लीक से बचने के लिए इलास्टिक्स खोज को कैसे कॉन्फ़िगर करें

पिछले एक साल में डेटाबेस से कई लीक सामने आए हैं Elasticsearch (यहां, यहां и यहां). कई मामलों में, व्यक्तिगत डेटा डेटाबेस में संग्रहीत किया गया था। इन लीक से बचा जा सकता था यदि, डेटाबेस को तैनात करने के बाद, प्रशासकों ने कुछ सरल सेटिंग्स की जाँच करने की जहमत उठाई होती। आज हम उनके बारे में बात करेंगे.

आइए तुरंत एक आरक्षण करें कि हमारे अभ्यास में हम अपने IaaS प्लेटफ़ॉर्म में सूचना सुरक्षा उपकरण, OS और सॉफ़्टवेयर के लॉग को स्टोर करने और लॉग का विश्लेषण करने के लिए Elasticsearch का उपयोग करते हैं, जो 152-FZ, क्लाउड-152 की आवश्यकताओं का अनुपालन करता है। 

हम जाँचते हैं कि क्या डेटाबेस इंटरनेट से जुड़ा हुआ है

लीक के अधिकांश ज्ञात मामलों में (यहां, यहां) हमलावर ने आसानी से और सरलता से डेटा तक पहुंच प्राप्त की: डेटाबेस इंटरनेट पर प्रकाशित किया गया था, और प्रमाणीकरण के बिना इससे जुड़ना संभव था।  

सबसे पहले, आइए इंटरनेट पर प्रकाशन से निपटें। ऐसा क्यूँ होता है? तथ्य यह है कि Elasticsearch के अधिक लचीले संचालन के लिए की सिफारिश की तीन सर्वरों का एक क्लस्टर बनाएं। डेटाबेस को एक दूसरे के साथ संचार करने के लिए, आपको पोर्ट खोलने की आवश्यकता है। परिणामस्वरूप, प्रशासक किसी भी तरह से डेटाबेस तक पहुंच को प्रतिबंधित नहीं करते हैं, और आप कहीं से भी डेटाबेस से जुड़ सकते हैं। यह जांचना आसान है कि डेटाबेस बाहर से पहुंच योग्य है या नहीं। बस ब्राउज़र में दर्ज करें http://[IP/Имя Elasticsearch]:9200/_cat/nodes?v

यदि आप अंदर जा सकते हैं, तो इसे बंद करने के लिए दौड़ें।

डेटाबेस से कनेक्शन की सुरक्षा करना

अब हम इसे ऐसा बनाएंगे कि प्रमाणीकरण के बिना डेटाबेस से जुड़ना असंभव हो जाएगा।

इलास्टिक्स खोज में एक प्रमाणीकरण मॉड्यूल है जो डेटाबेस तक पहुंच को सीमित करता है, लेकिन यह केवल भुगतान किए गए एक्स-पैक प्लगइन सेट (1 महीने का मुफ्त उपयोग) में उपलब्ध है।

अच्छी खबर यह है कि 2019 के पतन में, अमेज़ॅन ने अपना विकास खोला, जो एक्स-पैक के साथ ओवरलैप होता है। डेटाबेस से कनेक्ट होने पर प्रमाणीकरण फ़ंक्शन Elasticsearch 7.3.2 संस्करण के लिए एक मुफ्त लाइसेंस के तहत उपलब्ध हो गया है, और Elasticsearch 7.4.0 के लिए एक नई रिलीज़ पहले से ही काम कर रही है।

इस प्लगइन को इंस्टॉल करना आसान है. सर्वर कंसोल पर जाएं और रिपॉजिटरी कनेक्ट करें:

आरपीएम आधारित:

curl https://d3g5vo6xdbdb9a.cloudfront.net/yum/opendistroforelasticsearch-artifacts.repo -o /etc/yum.repos.d/opendistroforelasticsearch-artifacts.repo

yum update

yum install opendistro-security

DEB आधारित:

wget -qO ‐ https://d3g5vo6xdbdb9a.cloudfront.net/GPG-KEY-opendistroforelasticsearch | sudo apt-key add -

एसएसएल के माध्यम से सर्वरों के बीच इंटरेक्शन स्थापित करना

प्लगइन इंस्टॉल करते समय, डेटाबेस से कनेक्ट होने वाले पोर्ट का कॉन्फ़िगरेशन बदल जाता है। यह एसएसएल एन्क्रिप्शन को सक्षम बनाता है। क्लस्टर सर्वर एक-दूसरे के साथ काम करना जारी रखें, इसके लिए आपको एसएसएल का उपयोग करके उनके बीच इंटरैक्शन को कॉन्फ़िगर करने की आवश्यकता है।

मेजबानों के बीच विश्वास अपने स्वयं के प्रमाणपत्र प्राधिकरण के साथ या उसके बिना स्थापित किया जा सकता है। पहली विधि से, सब कुछ स्पष्ट है: आपको बस सीए विशेषज्ञों से संपर्क करने की आवश्यकता है। चलिए सीधे दूसरे पर चलते हैं।

1. पूरे डोमेन नाम के साथ एक वेरिएबल बनाएं:

   export DOMAIN_CN="example.com"

