🥇Öffnen Sie keine Ports zur Außenwelt – Sie werden gehackt (Risiken)

Immer wieder stoße ich nach Audits auf eine Mauer des Unverständnisses, wenn ich empfehle, Ports hinter einer Whitelist zu verbergen. Selbst sehr erfahrene Admins/DevOps fragen: „Warum?!?“

Ich schlage vor, die Risiken nach abnehmender Wahrscheinlichkeit und potenziellen Schäden zu betrachten.

Konfigurationsfehler
DDoS über IP
Brute-Forcing
Schwachstellen von Dienstleistungen
Schwachstellen im Kernel-Stack
Verstärkung von DDoS-Attacken

Konfigurationsfehler

Die typischste und gefährlichste Situation. So läuft es oft. Ein Entwickler muss schnell eine Hypothese prüfen und richtet einen temporären Server mit MySQL/Redis/MongoDB/Elastic ein. Das Passwort ist natürlich komplex, er nutzt es überall. Der Dienst wird der Öffentlichkeit zugänglich gemacht – es ist bequem, sich von seinem PC ohne VPN zu verbinden. Und es ist lästig, die Syntax von iptables zu erinnern, der Server ist schließlich temporär. Nach ein paar Tagen Entwicklung – es sieht großartig aus, jetzt kann ich es dem Kunden präsentieren. Der Kunde ist begeistert, keine Zeit für Änderungen, wir gehen live!

Ein absichtlich übertriebenes Beispiel, um alle Fallstricke zu veranschaulichen:

Nichts ist dauerhafter als das Vorübergehende – ich mag diesen Satz nicht, aber gefühlt bleiben 20-40% solcher temporären Server langfristig bestehen.
Ein komplexes allgemeines Passwort, das in vielen Diensten verwendet wird, ist gefährlich. Denn einer der Dienste, wo dieses Passwort genutzt wurde, könnte gehackt worden sein. So oder so fließen die Daten von gehackten Diensten in eine einzige Datenbank, die für [Brute-Force]* verwendet wird.
Es ist erwähnenswert, dass Redis, MongoDB und Elastic nach der Installation überhaupt ohne Authentifizierung zugänglich sind und oft die Sammlung offener Datenbanken.
Es mag so erscheinen, als würde niemand innerhalb von ein paar Tagen Ihren Port 3306 scannen. Das ist ein Irrglaube! Masscan ist ein hervorragender Scanner und kann mit einer Geschwindigkeit von 10 Millionen Ports pro Sekunde scannen. Und im Internet gibt es insgesamt 4 Milliarden IPv4-Adressen. Somit sind alle 3306-Ports im Internet in 7 Minuten erreichbar. Karl!!! Sieben Minuten!
"Wer braucht das schon?" - werden Sie einwenden. Und auch ich bin erstaunt, wenn ich die Statistiken der verworfenen Pakete betrachte. Woher kommen am Tag 40.000 Scanversuche von 3.000 einzigartigen IPs? Derzeit scannen alle, die nicht dazu in der Lage sind, von Hobby-Hackern bis hin zu Regierungen. Es ist ganz einfach zu überprüfen — mieten Sie irgendein VPS für 3–5 $ bei einem beliebigen **Low-Cost-Anbieter, aktivieren Sie die Protokollierung der verworfenen Pakete und schauen Sie sich das Protokoll nach einem Tag an.

Aktivierung der Protokollierung

Fügen Sie am Ende von /etc/iptables/rules.v4 hinzu:
-A INPUT -j LOG —log-prefix «[FW — ALL] » —log-level 4

In /etc/rsyslog.d/10-iptables.conf
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS über IP

Wenn ein Angreifer Ihre IP kennt, kann er Ihren Server für mehrere Stunden oder Tage mit DDoS-Angriffen lahmlegen. Nur wenige Low-Cost-Hosting-Anbieter haben DDoS-Schutz, und Ihr Server könnte einfach vom Netzwerk getrennt werden. Wenn Sie Ihren Server hinter einem CDN verstecken, vergessen Sie nicht, die IP zu ändern, sonst findet der Hacker sie leicht und kann Ihren Server umgehen DDoS’nen (eine sehr häufige Fehlerquelle).

