दुनिया के लिए बंदरगाह न खोलें - आप टूट जायेंगे (जोखिम)

बार-बार, ऑडिट करने के बाद, बंदरगाहों को सफेद सूची के पीछे छिपाने की मेरी सिफारिशों के जवाब में, मुझे गलतफहमी की दीवार का सामना करना पड़ता है। यहां तक ​​कि बहुत अच्छे व्यवस्थापक/DevOps भी पूछते हैं: "क्यों?!?"

मैं घटना और क्षति की संभावना के अवरोही क्रम में जोखिमों पर विचार करने का प्रस्ताव करता हूं।

1. विन्यास त्रुटि
2. आईपी ​​पर DDoS
3. पाशविक बल
4. सेवा कमजोरियाँ
5. कर्नेल स्टैक कमजोरियाँ
6. DDoS हमलों में वृद्धि

विन्यास त्रुटि

सबसे विशिष्ट और खतरनाक स्थिति. यह कैसे होता है. डेवलपर को परिकल्पना का त्वरित परीक्षण करने की आवश्यकता है; वह MySQL/redis/mongodb/elastic के साथ एक अस्थायी सर्वर स्थापित करता है। बेशक, पासवर्ड जटिल है, वह इसका उपयोग हर जगह करता है। यह सेवा को दुनिया के लिए खोलता है - आपके इन वीपीएन के बिना अपने पीसी से कनेक्ट करना उसके लिए सुविधाजनक है। और मैं iptables सिंटैक्स को याद रखने में बहुत आलसी हूं; सर्वर वैसे भी अस्थायी है। विकास के कुछ और दिन - यह बहुत अच्छा निकला, हम इसे ग्राहक को दिखा सकते हैं। ग्राहक को यह पसंद है, इसे दोबारा करने का समय नहीं है, हम इसे PROD में लॉन्च करते हैं!

सभी रेक के माध्यम से जाने के लिए एक उदाहरण जानबूझकर अतिरंजित किया गया है:

1. अस्थायी से अधिक स्थायी कुछ भी नहीं है - मुझे यह वाक्यांश पसंद नहीं है, लेकिन व्यक्तिपरक भावनाओं के अनुसार, ऐसे 20-40% अस्थायी सर्वर लंबे समय तक बने रहते हैं।
2. एक जटिल सार्वभौमिक पासवर्ड जो कई सेवाओं में उपयोग किया जाता है वह बुरा है। क्योंकि जिन सेवाओं में इस पासवर्ड का उपयोग किया गया था उनमें से एक को हैक किया जा सकता था। किसी न किसी तरह, हैक की गई सेवाओं के डेटाबेस एक में एकत्रित हो जाते हैं, जिसका उपयोग [क्रूर बल]* के लिए किया जाता है।
   यह जोड़ने योग्य है कि स्थापना के बाद, रेडिस, मोंगोडब और इलास्टिक आम तौर पर प्रमाणीकरण के बिना उपलब्ध होते हैं, और अक्सर फिर से भर दिए जाते हैं खुले डेटाबेस का संग्रह.
3. ऐसा लग सकता है कि कुछ दिनों में कोई भी आपके 3306 पोर्ट को स्कैन नहीं करेगा। यह एक भ्रम है! मैस्कैन एक उत्कृष्ट स्कैनर है और प्रति सेकंड 10M पोर्ट पर स्कैन कर सकता है। और इंटरनेट पर केवल 4 बिलियन IPv4 हैं। तदनुसार, इंटरनेट पर सभी 3306 पोर्ट 7 मिनट में स्थित हो जाते हैं। चार्ल्स!!! सात मिनट!
   “इसकी जरूरत किसे है?” - आप आपत्ति करते हैं. इसलिए जब मैं गिराए गए पैकेजों के आँकड़ों को देखता हूँ तो मुझे आश्चर्य होता है। प्रति दिन 40 हजार अद्वितीय आईपी से 3 हजार स्कैन प्रयास कहां से आते हैं? अब माँ के हैकर्स से लेकर सरकारों तक हर कोई स्कैन कर रहा है। इसे जांचना बहुत आसान है - किसी भी** कम लागत वाली एयरलाइन से $3-5 में कोई भी वीपीएस लें, गिराए गए पैकेजों की लॉगिंग सक्षम करें और एक दिन में लॉग देखें।

लॉगिंग सक्षम करना

/etc/iptables/rules.v4 में अंत में जोड़ें:
-ए इनपुट -जे लॉग --लॉग-उपसर्ग "[एफडब्ल्यू - सभी] " --लॉग-स्तर 4

और /etc/rsyslog.d/10-iptables.conf में
:msg, इसमें शामिल है,"[FW - " /var/log/iptables.log
& रुकना

आईपी ​​पर DDoS

यदि कोई हमलावर आपका आईपी जानता है, तो वह आपके सर्वर को कई घंटों या दिनों के लिए हाईजैक कर सकता है। सभी कम लागत वाले होस्टिंग प्रदाताओं के पास DDoS सुरक्षा नहीं है और आपका सर्वर बस नेटवर्क से डिस्कनेक्ट हो जाएगा। यदि आपने अपने सर्वर को सीडीएन के पीछे छुपाया है, तो आईपी बदलना न भूलें, अन्यथा कोई हैकर इसे गूगल कर लेगा और सीडीएन (एक बहुत लोकप्रिय गलती) को दरकिनार कर आपके सर्वर को डीडीओएस कर देगा।