2. एक निजी कुंजी बनाएं:

   openssl genrsa -out root-ca-key.pem 4096

3. मूल प्रमाणपत्र पर हस्ताक्षर करें. इसे सुरक्षित रखें: यदि यह खो जाता है या समझौता हो जाता है, तो सभी मेजबानों के बीच विश्वास को फिर से कॉन्फ़िगर करने की आवश्यकता होगी।

   openssl req -new -x509 -sha256 -subj "/C=RU/ST=Moscow/O=Moscow, Inc./CN=${DOMAIN_CN}" 
   -key root-ca-key.pem -out root-ca.pem

4. एक व्यवस्थापक कुंजी बनाएँ:

   openssl genrsa -out admin-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out admin-key.pem

5. प्रमाणपत्र पर हस्ताक्षर करने के लिए अनुरोध बनाएं:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${DOMAIN_CN}/CN=admin " 
   -key admin-key.pem -out admin.csr

6. एक व्यवस्थापक प्रमाणपत्र बनाएँ:

   openssl x509 -req -extensions usr_cert -in admin.csr -CA root-ca.pem 
   -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem

7. इलास्टिक्स खोज नोड के लिए प्रमाणपत्र बनाएं:

   export NODENAME="node-01"
   openssl genrsa -out ${NODENAME}-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in ${NODENAME}-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out ${NODENAME}-key.pem

8. एक हस्ताक्षर अनुरोध बनाएँ:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${NODENAME}.${DOMAIN_CN}"  
   -addext"subjectAltName=DNS:${NODENAME}.${DOMAIN_CN},DNS:www.${NODENAME}.${DOMAIN_CN}" 
   -key ${NODENAME}-key.pem -out ${NODENAME}.csr

9. प्रमाणपत्र पर हस्ताक्षर करना:

   openssl x509 -req -in node.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial 
   -sha256 -out node.pem

10. निम्नलिखित फ़ोल्डर में Elasticsearch नोड्स के बीच प्रमाणपत्र रखें:

    /etc/elasticsearch/

    
    हमें फ़ाइलें चाहिए:

            node-01-key.pem
    	node-01.pem
    	admin-key.pem
    	admin.pem
    	root-ca.pem

11. की स्थापना /etc/elasticsearch/elasticsearch.yml - प्रमाणपत्र वाली फ़ाइलों का नाम बदलकर हमारे द्वारा जेनरेट किया गया नाम रखें:

    opendistro_security.ssl.transport.pemcert_filepath: node-01.pem                                                                                                                                                                                    
    	opendistro_security.ssl.transport.pemkey_filepath: node-01-key.pem                                                                                                                                                                                 
    	opendistro_security.ssl.transport.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                              
    	opendistro_security.ssl.transport.enforce_hostname_verification: false                                                                                                                                                                             
    	opendistro_security.ssl.http.enabled: true                                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemcert_filepath: node-01.pem                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemkey_filepath: node-01-key.pem                                                                                                                                                                                      
    	opendistro_security.ssl.http.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                                   
    	opendistro_security.allow_unsafe_democertificates: false                                                                                                                                                                                           
    	opendistro_security.allow_default_init_securityindex: true                                                                                                                                                                                         
    	opendistro_security.authcz.admin_dn:                                                                                                                                                                                                               
    	  − CN=admin,CN=example.com,O=Moscow Inc.,ST=Moscow,C=RU                                                                                                                                                                                                  
    	opendistro_security.nodes_dn:                                                                                                                                                                                                                      
    	  − CN=node-01.example.com,O=Moscow Inc.,ST=Moscow,C=RU

आंतरिक उपयोगकर्ताओं के लिए पासवर्ड बदलना

1. नीचे दिए गए कमांड का उपयोग करके, हम पासवर्ड हैश को कंसोल पर आउटपुट करते हैं:

   sh ${OD_SEC}/tools/hash.sh -p [пароль]

2. फ़ाइल में हैश को प्राप्त हैश में बदलें:

   /usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml

OS में फ़ायरवॉल सेट करना

1. फ़ायरवॉल को प्रारंभ करने दें:

   systemctl enable firewalld

2. आइए इसे लॉन्च करें:

   systemctl start firewalld

3. Elasticsearch से कनेक्शन की अनुमति दें:

   firewall-cmd --set-default-zone work
   firewall-cmd --zone=work --add-port=9200/TCP --permanent

4. फ़ायरवॉल नियम पुनः लोड करें:

   firewall-cmd --reload

5. यहां कार्य नियम हैं:

   firewall-cmd --list-all

हमारे सभी परिवर्तनों को इलास्टिक्स खोज में लागू करना

1. प्लगइन के साथ फ़ोल्डर के पूर्ण पथ के साथ एक वेरिएबल बनाएं:

   export  OD_SEC="/usr/share/elasticsearch/plugins/opendistro_security/"

2. आइए एक स्क्रिप्ट चलाएँ जो पासवर्ड अपडेट करेगी और सेटिंग्स की जाँच करेगी:

   ${OD_SEC}/tools/securityadmin.sh -cd ${OD_SEC}/securityconfig/ 
   -icl -nhnv -cacert /etc/elasticsearch/root-ca.pem 
   -cert /etc/elasticsearch/admin.pem  
   -key /etc/elasticsearch/admin-key.pem

3. जांचें कि क्या परिवर्तन लागू किए गए हैं:

   curl -XGET https://[IP/Имя Elasticsearch]:9200/_cat/nodes?v -u admin:[пароль] --insecure

बस इतना ही, ये न्यूनतम सेटिंग्स हैं जो इलास्टिक्स खोज को अनधिकृत कनेक्शन से बचाती हैं।

स्रोत: www.habr.com