ProHoster > Blog > Administration > Åbn ikke porte for verden — du vil blive brudt ind (risici)

Åbn ikke porte for verden — du vil blive brudt ind (risici)

Åbn ikke porte for verden — du vil blive brudt ind (risici)

Igen og igen, efter at have udfÞrt en revision, mÞder jeg pÄ mine anbefalinger om at skjule porter bag en whitelist en mur af uforstÄelse. Selv meget dygtige administratorer/DevOps spÞrger: "Hvorfor?!?"

Lad os overveje risiciene i faldende rĂŠkkefĂžlge efter sandsynlighed for forekomst og skade.

  1. Konfigurationsfejl
  2. DDoS via IP
  3. Bruteforce
  4. SĂ„rbarheder i tjenester
  5. SĂ„rbarheder i kerneprotokoller
  6. ForstĂŠrkning af DDoS angreb

Konfigurationsfejl

Den mest typiske og farlige situation. SĂ„dan gĂ„r det nogle gange. Udvikleren skal hurtigt teste en hypotese, han opretter en midlertidig server med mysql/redis/mongodb/elastic. Adgangskoden er selvfĂžlgelig kompleks, han bruger den overalt. Han Ă„bner tjenesten for verden — det er nemt at forbinde fra sin PC uden at brugeVPN. Og det er besvĂŠrligt at huske syntaksen til iptables, serveren er jo midlertidig. Et par dages udvikling senere — det blev fantastisk, vi kan vise det til kunden. Kunden kan godt lide det, der er ikke tid til omarbejdning, vi sĂŠtter det i LIVE!

Et eksempel som bevidst er overdrevet for at belyse alle faldgruberne:

  1. Der er ikke noget mere permanent end midlertidige — jeg kan ikke lide dette udsagn, men efter subjektive fþlelser forbliver 20-40% af disse midlertidige servere i lang tid.
  2. En kompleks universel adgangskode, der bruges pĂ„ mange tjenester — er skadelig. Fordi en af de tjenester, hvor denne adgangskode blev brugt, kunne vĂŠre blevet hacket. PĂ„ en eller anden mĂ„de samles databaser fra hacket tjenester i en, som bruges til [bruteforce]*.
    Det skal tilfĂžjes, at redis, mongodb og elastic efter installationen generelt er tilgĂŠngelige uden autentificering, og ofte fĂžjer til samlingen af Ă„bne databaser.
  3. Det kan virke som om, at pÄ et par dage vil ingen scanne din port 3306. Det er en misforstÄelse! Masscan er en fremragende scanner, og kan scanne med en hastighed pÄ 10M porte i sekundet. Og der er kun 4 milliarder IPv4 adresser pÄ internettet. Det betyder, at alle 3306 porte pÄ internettet findes inden for 7 minutter. Karl!!! Syv minutter!
    "Hvem har overhovedet behov for det?" — vil du indvende. Og jeg undrer mig ogsĂ„, nĂ„r jeg ser pĂ„ statistikken over droppede pakker. Hvor kommer 40.000 scanning forsĂžg fra i lĂžbet af en dag fra 3.000 unikke IP adresser? Nu scanner alle, der gider, fra amatĂžrhackere til regeringer. Det er meget nemt at kontrollere — tag en hvilken som helst VPS for $3-5 hos en low-cost udbyder, aktiver logning af droppede pakker og tjek loggen efter en dag.

Aktivering af logning

I /etc/iptables/rules.v4 tilfĂžj i bunden:
-A INPUT -j LOG —log-prefix «[FW — ALL] » —log-level 4

Og i /etc/rsyslog.d/10-iptables.conf
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS via IP

Hvis en angriber kender din IP, kan han i flere timer eller dage DDoS'e din server. Ikke alle low-cost hostingtjenester har DDoS-beskyttelse, og din server kan simpelthen blive frakoblet netvĂŠrket. Hvis du har skjult serveren bag en CDN, glem ikke at ĂŠndre IP, ellers vil hackeren kunne finde den og DDoS'e din server uden om CDN (en meget almindelig fejl).

