to často bývá. Vývojář potřebuje rychle otestovat hypotézu, zřizuje dočasný server s mysql/redis/mongodb/elastic. Heslo je samozřejmě složité, používá ho všude. Otevírá službu do světa — je mu pohodlné se připojit ze svého počítače bez těchto VPN. A syntax iptables si nebude pamatovat, server je přece dočasný. Ještě pár dní vývoje — zvládli to skvěle, můžeme to ukázat klientovi. Klientovi se to líbí, není čas na předělávání, spouštíme to na PRODUCTION!

Příklad úmyslně přehnaný s cílem probrat všechny úskalí:

Nic není trvalejšího než dočasné — nemám tuto frázi rád, ale podle subjektivních pocitů zůstává 20-40 % takových dočasných serverů dlouho.
Složitě univerzální heslo, které se používá na mnoha službách — zlo. Protože jedna z těchto služeb, kde bylo toto heslo použito, mohla být hacknuta. Tak či onak, databáze hacknutých služeb se spojují do jedné, která se používá pro [bruteforce]*.
Je třeba dodat, že redis, mongodb a elastic jsou po instalaci vůbec dostupné bez autentifikace a často doplňují sbírku otevřených databází.
Může se zdát, že za pár dní nikdo nescanuje váš port 3306. To je omyl! Masscan je skvělý skener a může skenovat rychlostí 10M portů za sekundu. A na internetu je pouze 4 miliardy IPv4. To znamená, že všechny porty 3306 na internetu se nacházejí za 7 minut. Karl!!! Sedm minut!
„Komu to potřebuje?“ — namítnete. A já se divím, když se podívám na statistiky ztracených paketů. Odkud za den 40 tisíc pokusů o skenování z 3 tisíc unikátních IP? Teď skenují všichni, kdo se lenochu, od maminek hackerů po vlády. Ověření je velmi jednoduché — vezměte si jakoukoli VPS za $3-5 od jakéhokoli** lowcostera, zapněte logování ztracených paketů a podívejte se do logu za den.

Povolení logování

Do /etc/iptables/rules.v4 přidejte na konec:
-A INPUT -j LOG —log-prefix "[FW — ALL] " —log-level 4

A v /etc/rsyslog.d/10-iptables.conf
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS podle IP

Pokud útočník zná vaši IP adresu, může váš server DDoS-ovat na několik hodin nebo dní. Ne všechny low-cost hostingové služby mají ochranu proti DDoS, a váš server může být jednoduše odpojen od sítě. Pokud jste server schovali za CDN, nezapomeňte změnit IP adresu, jinak ji hacker snadno najde a bude váš server DDoS-ovat obcházením CDN (velmi běžná chyba).

Zranitelnosti služeb

V každém populárním softwaru se dříve či později najdou chyby, i v nejlépe testovaných a nejkritičtějších. Mezi specialisty na bezpečnost je takový polovýrok — bezpečnost infrastruktury lze bezpečně posuzovat podle doby poslední aktualizace. Pokud je vaše infrastruktura bohatá na vystavené porty a neaktualizovali jste ji rok, pak vám jakýkoliv bezpečnostní expert řekne, že máte díry, a pravděpodobně už jste byli hacknuti.
Také je třeba zmínit, že všechny známé zranitelnosti byly kdysi neznámé. Představte si hackera, který objevil tuto zranitelnost a skenoval celý internet za 7 minut na její přítomnost… To bude nová virová epidemie. Musíte se aktualizovat, ale to může poškodit produkční prostředí, řeknete vy. A mít pravdu, pokud balíčky nejsou instalovány z oficiálních repozitářů OS. Z zkušenosti aktualizace z oficiálního repozitáře zřídka způsobují problémy v produkčním prostředí.

Bruteforce

Jak jsem uvedl výše, existuje databáze se 450 miliony hesel, která se pohodlně zadávají na klávesnici. Jinými slovy, pokud jste si heslo nevygenerovali, ale zadali jste na klávesnici vedle sebe umístěné symboly, buďte si jisti — někdo vás ukradne.

Zranitelnosti jádrového zásobníku.

Někdy je také důležité, jaký konkrétní služba otevírá port, když je zranitelný samotný síťový zásobník jádra. To znamená, že jakýkoliv tcp/udp soket na systému starém dva roky je náchylný k zranitelnosti vedoucí k DDoS.

Zesílení DDoS útoků

Nepřinese to přímou škodu, ale může přetížit váš kanál, zvýšit zátěž na systému, vaše IP se může dostat na nějaký blacklist, a vy dostanete stížnost od hostitele.

Opravdu potřebujete všechny tyto rizika? Přidejte svou domácí a pracovní IP do white-listu. I když je dynamická — přihlaste se přes administraci hostitele, přes webovou konzoli, a jednoduše přidejte další.

15 let se zabývám budováním a ochranou IT infrastruktury. Vytvořil jsem pravidlo, které všem důrazně doporučuji — žádný port nesmí být vystaven vnějšímu světu bez white-listu..

Například, nejbezpečnější webový server*** je ten, u kterého jsou otevřeny porty 80 a 443 pouze pro CDN/WAF. A servisní porty (ssh, netdata, bacula, phpmyadmin) by měly být alespoň za white-listem, a ještě lépe za VPN. Jinak riskujete, že budete kompromitováni.

Mám vše. Držte své porty zavřené!

(1) UPD1: Zde můžete zkontrolovat své skvělé univerzální heslo (nedělejte to, pokud toto heslo nezaměníte za náhodná ve všech službách), nezjistilo se, jestli bylo v uniklé databázi. A tady můžete vidět, kolik služeb bylo hacknuto, kde se objevila vaše emailová adresa, a tedy zjistit, zda bylo vaše skvělé univerzální heslo kompromitováno.
(2) K poctě Amazonu — na LightSail je minimum skenování. Zřejmě filtrují.
(3) Ještě bezpečnější webový server je ten, který je za dedikovaným firewall, se svým WAF, ale mluvíme o veřejných VPS/Dedicated.
(4) Segmentsmak.
(5) Firehol.

Pouze registrovaní uživatelé se mohou účastnit ankety. Přihlaste se, prosím.