લીક્સ ટાળવા માટે Elasticsearch ને કેવી રીતે ગોઠવવું

છેલ્લા એક વર્ષમાં, ડેટાબેઝમાંથી ઘણા લીક થયા છે સ્થિતિસ્થાપક શોધ (જોયેલું, જોયેલું и જોયેલું). ઘણા કિસ્સાઓમાં, વ્યક્તિગત ડેટા ડેટાબેઝમાં સંગ્રહિત કરવામાં આવ્યો હતો. આ લિક ટાળી શકાયું હોત જો, ડેટાબેઝ જમાવ્યા પછી, સંચાલકોએ થોડી સરળ સેટિંગ્સ તપાસવાની તસ્દી લીધી હોત. આજે આપણે તેમના વિશે વાત કરીશું.

ચાલો તરત જ એક આરક્ષણ કરીએ કે અમારી પ્રેક્ટિસમાં અમે અમારા IaaS પ્લેટફોર્મમાં માહિતી સુરક્ષા સાધનો, OS અને સૉફ્ટવેરના લૉગને સંગ્રહિત કરવા અને વિશ્લેષણ કરવા માટે Elasticsearch નો ઉપયોગ કરીએ છીએ, જે 152-FZ, Cloud-152 ની જરૂરિયાતોનું પાલન કરે છે. 

અમે તપાસ કરીએ છીએ કે ડેટાબેઝ ઇન્ટરનેટ પર "ચોકાયેલો" છે કે કેમ

લીકના મોટાભાગના જાણીતા કેસોમાં (જોયેલું, જોયેલું) હુમલાખોરે સરળ અને અભૂતપૂર્વ રીતે ડેટાની ઍક્સેસ મેળવી: ડેટાબેઝ ઇન્ટરનેટ પર પ્રકાશિત થયો હતો, અને પ્રમાણીકરણ વિના તેની સાથે કનેક્ટ કરવું શક્ય હતું.  

પ્રથમ, ચાલો ઇન્ટરનેટ પર પ્રકાશન સાથે વ્યવહાર કરીએ. આવું કેમ થાય છે? હકીકત એ છે કે Elasticsearch ની વધુ લવચીક કામગીરી માટે આગ્રહણીય છે ત્રણ સર્વરનું ક્લસ્ટર બનાવો. ડેટાબેસેસ એકબીજા સાથે વાતચીત કરવા માટે, તમારે પોર્ટ ખોલવાની જરૂર છે. પરિણામે, એડમિનિસ્ટ્રેટર્સ ડેટાબેઝની ઍક્સેસને કોઈપણ રીતે પ્રતિબંધિત કરતા નથી, અને તમે ગમે ત્યાંથી ડેટાબેઝ સાથે કનેક્ટ કરી શકો છો. ડેટાબેઝ બહારથી સુલભ છે કે કેમ તે તપાસવું સરળ છે. ફક્ત બ્રાઉઝરમાં દાખલ કરો http://[IP/Имя Elasticsearch]:9200/_cat/nodes?v

જો તમે અંદર પ્રવેશ કરી શકો, તો તેને બંધ કરવા દોડો.

ડેટાબેઝ સાથેના જોડાણને સુરક્ષિત કરી રહ્યું છે

હવે અમે તેને બનાવીશું જેથી પ્રમાણીકરણ વિના ડેટાબેઝ સાથે કનેક્ટ થવું અશક્ય છે.

Elasticsearch પાસે પ્રમાણીકરણ મોડ્યુલ છે જે ડેટાબેઝની ઍક્સેસને મર્યાદિત કરે છે, પરંતુ તે માત્ર પેઇડ X-Pack પ્લગઇન સેટમાં જ ઉપલબ્ધ છે (1 મહિનાનો મફત ઉપયોગ).

સારા સમાચાર એ છે કે 2019 ના પાનખરમાં, એમેઝોને તેના વિકાસ ખોલ્યા, જે X-Pack સાથે ઓવરલેપ થાય છે. ડેટાબેઝ સાથે જોડાણ કરતી વખતે પ્રમાણીકરણ કાર્ય આવૃત્તિ Elasticsearch 7.3.2 માટે મફત લાયસન્સ હેઠળ ઉપલબ્ધ બન્યું છે, અને Elasticsearch 7.4.0 માટે નવું પ્રકાશન પહેલેથી જ કામમાં છે.

