વિશ્વ માટે બંદરો ખોલશો નહીં - તમે તૂટી જશો (જોખમો)

વારંવાર, ઓડિટ હાથ ધર્યા પછી, વ્હાઇટ-લિસ્ટની પાછળ બંદરોને છુપાવવા માટેની મારી ભલામણોના જવાબમાં, મને ગેરસમજની દિવાલ મળી છે. ખૂબ જ સરસ એડમિન/DevOps પણ પૂછે છે: "કેમ?!?"

હું ઘટના અને નુકસાનની સંભાવનાના ઉતરતા ક્રમમાં જોખમોને ધ્યાનમાં લેવાનો પ્રસ્તાવ મૂકું છું.

1. રૂપરેખાંકન ભૂલ
2. IP પર DDoS
3. જડ બળ
4. સેવાની નબળાઈઓ
5. કર્નલ સ્ટેક નબળાઈઓ
6. DDoS હુમલામાં વધારો

રૂપરેખાંકન ભૂલ

સૌથી સામાન્ય અને ખતરનાક પરિસ્થિતિ. તે કેવી રીતે થાય છે. વિકાસકર્તાને ઝડપથી પૂર્વધારણાનું પરીક્ષણ કરવાની જરૂર છે; તે mysql/redis/mongodb/elastic સાથે કામચલાઉ સર્વર સેટ કરે છે. પાસવર્ડ, અલબત્ત, જટિલ છે, તે દરેક જગ્યાએ તેનો ઉપયોગ કરે છે. તે વિશ્વ માટે સેવા ખોલે છે - તમારા આ VPN વિના તેના PC થી કનેક્ટ થવું તેના માટે અનુકૂળ છે. અને હું iptables સિન્ટેક્સ યાદ રાખવા માટે ખૂબ આળસુ છું; સર્વર કોઈપણ રીતે કામચલાઉ છે. વિકાસના થોડા વધુ દિવસો - તે સરસ બન્યું, અમે તેને ગ્રાહકને બતાવી શકીએ છીએ. ગ્રાહકને તે પસંદ છે, તેને ફરીથી કરવા માટે કોઈ સમય નથી, અમે તેને PROD માં લોન્ચ કરીએ છીએ!

બધા રેકમાંથી પસાર થવા માટે ઇરાદાપૂર્વક અતિશયોક્તિભર્યું ઉદાહરણ:

1. અસ્થાયી કરતાં વધુ કાયમી કંઈ નથી - મને આ વાક્ય ગમતું નથી, પરંતુ વ્યક્તિલક્ષી લાગણીઓ અનુસાર, આવા 20-40% અસ્થાયી સર્વર્સ લાંબા સમય સુધી રહે છે.
2. એક જટિલ સાર્વત્રિક પાસવર્ડ જેનો ઉપયોગ ઘણી સેવાઓમાં થાય છે તે અનિષ્ટ છે. કારણ કે જ્યાં આ પાસવર્ડનો ઉપયોગ કરવામાં આવ્યો હતો તેમાંથી એક સેવા હેક થઈ શકે છે. એક યા બીજી રીતે, હેક કરાયેલી સેવાઓના ડેટાબેસેસ એક થઈ જાય છે, જેનો ઉપયોગ [બ્રુટ ફોર્સ]* માટે થાય છે.
   તે ઉમેરવા યોગ્ય છે કે ઇન્સ્ટોલેશન પછી, રેડિસ, મોંગોડબી અને ઇલાસ્ટિક સામાન્ય રીતે પ્રમાણીકરણ વિના ઉપલબ્ધ હોય છે, અને ઘણી વખત ફરી ભરાય છે. ખુલ્લા ડેટાબેસેસનો સંગ્રહ.
3. એવું લાગે છે કે બે દિવસમાં કોઈ તમારા 3306 પોર્ટને સ્કેન કરશે નહીં. તે એક ભ્રમણા છે! માસસ્કેન એક ઉત્તમ સ્કેનર છે અને પ્રતિ સેકન્ડ 10M પોર્ટ પર સ્કેન કરી શકે છે. અને ઇન્ટરનેટ પર માત્ર 4 બિલિયન IPv4 છે. તદનુસાર, ઇન્ટરનેટ પરના તમામ 3306 પોર્ટ 7 મિનિટમાં સ્થિત છે. ચાર્લ્સ!!! સાત મિનિટ!
   "આની કોને જરૂર છે?" - તમે વિરોધ કરો છો. તેથી જ્યારે હું ડ્રોપ થયેલા પેકેજોના આંકડા જોઉં છું ત્યારે મને આશ્ચર્ય થાય છે. દરરોજ 40 હજાર યુનિક આઈપીમાંથી 3 હજાર સ્કેન પ્રયાસો ક્યાંથી આવે છે? હવે દરેક જણ સ્કેન કરી રહ્યું છે, મમ્મીના હેકર્સથી લઈને સરકારો સુધી. તે તપાસવું ખૂબ જ સરળ છે - કોઈપણ ** ઓછી કિંમતની એરલાઈન પાસેથી $3-5માં કોઈપણ VPS લો, ડ્રોપ થયેલા પેકેજોનું લોગીંગ સક્ષમ કરો અને એક દિવસમાં લોગ જુઓ.