SĂ„rbarheder i tjenester

I al populĂŠr software findes der fĂžr eller siden fejl, selv i den mest testede og kritiske. I sikkerhedseksperternes verden er der en slags halv-joke — man kan roligt vurdere sikkerheden af infrastrukturen ud fra tidspunktet for den sidste opdatering. Hvis din infrastruktur har mange Ă„bne porte til internettet, og du ikke har opdateret den i et Ă„r, sĂ„ vil enhver sikkerhedsekspert uden videre sige, at du har sikkerhedsproblemer, og sandsynligvis allerede er blevet hacket.
Det er ogsÄ vÊrd at nÊvne, at alle kendte sÄrbarheder engang var ukendte. Forestil dig en hacker, der har fundet en sÄdan sÄrbarhed og har scannet hele internettet for dens tilstedevÊrelse pÄ 7 minutter... Det kan resultere i en ny virusepidemi ) Du skal opdatere, men det kan skade produktet, siger du. Og du vil have ret, hvis pakkerne ikke installeres fra officielle OS-repositorier. Ud fra erfaring, bryder opdateringer fra det officielle repository sjÊldent produktet.

Bruteforce

Som nĂŠvnt fĂžr, er der en database med halv milliard adgangskoder, der er lette at indtaste med tastaturet. Med andre ord, hvis du ikke har genereret en adgangskode, men har tastet nĂŠrtliggende tegn pĂ„ tastaturet, kan du vĂŠre sikker — du vil blive hacket.

SĂ„rbarheder i kernelstakken.

Det sker ogsÄ, at det ikke engang betyder noget, hvilken tjeneste der Äbner en port, nÄr selve netvÊrksstakken i kerne er sÄrbar. Det vil sige, at enhver tcp/udp-socket pÄ et to Är gammelt system er udsat for en sÄrbarhed, der fÞrer til DDoS.

Styrkelse af DDoS-angreb

Det vil ikke direkte forÄrsage skade, men det kan overbelaste dit bÄndbredde, Þge belastningen pÄ systemet, din IP kan ende pÄ en eller anden black-list, og du vil fÄ klager fra din host.

Er alle disse risici virkelig nþdvendige for dig? Tilfþj din hjemme- og arbejds-IP til whitelisten. Selv hvis den er dynamisk — log ind gennem hostens admin-panel, via web-konsollen, og tilfþj blot en ekstra.

Jeg har i 15 Ă„r arbejdet med opbygning og beskyttelse af IT-infrastruktur. Jeg har udviklet en regel, som jeg stĂŠrkt anbefaler alle at fĂžlge — ingen porte bĂžr stikke ud i verden uden en whitelist.

For eksempel er den mest sikre webserver*** den, hvor portene 80 og 443 kun er Ă„bne for CDN/WAF. Og serviceporte (ssh, netdata, bacula, phpmyadmin) bĂžr i det mindste vĂŠre bag en whitelist, eller endnu bedre, bag en VPN. Ellers risikerer du at blive kompromitteret.

Jeg er fĂŠrdig. Hold dine porte lukkede!

  • (1) UPD1: Her du kan tjekke din fantastiske universelle adgangskode (gĂžr ikke dette uden at erstatte denne adgangskode med tilfĂŠldige koder pĂ„ alle tjenester), for at se om den ikke er blevet afslĂžret i en lĂŠkket database. Og her kan du se, hvor mange tjenester der er blevet hacket, hvor din email er blevet nĂŠvnt, og dermed finde ud af, om din fantastiske universelle adgangskode er blevet kompromitteret.
  • (2) Til ĂŠre for Amazon — pĂ„ LightSail er der minimum scanninger. SĂ„ de filtrerer muligvis pĂ„ en eller anden mĂ„de.
  • (3) En endnu mere sikker webserver er den, der er bag en dedikeret firewall, sin egen WAF, men det handler om offentlige VPS/Dedikerede.
  • (4) Segmentsmak.
  • (5) Firehol.

Kun registrerede brugere kan deltage i undersĂžgelsen. Log ind, please.

Har du porte, der stikker ud?

  • Altid
  • Nogle gange
  • Aldrig
  • Ved ikke, ligeglad

54 brugere har stemt. 6 brugere har undladt at stemme.

Kilde: habr.com

KĂžb pĂ„lidelig webhosting med DDoS-beskyttelse, VPS VDS-servere đŸ”„ KĂžb pĂ„lidelig webhosting med DDoS-beskyttelse, VPS VDS-servere | ProHoster