Schwachstellen von Dienstleistungen

In allen weit verbreiteten Softwarelösungen werden früher oder später Fehler gefunden, selbst in den am besten getesteten und kritischsten. In der Community der IT-Sicherheitsspezialisten gibt es einen Halbwitz — die Sicherheit der Infrastruktur kann man getrost am Datum des letzten Updates festmachen. Wenn Ihre Infrastruktur viele offene Ports hat und Sie sie seit einem Jahr nicht aktualisiert haben, wird Ihnen jeder Sicherheitsprofi sofort sagen, dass Sie verwundbar sind und wahrscheinlich bereits kompromittiert wurden.
Es ist ebenfalls erwähnenswert, dass alle bekannten Schwachstellen ehemals unbekannt waren. Stellen Sie sich einen Hacker vor, der eine solche Schwachstelle entdeckt und in 7 Minuten das gesamte Internet auf deren Vorhandensein scannt... Und da haben wir eine neue virale Epidemie. ) Man sollte aktualisieren, aber das könnte das Produkt gefährden, sagen Sie. Und Sie haben recht, wenn die Pakete nicht aus den offiziellen Repositories des Betriebssystems stammen. Aus Erfahrung brechen Aktualisierungen aus dem offiziellen Repository äußerst selten die Produktion.

Brute-Forcing

Wie oben beschrieben, gibt es eine Datenbank mit fast einer halben Milliarde Passwörter, die bequem von der Tastatur eingegeben werden können. Anders ausgedrückt, wenn Sie kein Passwort generiert haben, sondern benachbarte Zeichen auf der Tastatur eingegeben haben, können Sie sich sicher sein* — Sie werden gehackt.

Schwachstellen im Kernel-Stack.

Es kann vorkommen****, dass es nicht wichtig ist, welcher Dienst den Port öffnet, wenn der Netzwerk-Stack des Kernels anfällig ist. Das bedeutet, dass absolut jeder TCP/UDP-Socket auf einem System, das zwei Jahre alt ist, anfällig für eine Schwachstelle ist, die zu DDoS führt.

Stärkung von DDoS-Angriffen

Direkt wird es keinen Schaden verursachen, könnte jedoch Ihre Bandbreite überlasten, die Systemlast erhöhen, Ihre IP könnte auf eine schwarze Liste***** gelangen, und Ihnen könnte eine Abmahnung vom Hosting-Anbieter zugestellt werden.

Brauchen Sie wirklich all diese Risiken? Fügen Sie Ihre private und geschäftliche IP zur Whitelist hinzu. Selbst wenn sie dynamisch ist – loggen Sie sich über das Admin-Panel des Hosts oder über die Web-Konsole ein und fügen Sie einfach eine weitere hinzu.

Ich beschäftige mich seit 15 Jahren mit dem Aufbau und dem Schutz von IT-Infrastrukturen. Ich habe eine Regel entwickelt, die ich jedem dringend empfehle – kein Port sollte ohne Whitelist zur Verfügung stehen..

Ein Beispiel: Der am besten geschützte Webserver*** ist der, bei dem die Ports 80 und 443 nur für CDN/WAF offen sind. Die Dienstports (ssh, netdata, bacula, phpmyadmin) sollten mindestens hinter einer Whitelist sein, besser noch hinter einem VPN. Andernfalls riskieren Sie, kompromittiert zu werden.

Das wäre alles von meiner Seite. Halten Sie Ihre Ports geschlossen!

(1) UPD1: Hier Sie können Ihr tolles universelles Passwort prüfen (tun Sie dies nicht, ohne das Passwort durch zufällige Passwörter in allen Diensten zu ersetzen), um zu sehen, ob es in einer geleakten Datenbank aufgetaucht ist. Hier können Sie überprüfen, wie viele Dienste kompromittiert wurden, bei denen Ihre E-Mail-Adresse vorkam, und somit herausfinden, ob Ihr tolles universelles Passwort gefährdet wurde.
(2) Amazon gebührt Anerkennung – bei LightSail gibt es minimal Scans. Anscheinend filtern sie das irgendwie.
(3) Ein noch geschützterer Webserver ist der, der hinter einer dedizierten Firewall und einem eigenen WAF steht, aber hier geht es um öffentliche VPS/Dedicated.
(4) Segmentierung.
(5) Firehol.

Nur registrierte Benutzer können an der Umfrage teilnehmen. Bitte melden Sie sich an.Sind Sie an Contour interessiert?