🥇Ärge avage porte maailma -- teid rikutakse (riskid)

Korduv-korduv, pärast auditi läbiviimist, kohtun oma soovitusega peita pordid valgesse nimekirja arusaamatuse seina. Isegi väga osavad administraatorid/DevOps'id küsivad: "Miks?!?"

Pakun arvestada riske tõenäosuse ja kahju vähenemise järgi.

Konfiguratsiooniviga
DDoS IP kaudu
Bruteforce
Teenuste haavatavused
Tuuma stacki haavatavused
DDoS rünnakute tugevdamine

Konfiguratsiooniviga

Kõige tüüpilisem ja ohtlikum olukord. Kuidas see juhtub. Arendajal on kiiresti vaja hüpoteesi testida, ta seadistab ajutise serveri mysql'/redis'/mongodb'/elastic'iga. Parool on muidugi keeruline, ta kasutab seda igal pool. Ta avab teenuse maailmale — talle on mugav oma PC'lt otse sisse logida ilma nende VPN'ide kallist. Ja iptables'i süntaksit meenutada on laisk, server on niikuinii ajutine. Veel paar päeva arendust — kõik sujub kenasti, saab kliendile näidata. Kliendile meeldib, uuendusi ei ole aega teha, viime PROD'i!

Näide on tahtlikult liialdatud, et näidata kõiki takistusi:

Pole midagi püsivamat, kui ajutine — ma ei armasta seda fraasi, kuid subjektiivselt tundub, et 20-40% sellistest ajutistest serveritest jääb pikaks ajaks.
Kompleksne universaalne parool, mida kasutatakse paljudes teenustes, on ohtlik. Sest üks teenustest, kus seda parooli on kasutatud, võis olla häkitud. Igal juhul voolab häkitud teenuste andmebaasid kokku, mida kasutatakse [bruteforcer]*.
Tasub lisada, et redis, mongodb ja elastic on peale installimist üldse saadaval ilma autentimiseta ning sageli täiendavad avatud andmebaaside kogumist..
Võib tunduda, et paaril päeval ei skaneeri keegi teie 3306 porti. See on illusioon! Masscan on suurepärane skanner ja suudab skaneerida kiirusel 10M porti sekundis. Ja internetis on vaid 4 miljardit IPv4. Seega on kõik 3306 pordid internetis skaneeritud seitsme minutiga. Karl!!! Seitsme minutiga!
„Kellele see üldse vajalik on?“ — vastate teie. Mina olen samuti imestunud, vaadates kukutatud pakettide statistikat. Kust tuli 40 tuhat skaneerimisüritust kolme tuhande ainulaadse IP-ga ühe päeva jooksul? Hetkel skaneerivad kõik, kes oskavad, alates emme häkkeritest kuni valitsusteni. Kontrollimine on väga lihtne — võtke üks VPS 3-5 $ eest mõnelt** low-cost pakkujalt, lülitage sisse kukutatud pakettide logimine ja vaadake logi üle päeva pärast.

Logimise lubamine

Faili /etc/iptables/rules.v4 lõppu lisage:
-A INPUT -j LOG —log-prefix «[FW — ALL] » —log-level 4

Ja kaustas /etc/rsyslog.d/10-iptables.conf
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS IP kaudu

Kui ründaja teab teie IP-aadressi, võib ta teie serverit tunde või päevi küberrünnata. Kaugel sellest, et kõikidel odavatel hostimisteenustel on DDoS-i kaitse, ja teie server võib lihtsalt võrguühenduseta jääda. Kui olete serveri peitnud CDN-i taha, ärge unustage IP-aadressi vahetada, muidu spetsialist leiab selle ja ründab teie serverit aga CDN-ist mööda (väga levinud viga).

Teenuste haavatavused

Kõigis populaarsetes programmides leitakse varem või hiljem vigu, isegi kõige rohkem testitud ja kriitilisemates. Infoturbe spetsialistide seas on selline poolnaljakas ütlus — infrastruktuuri turvalisust võib julgelt hinnata viimase värskendamise aja järgi. Kui teie infrastruktuur on rikastatud avatud portidega, ja te pole seda aasta jooksul uuendanud, siis iga turvaekspert ütleb teile, et teie süsteem on haavatav ja tõenäoliselt juba rikutud.
Oluline on märkida, et kõik tuntud haavatavused on kunagi olnud tundmatud. Kujutage ette häkkerit, kes leidis sellise haavatavuse ja skaneeris kogu interneti seitsme minutiga selle olemasolu suhtes... Ja siin see on, uus viiruseepideemia :) Peab uuendama, kuid see võib teile probleeme tekitada, ütlete te. Ja te olete õiged, kui paketid ei pärine ametlikest OS-i hoidlatest. Oma kogemuste põhjal purustavad ametlikust hoidlast tehtud uuendused väga harva tootmist.

Bruteforce

Nagu ülalkirjeldatud, on olemas pool miljardit parooli, mida on mugav klaviatuuril sisestada. Teisisõnu, kui te ei ole parooli genereerinud, vaid olete lähedalt asuvaid sümboleid klaviatuuril tippinud, võite olla kindel* — teid sissetungitakse.

Tuumaahihaavatavused.

On juhtumeid, kus pole isegi tähtis, milline teenus porti avab, kui tuumaahihaavad on haavatavad. See tähendab, et ükskõik milline tcp/udp-sokett kahes aastat vana süsteemis on haavatav haavatavuse suhtes, mis viib DDoS-i.

DDoS-i rünnakute intensiivistamine

See otsekohe kahju ei tekitaks, kuid võib teie kanali ummistada, suurendada süsteemi koormust, teie IP võib sattuda mõnda musta nimekirja***** ja teil võib oma hostitajalt kaebusi saada.

Kas tõesti on teil vaja kõiki neid riske? Lisage oma kodu- ja töö-IP white-listi. Ievena kui see on dünaamiline – logige sisse hostingu administratiivliidese kaudu, veebikonsoolis, ja lisage lihtsalt üks rohkem.

Olen 15 aastat tegelenud IT-taristute ehitamise ja kaitsmisega. Olen välja töötanud reegli, mida soovitan kõigile – ükski port ei tohi olla avatud maailmale ilma white-listita..

Näiteks kõige paremini kaitstud veebiserver on see, millel on avatud ainult 80 ja 443 port CDN/WAF jaoks. Teenusportid (ssh, netdata, bacula, phpmyadmin) peaksid olema vähemalt white-listi taga, ja veel parem VPN-i taga. Vastasel juhul riskite kompromiteerimisega.

Minu poolt kõik. Hoidke oma portid suletud!

(1) UPD1: Siit oma lahedat universaalset parooli (ärge tehke seda, kui te ei vaheta seda parooli kõikides teenustes juhuslike vastu), kas see on lekkinud varastatud andmebaasis. Ja siin võite vaadata, kui palju teenuseid on häkitud, kus on teie e-post, ja seega selgitada välja, kas teie lahedat universaalset parooli on kompromiteeritud.
(2) Aukohus Amazon - LightSailil on minimaalne skaneerimine. Näib, et nad filtreerivad mingil viisil.
(3) Veel paremini kaitstud veebiserver on see, mis asub eraldi tulemüüri taga, koos oma WAF-iga, kuid räägime avalikest VPS/dedicated-serveritest.
(4) Segmendi turvamine.
(5) Firehol.

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.