આ પ્લગઇન ઇન્સ્ટોલ કરવા માટે સરળ છે. સર્વર કન્સોલ પર જાઓ અને રિપોઝીટરીને કનેક્ટ કરો:

RPM આધારિત:

curl https://d3g5vo6xdbdb9a.cloudfront.net/yum/opendistroforelasticsearch-artifacts.repo -o /etc/yum.repos.d/opendistroforelasticsearch-artifacts.repo

yum update

yum install opendistro-security

DEB આધારિત:

wget -qO ‐ https://d3g5vo6xdbdb9a.cloudfront.net/GPG-KEY-opendistroforelasticsearch | sudo apt-key add -

SSL મારફતે સર્વર વચ્ચે ક્રિયાપ્રતિક્રિયા સુયોજિત કરી રહ્યા છીએ

પ્લગઇન ઇન્સ્ટોલ કરતી વખતે, ડેટાબેઝ સાથે કનેક્ટ થતા પોર્ટનું રૂપરેખાંકન બદલાય છે. તે SSL એન્ક્રિપ્શનને સક્ષમ કરે છે. ક્લસ્ટર સર્વરો એકબીજા સાથે કામ કરવાનું ચાલુ રાખવા માટે, તમારે SSL નો ઉપયોગ કરીને તેમની વચ્ચે ક્રિયાપ્રતિક્રિયા ગોઠવવાની જરૂર છે.

યજમાનો વચ્ચે વિશ્વાસ તેની પોતાની પ્રમાણપત્ર સત્તા સાથે અથવા તેના વિના સ્થાપિત કરી શકાય છે. પ્રથમ પદ્ધતિ સાથે, બધું સ્પષ્ટ છે: તમારે ફક્ત CA નિષ્ણાતોનો સંપર્ક કરવાની જરૂર છે. ચાલો સીધા બીજા પર જઈએ.

1. સંપૂર્ણ ડોમેન નામ સાથે ચલ બનાવો:

   export DOMAIN_CN="example.com"

2. ખાનગી કી બનાવો:

   openssl genrsa -out root-ca-key.pem 4096

3. રૂટ પ્રમાણપત્ર પર સહી કરો. તેને સુરક્ષિત રાખો: જો તે ખોવાઈ જાય અથવા ચેડા થઈ જાય, તો બધા યજમાનો વચ્ચેના વિશ્વાસને ફરીથી ગોઠવવાની જરૂર પડશે.

   openssl req -new -x509 -sha256 -subj "/C=RU/ST=Moscow/O=Moscow, Inc./CN=${DOMAIN_CN}" 
   -key root-ca-key.pem -out root-ca.pem

4. એડમિનિસ્ટ્રેટર કી બનાવો:

   openssl genrsa -out admin-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out admin-key.pem

5. પ્રમાણપત્ર પર સહી કરવા માટે વિનંતી બનાવો:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${DOMAIN_CN}/CN=admin " 
   -key admin-key.pem -out admin.csr

6. એડમિનિસ્ટ્રેટર પ્રમાણપત્ર બનાવો:

   openssl x509 -req -extensions usr_cert -in admin.csr -CA root-ca.pem 
   -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem

7. Elasticsearch નોડ માટે પ્રમાણપત્રો બનાવો:

   export NODENAME="node-01"
   openssl genrsa -out ${NODENAME}-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in ${NODENAME}-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out ${NODENAME}-key.pem

8. સહી વિનંતી બનાવો:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${NODENAME}.${DOMAIN_CN}"  
   -addext"subjectAltName=DNS:${NODENAME}.${DOMAIN_CN},DNS:www.${NODENAME}.${DOMAIN_CN}" 
   -key ${NODENAME}-key.pem -out ${NODENAME}.csr

9. પ્રમાણપત્ર પર હસ્તાક્ષર:

   openssl x509 -req -in node.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial 
   -sha256 -out node.pem