લોગીંગ સક્ષમ કરી રહ્યું છે

/etc/iptables/rules.v4 માં અંતમાં ઉમેરો:
-A INPUT -j LOG --log-prefix "[FW - ALL]" --log-level 4

અને /etc/rsyslog.d/10-iptables.conf માં
:msg, સમાવે છે,"[FW - " /var/log/iptables.log
& બંધ

IP પર DDoS

જો કોઈ હુમલાખોરને તમારો IP ખબર હોય, તો તે તમારા સર્વરને કેટલાક કલાકો કે દિવસો સુધી હાઈજેક કરી શકે છે. બધા ઓછા ખર્ચે હોસ્ટિંગ પ્રદાતાઓ પાસે DDoS સુરક્ષા હોતી નથી અને તમારું સર્વર ફક્ત નેટવર્કથી ડિસ્કનેક્ટ થઈ જશે. જો તમે તમારું સર્વર CDN પાછળ છુપાવ્યું હોય, તો IP બદલવાનું ભૂલશો નહીં, અન્યથા હેકર તેને ગૂગલ કરશે અને CDN (એક ખૂબ જ લોકપ્રિય ભૂલ)ને બાયપાસ કરીને તમારા સર્વરને DDoS કરશે.

સેવાની નબળાઈઓ

બધા લોકપ્રિય સૉફ્ટવેર વહેલા અથવા પછીના સમયમાં ભૂલો શોધે છે, સૌથી વધુ પરીક્ષણ અને નિર્ણાયક પણ. IB નિષ્ણાતોમાં, એક અડધી મજાક છે - છેલ્લી અપડેટના સમય દ્વારા ઇન્ફ્રાસ્ટ્રક્ચરની સુરક્ષાનું સુરક્ષિત રીતે મૂલ્યાંકન કરી શકાય છે. જો તમારું ઈન્ફ્રાસ્ટ્રક્ચર વિશ્વમાં ચોંટી રહેલા બંદરોથી સમૃદ્ધ છે, અને તમે તેને એક વર્ષ સુધી અપડેટ કર્યું નથી, તો કોઈપણ સુરક્ષા નિષ્ણાત તમને એ જોયા વિના કહેશે કે તમે લીક છો, અને સંભવતઃ પહેલેથી જ હેક થઈ ગયું છે.
તે પણ ઉલ્લેખનીય છે કે તમામ જાણીતી નબળાઈઓ એક સમયે અજાણ હતી. એક હેકરની કલ્પના કરો કે જેણે આવી નબળાઈ શોધી અને તેની હાજરી માટે 7 મિનિટમાં આખું ઈન્ટરનેટ સ્કેન કર્યું... અહીં એક નવો વાયરસ રોગચાળો છે) અમારે અપડેટ કરવાની જરૂર છે, પરંતુ આ ઉત્પાદનને નુકસાન પહોંચાડી શકે છે, તમે કહો છો. અને તમે સાચા હશો જો પેકેજો સત્તાવાર OS રીપોઝીટરીઝમાંથી ઇન્સ્ટોલ કરેલ નથી. અનુભવથી, સત્તાવાર ભંડારમાંથી અપડેટ્સ ભાગ્યે જ ઉત્પાદનને તોડે છે.

જડ બળ

ઉપર વર્ણવ્યા મુજબ, અડધા અબજ પાસવર્ડ્સ સાથેનો ડેટાબેઝ છે જે કીબોર્ડથી ટાઇપ કરવા માટે અનુકૂળ છે. બીજા શબ્દોમાં કહીએ તો, જો તમે પાસવર્ડ જનરેટ કર્યો નથી, પરંતુ કીબોર્ડ પર સંલગ્ન પ્રતીકો ટાઇપ કર્યા છે, તો ખાતરી રાખો* કે તેઓ તમને મૂંઝવણમાં મૂકશે.

