🥇Öffnen Sie keine Ports zur Welt — Sie werden gehackt (Risiken)

Immer wieder stoße ich auf Unverständnis, nachdem ich in einem Audit empfohlen habe, die Ports hinter einer Whitelist zu verstecken. Selbst sehr erfahrene Admins/DevOps fragen: „Warum?!?“

Ich schlage vor, die Risiken in absteigender Reihenfolge der Eintrittswahrscheinlichkeit und des Schadens zu betrachten.

Konfigurationsfehler
DDoS nach IP
Bruteforce
Schwachstellen von Diensten
Schwachstellen im Kernel-Stack
Verstärkung von DDoS-Attacken

Konfigurationsfehler

Die häufigste und gefährlichste Situation. So passiert es oft: Ein Entwickler muss schnell eine Hypothese überprüfen und richtet einen temporären Server mit mysql/redis/mongodb/elastic ein. Das Passwort ist natürlich komplex, er verwendet es überall. Er öffnet den Dienst für die Welt — es ist bequem, sich von seinem PC aus ohne VPN zu verbinden. Und der Syntax von iptables ist ihm zu lästig, da es sich ohnehin um einen temporären Server handelt. Nach ein paar Tagen Entwicklung — es läuft hervorragend, man kann es dem Kunden zeigen. Der Kunde ist zufrieden, keine Zeit für Änderungen — wir setzen es in die Produktion!

Ein absichtlich übertriebenes Beispiel, um auf alle Fallen hinzuweisen:

Es gibt nichts Beständigeres als das Temporäre — ich mag diesen Satz nicht, aber subjektiv gesehen bleiben 20-40% solcher temporären Server lange bestehen.
Ein komplexes, universelles Passwort, das in vielen Diensten verwendet wird – das ist schlecht. Denn einer der Dienste, in denen dieses Passwort verwendet wurde, könnte gehackt worden sein. So oder so laufen die Datenbanken gehackter Dienste zusammen in eine, die für [Bruteforce]* verwendet wird.
Es sei hinzugefügt, dass redis, mongodb und elastic nach der Installation überhaupt ohne Authentifizierung zugänglich sind und oft die Sammlung offener Datenbanken.
Es könnte den Anschein haben, dass in ein paar Tagen niemand Ihren Port 3306 scannen wird. Das ist ein Irrglaube! Masscan ist ein hervorragender Scanner und kann mit einer Geschwindigkeit von 10 Millionen Ports pro Sekunde scannen. Im Internet gibt es insgesamt 4 Milliarden IPv4-Adressen. Entsprechend befinden sich alle 3306-Ports im Internet innerhalb von 7 Minuten. Karl!!! Sieben Minuten!
„Ja, wer braucht das schon?“ — werden Sie einwenden. Und ich bin auch erstaunt, wenn ich die Statistiken der verworfenen Pakete betrachte. Woher kommen in nur einem Tag 40.000 Scanversuche von 3.000 einzigartigen IPs? Jetzt scannen alle, die es sich leisten können, von Hobbyhackern bis hin zu Regierungen. Es ist sehr einfach zu überprüfen — mieten Sie irgendein VPS für 3-5 $ von einem beliebigen** Billiganbieter, aktivieren Sie die Protokollierung verworfener Pakete und schauen Sie in das Protokoll nach einem Tag.

Protokollierung aktivieren

Fügen Sie am Ende von /etc/iptables/rules.v4 Folgendes hinzu:
-A INPUT -j LOG —log-prefix „[FW — ALL] ” —log-level 4

Und in /etc/rsyslog.d/10-iptables.conf
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS nach IP

Wenn ein Angreifer Ihre IP kennt, kann er Ihren Server für mehrere Stunden oder Tage mit DDoS-Angriffen überfluten. Nicht alle günstigen Hosting-Anbieter bieten DDoS-Schutz, wodurch Ihr Server einfach vom Netz getrennt wird. Wenn Sie den Server hinter einem CDN versteckt haben, denken Sie daran, die IP zu ändern, da der Hacker diese ansonsten leicht herausfinden und Ihren Server umgehen kann — (ein sehr häufiger Fehler).

