🥇Ärge avage porte maailma — teid purustatakse (riskid)

Kord tasapaksid ja pärast auditi tegemist kohtun oma soovitustega peiduda valgetesse nimekirjadesse pidevalt segaduse seinaga. Isegi väga osavad administraatorid / DevOps'id küsivad: „Miks?!?”

Pakun, et kaaluksime riske kahjumi tõenäosuse ja suuruse järjekorras.

Konfiguratsiooniviga
DDoS IP kaudu
Bruteforce
Teenuste haavatavused
Kernestiku haavatavused
DDoS rünnakute tugevdamine

Konfiguratsiooniviga

Tüüpilisim ja ohtlik situatsioon. Nii see juhtub. Arendaja peab kiiresti kontrollima hüpoteesi, ta tõstab ajutise serveri mysql / redis / mongodb / elastic. Parool on muidugi keeruline, ta kasutab seda igal pool. Ava teenus maailmale – temale on mugav oma PC-st sealt otse sisse logida, ilma et peaks VPN-e kasutama. Ja iptables'i süntaksit meenutada on liiga laisk, server on ju ikkagi ajutine. Veel paar päeva arendust – tuli suurepärane, saab kliendile näidata. Kliendile meeldib, pole aega ümber teha, käivitame PROD-s!

Näide on tahtlikult liialdatud, et käia läbi kõik takistused:

Pole midagi püsivamat kui ajutine – ma ei armasta seda fraasi, aga subjektiivsete tunnete kohaselt jääb 20-40% sellistest ajutistest serveritest pikaks ajaks püsima.
Keeruline universaalne parool, mida kasutatakse paljudes teenustes – kuritegu. Sest üks teenustest, kus seda parooli kasutati, võis olla häkitud. Nii või naa, häkitud teenuste andmebaasid kuhjuvad ühte, mida kasutatakse [bruteforce]*.
Tuleb lisada, et redis, mongodb ja elastic on pärast installimist tegelikult saadaval ilma autentimiseta ja tihti täiendavad nad avatud andmebaaside kollektsiooni.
Võib tunduda, et paariga päeval ei skaneeri keegi teie 3306 porti. See on eksitus! Masscan on suurepärane skanner ja võib skaneerida kiirusel 10M porti sekundis. Ja internetis on ainult 4 miljardit IPv4. Vastavalt sellele asuvad kõik 3306 portid internetis seitsme minutiga. Karl!!! Seitsme minutiga!
„Kellega see tähtis on?” — vastate te. Nii ma ka imestan, vaadates langenud pakettide statistikat. Kuidas 40 tuhat skaneerimist 3 tuhandelt ainulaadselt IP-lt ühe päeva jooksul? Praegu skaneerivad kõik, kellel pole häbi, alates emade häkkeritest kuni valitsusteni. Kontrollida on väga lihtne — võtke ükskõik milline VPS 3-5 dollari eest mõnelt odava teenusepakkujalt, aktiveerige langenud pakettide logimine ja vaadake logi päev hiljem.

Logimise aktiveerimine

Failis /etc/iptables/rules.v4 lisage lõppu:
-A INPUT -j LOG —log-prefix “[FW — ALL] ” —log-level 4

Ja failis /etc/rsyslog.d/10-iptables.conf
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS IP kaudu

Kui ründaja tunneb teie IP-aadressi, võib ta teie serverit mitu tundi või isegi päeva DDoS-iga rünnata. Kõigil odava hinnaga hostimisteenustel pole DDoS-i kaitset ja teie server lülitatakse lihtsalt võrguühendusest välja. Kui olete serveri peitnud CDN-i taha, ärge unustage IP-d vahetada, muidu leiab häkker selle internetist ja ründab teie serverit CDN-ist mööda (väga levinud viga).

Teenuste haavatavused

Kuidas kuulus tarkvara pole varem või hiljem vigu leidnud, isegi kõige testitumas ja kriitilisemas. Infotehnoloogia spetsialistide seas on see poolnalja — infrastruktuuri turvalisust saab julgelt hinnata viimase värskenduse kuupäeva järgi. Kui teie infrastruktuur on täis avatud portidega ja te pole seda aasta jooksul värskendanud, ütleb iga turbeekspert teile otse, et olete haavatavad ja tõenäoliselt juba rünnatud.
Samuti tasub märkida, et kõik tuntud haavatavused olid kunagi teadmata. Kujutage ette häkkerit, kes leidis sellise haavatavuse ja skaneeris kogu interneti selle leidmiseks 7 minutiga... Ja siin on uus viiruslik epideemia ) Tuleb uuendada, kuid see võib tootele kahju teha, ütlete te. Ja teate, et olete õigus, kui paketid ei pärine ametlikest operatsioonisüsteemi hoidlates. Kogemuse põhjal katab ametlikust hoidlast tulevad värskendused harva tootet.

Bruteforce

Nagu ülaltoodust on kirjeldatud, on olemas andmebaas poolest miljardist paroolist, mida on mugav klaviatuuriga sisestada. Teisisõnu, kui te ei genereerinud parooli, vaid sisestasite klaviatuuril külgnevate sümbolite kombinatsioonid, võite olla kindel — teid ründetatakse.

Kernosüsteemi haavatavused.

Juhtub ka, et ei ole tähtis, milline teenus avab sadama, kui võrgu kernitöötlemise kiht on haavatav. See tähendab, et mis tahes TCP/UDP-soket kahes aasta vanuses süsteemis on DDoS-i haavatavus.

DDoS-rünnakute tugevdamine

Otsekohe kahjujuhtumeid ei põhjusta, kuid võib umbseks muuta teie kanalit, suurendada süsteemi koormust, teie IP võib sattuda mingisse mustasse nimekirja, ning te saate hostilt kaebuse.

Kas teil on tõesti vaja kõiki neid riske? Lisage oma kodu- ja töö-IP valge nimekirja. Isegi kui see on dünaamiline — logige sisse hosti haldussüsteemi kaudu veebikonsoolis ja lihtsalt lisage veel üks.

Olen 15 aastat töötanud IT-infrastruktuuri loomise ja kaitsmise alal. Olen välja töötanud reegli, mida soovitan kõigile tungivalt — ükski port ei tohi olla avatud maailmas ilma valge nimekirjata.

Näiteks on kõige kaitstud veebiserver see, millel on avatud ainult 80 ja 443 port CDN-i/WAF-i jaoks. Teenuseportid (ssh, netdata, bacula, phpmyadmin) peaksid olema vähemalt valge nimekirja taga, veel parem aga VPN-i taga. Vastasel juhul riskite enda lekitamisega.

Minul on kõik. Hoidke oma pordid suletud!

(1) UPD1: Siin võite kontrollida oma ägedat universaalset parooli (ärge tehke seda, ei asendades seda parooli juhuslike vastu kõikides teenustes), ei ole see lekkinud varastatud andmebaasis. Siit saate vaadata, kui palju teenuseid on rikutud, kus teie e-post on esinenud, ja seega välja selgitada, kas teie äge universaalne parool on ohustatud.
(2) Amazoni au — LightSail'il on minimaalne skaneerimine. Tundub, et nad filtreerivad mingil moel.
(3) Veelgi kaitstud veebiserver on see, mis on eraldatud tulemüüri ja oma WAF-i taga, kuid räägime avalikest VPS-ist/Dedicated-serveritest.
(4) Segmentsmak.
(5) Firehol.

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.