10. નીચેના ફોલ્ડરમાં Elasticsearch નોડ્સ વચ્ચે પ્રમાણપત્ર મૂકો:

    /etc/elasticsearch/

    
    અમને ફાઇલોની જરૂર છે:

            node-01-key.pem
    	node-01.pem
    	admin-key.pem
    	admin.pem
    	root-ca.pem

11. કસ્ટમાઇઝ કરો /etc/elasticsearch/elasticsearch.yml - પ્રમાણપત્રો સાથેની ફાઈલોનું નામ અમારા દ્વારા જનરેટ કરેલ નામમાં બદલો:

    opendistro_security.ssl.transport.pemcert_filepath: node-01.pem                                                                                                                                                                                    
    	opendistro_security.ssl.transport.pemkey_filepath: node-01-key.pem                                                                                                                                                                                 
    	opendistro_security.ssl.transport.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                              
    	opendistro_security.ssl.transport.enforce_hostname_verification: false                                                                                                                                                                             
    	opendistro_security.ssl.http.enabled: true                                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemcert_filepath: node-01.pem                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemkey_filepath: node-01-key.pem                                                                                                                                                                                      
    	opendistro_security.ssl.http.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                                   
    	opendistro_security.allow_unsafe_democertificates: false                                                                                                                                                                                           
    	opendistro_security.allow_default_init_securityindex: true                                                                                                                                                                                         
    	opendistro_security.authcz.admin_dn:                                                                                                                                                                                                               
    	  − CN=admin,CN=example.com,O=Moscow Inc.,ST=Moscow,C=RU                                                                                                                                                                                                  
    	opendistro_security.nodes_dn:                                                                                                                                                                                                                      
    	  − CN=node-01.example.com,O=Moscow Inc.,ST=Moscow,C=RU

આંતરિક વપરાશકર્તાઓ માટે પાસવર્ડ બદલવા

1. નીચેના આદેશનો ઉપયોગ કરીને, અમે કન્સોલ પર પાસવર્ડ હેશ આઉટપુટ કરીએ છીએ:

   sh ${OD_SEC}/tools/hash.sh -p [пароль]

2. ફાઇલમાં હેશને પ્રાપ્ત કરેલ એકમાં બદલો:

   /usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml

OS માં ફાયરવોલ સેટ કરી રહ્યું છે

1. ફાયરવોલને પ્રારંભ કરવાની મંજૂરી આપો:

   systemctl enable firewalld

2. ચાલો તેને લોન્ચ કરીએ:

   systemctl start firewalld

3. Elasticsearch સાથે જોડાણને મંજૂરી આપો:

   firewall-cmd --set-default-zone work
   firewall-cmd --zone=work --add-port=9200/TCP --permanent

4. ફાયરવોલ નિયમો ફરીથી લોડ કરો:

   firewall-cmd --reload

5. અહીં કામના નિયમો છે:

   firewall-cmd --list-all

અમારા બધા ફેરફારો Elasticsearch પર લાગુ કરી રહ્યા છીએ

1. પ્લગઇન સાથે ફોલ્ડરના સંપૂર્ણ પાથ સાથે ચલ બનાવો:

   export  OD_SEC="/usr/share/elasticsearch/plugins/opendistro_security/"

2. ચાલો એક સ્ક્રિપ્ટ ચલાવીએ જે પાસવર્ડ અપડેટ કરશે અને સેટિંગ્સ તપાસશે:

   ${OD_SEC}/tools/securityadmin.sh -cd ${OD_SEC}/securityconfig/ 
   -icl -nhnv -cacert /etc/elasticsearch/root-ca.pem 
   -cert /etc/elasticsearch/admin.pem  
   -key /etc/elasticsearch/admin-key.pem

3. ફેરફારો લાગુ કરવામાં આવ્યા છે કે કેમ તે તપાસો:

   curl -XGET https://[IP/Имя Elasticsearch]:9200/_cat/nodes?v -u admin:[пароль] --insecure

બસ, આ ન્યૂનતમ સેટિંગ્સ છે જે અનધિકૃત કનેક્શન્સથી Elasticsearch ને સુરક્ષિત કરે છે.

સોર્સ: www.habr.com