કર્નલ સ્ટેક નબળાઈઓ.

એવું પણ બને છે **** કે જ્યારે કર્નલ નેટવર્ક સ્ટેક પોતે જ સંવેદનશીલ હોય ત્યારે કઈ સેવા પોર્ટ ખોલે છે તેનાથી કોઈ ફરક પડતો નથી. એટલે કે, બે વર્ષ જૂની સિસ્ટમ પરની કોઈપણ tcp/udp સોકેટ DDoS તરફ દોરી જતી નબળાઈ માટે સંવેદનશીલ છે.

DDoS હુમલામાં વધારો

તેનાથી કોઈ સીધું નુકસાન થશે નહીં, પરંતુ તે તમારી ચેનલને રોકી શકે છે, સિસ્ટમ પરનો ભાર વધારી શકે છે, તમારો IP અમુક બ્લેક-લિસ્ટમાં આવી જશે*****, અને તમને હોસ્ટર તરફથી દુરુપયોગ પ્રાપ્ત થશે.

શું તમને ખરેખર આ બધા જોખમોની જરૂર છે? વ્હાઇટ-લિસ્ટમાં તમારા ઘર અને કાર્યાલયનો IP ઉમેરો. જો તે ગતિશીલ હોય તો પણ, હોસ્ટરની એડમિન પેનલ દ્વારા, વેબ કન્સોલ દ્વારા લૉગ ઇન કરો અને માત્ર બીજું ઉમેરો.

હું 15 વર્ષથી આઈટી ઈન્ફ્રાસ્ટ્રક્ચરનું નિર્માણ અને રક્ષણ કરું છું. મેં એક નિયમ વિકસાવ્યો છે જેની હું દરેકને ભારપૂર્વક ભલામણ કરું છું - વ્હાઇટ-લિસ્ટ વિના વિશ્વમાં કોઈ બંદરે ચોંટી જવું જોઈએ નહીં.

ઉદાહરણ તરીકે, સૌથી સુરક્ષિત વેબ સર્વર*** એ છે જે ફક્ત CDN/WAF માટે 80 અને 443 ખોલે છે. અને સર્વિસ પોર્ટ્સ (ssh, netdata, bacula, phpmyadmin) ઓછામાં ઓછા વ્હાઇટ-લિસ્ટની પાછળ અને VPN ની પાછળ પણ વધુ સારા હોવા જોઈએ. નહિંતર, તમને ચેડા થવાનું જોખમ છે.

હું એટલું જ કહેવા માંગતો હતો. તમારા બંદરો બંધ રાખો!

• (1) યુપીડી 1: તે તમે તમારો કૂલ યુનિવર્સલ પાસવર્ડ ચકાસી શકો છો (બધી સેવાઓમાં આ પાસવર્ડને રેન્ડમ સાથે બદલ્યા વિના આ કરશો નહીં), શું તે મર્જ કરેલા ડેટાબેઝમાં દેખાય છે. અને અહીં તમે જોઈ શકો છો કે કેટલી સેવાઓ હેક કરવામાં આવી હતી, તમારો ઈમેલ ક્યાં સામેલ હતો અને તે મુજબ, તમારા કૂલ યુનિવર્સલ પાસવર્ડ સાથે ચેડા કરવામાં આવ્યો છે કે કેમ તે શોધી શકો છો.
• (2) એમેઝોનના ક્રેડિટ માટે, લાઇટસેલ પાસે ન્યૂનતમ સ્કેન છે. દેખીતી રીતે તેઓ તેને કોઈક રીતે ફિલ્ટર કરે છે.
• (3) વધુ સુરક્ષિત વેબ સર્વર એ સમર્પિત ફાયરવોલની પાછળ છે, તેની પોતાની WAF, પરંતુ અમે પબ્લિક VPS/ડેડિકેટેડ વિશે વાત કરી રહ્યા છીએ.
• (4) સેગમેન્ટમેક.
• (5) ફાયરહોલ.

ફક્ત નોંધાયેલા વપરાશકર્તાઓ જ સર્વેમાં ભાગ લઈ શકે છે. સાઇન ઇન કરો, મહેરબાની કરીને.

શું તમારા બંદરો ચોંટી જાય છે?

• હંમેશા

• ક્યારેક

• ક્યારેય નહીં

• મને ખબર નથી, વાહિયાત

54 વપરાશકર્તાઓએ મત ​​આપ્યો. 6 વપરાશકર્તાઓ દૂર રહ્યા.

સોર્સ: www.habr.com