Schwachstellen von Diensten

In allen populären Software wird früher oder später ein Fehler gefunden, selbst in den am besten getesteten und kritischsten Anwendungen. In der Community der IT-Sicherheitsexperten gibt es einen halb scherzhaften Spruch — die Sicherheit der Infrastruktur lässt sich leicht am Datum der letzten Aktualisierung ablesen. Wenn Ihre Infrastruktur viele offengelegte Ports hat und Sie sie seit einem Jahr nicht aktualisiert haben, wird Ihnen jeder Sicherheitsexperte ohne Weiteres sagen, dass Sie anfällig sind und höchstwahrscheinlich bereits gehackt wurden.
Es ist auch erwähnenswert, dass alle bekannten Schwachstellen einmal unbekannt waren. Stellen Sie sich einen Hacker vor, der eine solche Schwachstelle entdeckt hat und das gesamte Internet in nur 7 Minuten auf deren Vorhandensein scannen konnte… und schon haben Sie die nächste virale Epidemie ) Sie müssen sich aktualisieren, aber das könnte Ihrem Produkt schaden, sagen Sie. Und Sie haben recht, wenn die Pakete nicht aus den offiziellen Repositories Ihres Betriebssystems stammen. Aus Erfahrung zerstören Aktualisierungen aus dem offiziellen Repository äußerst selten Produkte.

Bruteforce

Wie oben beschrieben, gibt es eine Datenbank mit einer halben Milliarde Passwörter, die bequem von der Tastatur eingegeben werden können. Mit anderen Worten, wenn Sie kein Passwort generiert, sondern benachbarte Zeichen von der Tastatur eingegeben haben, können Sie sich sicher sein* — Ihr Konto wird gehackt.

Schwachstellen des Kernel-Stacks.

Es kann auch vorkommen, dass es nicht einmal wichtig ist, welcher Dienst den Port öffnet, wenn der Netzwerk-Stack des Kernels selbst anfällig ist. Das bedeutet, dass absolut jeder tcp/udp-Socket auf einem vor zwei Jahren aktualisierten System anfällig für eine Schwachstelle ist, die zu einem DDoS führt.

Verstärkung von DDoS-Angriffen

Es wird direkt keinen Schaden anrichten, kann jedoch Ihre Bandbreite ausgelasten, die Systemlast erhöhen und Ihre IP könnte auf eine schwarze Liste geraten*****, während Sie eine Abmahnung von Ihrem Hosting-Anbieter erhalten.

Brauchen Sie wirklich all diese Risiken? Fügen Sie Ihre private und geschäftliche IP zur Whitelist hinzu. Selbst wenn sie dynamisch ist — loggen Sie sich über das Admin-Panel des Hosters in die Web-Konsole ein und fügen Sie einfach eine weitere hinzu.

Ich beschäftige mich seit 15 Jahren mit dem Aufbau und dem Schutz von IT-Infrastrukturen. Ich habe eine Regel aufgestellt, die ich jedem dringend empfehle — keinen Port sollte ohne Whitelist ins Internet exponiert werden.

Zum Beispiel ist der am besten geschützte Webserver*** derjenige, dessen Ports 80 und 443 nur für CDN/WAF geöffnet sind. Die Dienstports (ssh, netdata, bacula, phpmyadmin) sollten mindestens hinter einer Whitelist stehen, noch besser hinter einem VPN. Andernfalls riskieren Sie, kompromittiert zu werden.

Das ist alles von meiner Seite. Halten Sie Ihre Ports geschlossen!

(1) UPD1: Hier Sie können Ihr cooles, universelles Passwort überprüfen (tun Sie dies nicht, ohne dieses Passwort durch zufällige in allen Diensten zu ersetzen), um herauszufinden, ob es in einer geleakten Datenbank aufgetaucht ist. Hier können Sie sehen, wie viele Dienste gehackt wurden, bei denen Ihre E-Mail genannt wurde, und entsprechend feststellen, ob Ihr cooles, universelles Passwort kompromittiert wurde. (2) Zu Ehren von Amazon — auf LightSail gibt es mindestens wenige Scans. Anscheinend filtern sie irgendwie.
(3) Ein noch sichererer Webserver ist der, der hinter einer dedizierten Firewall mit eigenem WAF steht, aber das ist die Rede von öffentlichen VPS/Dedicated.
(4) Segmentsmak.
(5) Firehol.
Haben Sie Ports nach außen offen?

Nur registrierte Benutzer können an der Umfrage teilnehmen. Bitte einloggen.