सेवा कमजोरियाँ

सभी लोकप्रिय सॉफ़्टवेयर देर-सबेर त्रुटियाँ ढूँढ़ ही लेते हैं, यहाँ तक कि सबसे अधिक परीक्षित और आलोचनात्मक भी। आईबी विशेषज्ञों के बीच एक आधा-मजाक है - अंतिम अद्यतन के समय तक बुनियादी ढांचे की सुरक्षा का सुरक्षित रूप से आकलन किया जा सकता है। यदि आपका बुनियादी ढांचा दुनिया भर में फैले बंदरगाहों से समृद्ध है, और आपने इसे एक साल तक अपडेट नहीं किया है, तो कोई भी सुरक्षा विशेषज्ञ आपको बिना देखे बता देगा कि आप लीक कर रहे हैं, और सबसे अधिक संभावना है कि इसे पहले ही हैक कर लिया गया है।
यह भी उल्लेखनीय है कि सभी ज्ञात कमजोरियाँ एक समय अज्ञात थीं। एक हैकर की कल्पना करें जिसने ऐसी भेद्यता पाई और उसकी उपस्थिति के लिए 7 मिनट में पूरे इंटरनेट को स्कैन किया... यहां एक नया वायरस महामारी है) हमें अपडेट करने की आवश्यकता है, लेकिन यह उत्पाद को नुकसान पहुंचा सकता है, आप कहते हैं। और यदि पैकेज आधिकारिक ओएस रिपॉजिटरी से इंस्टॉल नहीं किए गए हैं तो आप सही होंगे। अनुभव से, आधिकारिक रिपॉजिटरी से अपडेट शायद ही कभी उत्पाद को तोड़ते हैं।

पाशविक बल

जैसा कि ऊपर वर्णित है, आधे अरब पासवर्ड वाला एक डेटाबेस है जो कीबोर्ड से टाइप करने के लिए सुविधाजनक है। दूसरे शब्दों में, यदि आपने पासवर्ड नहीं बनाया है, लेकिन कीबोर्ड पर आसन्न प्रतीकों को टाइप किया है, तो निश्चिंत रहें* कि वे आपको भ्रमित कर देंगे।

कर्नेल स्टैक कमजोरियाँ.

ऐसा भी होता है **** कि इससे कोई फर्क नहीं पड़ता कि कौन सी सेवा पोर्ट खोलती है, जब कर्नेल नेटवर्क स्टैक स्वयं असुरक्षित होता है। यानी, दो साल पुराने सिस्टम पर कोई भी टीसीपी/यूडीपी सॉकेट DDoS की ओर ले जाने वाली भेद्यता के प्रति संवेदनशील है।

DDoS हमलों में वृद्धि

इससे कोई सीधा नुकसान नहीं होगा, लेकिन यह आपके चैनल को अवरुद्ध कर सकता है, सिस्टम पर लोड बढ़ा सकता है, आपका आईपी किसी ब्लैक-लिस्ट में डाल दिया जाएगा, और आपको होस्टर से दुर्व्यवहार का सामना करना पड़ेगा।

क्या आपको सचमुच इन सभी जोखिमों की आवश्यकता है? अपने घर और कार्यस्थल के आईपी को श्वेत-सूची में जोड़ें। भले ही यह गतिशील हो, होस्टर के व्यवस्थापक पैनल के माध्यम से, वेब कंसोल के माध्यम से लॉग इन करें, और बस एक और जोड़ें।

मैं 15 वर्षों से आईटी बुनियादी ढांचे का निर्माण और सुरक्षा कर रहा हूं। मैंने एक नियम विकसित किया है जिसकी मैं दृढ़तापूर्वक सभी को अनुशंसा करता हूँ - कोई भी बंदरगाह श्वेत-सूची के बिना दुनिया से बाहर नहीं रहना चाहिए.

उदाहरण के लिए, सबसे सुरक्षित वेब सर्वर*** वह है जो केवल CDN/WAF के लिए 80 और 443 खोलता है। और सर्विस पोर्ट (ssh, Netdata, bacula, phpmyadmin) कम से कम व्हाइट-लिस्ट से पीछे होने चाहिए, और इससे भी बेहतर वीपीएन से पीछे होने चाहिए। अन्यथा, आप समझौता किए जाने का जोखिम उठाते हैं।

मैं बस इतना ही कहना चाहता था. अपने बंदरगाह बंद रखें!

• (1) यूपीडी1: यहां आप अपना शानदार यूनिवर्सल पासवर्ड जांच सकते हैं (सभी सेवाओं में इस पासवर्ड को यादृच्छिक पासवर्ड से बदले बिना ऐसा न करें), क्या यह मर्ज किए गए डेटाबेस में दिखाई दिया। और यहाँ आप देख सकते हैं कि कितनी सेवाएँ हैक की गईं, आपका ईमेल कहाँ शामिल किया गया था, और, तदनुसार, पता लगाएँ कि क्या आपके शानदार सार्वभौमिक पासवर्ड से समझौता किया गया है।
• (2) अमेज़ॅन के श्रेय के लिए, लाइटसेल में न्यूनतम स्कैन हैं। जाहिर तौर पर वे इसे किसी तरह फ़िल्टर करते हैं।
• (3) एक और भी अधिक सुरक्षित वेब सर्वर एक समर्पित फ़ायरवॉल, अपने स्वयं के WAF के पीछे होता है, लेकिन हम सार्वजनिक VPS/समर्पित के बारे में बात कर रहे हैं।
• (4) सेग्मेंट्समैक।
• (5) फ़ायरहोल.

केवल पंजीकृत उपयोगकर्ता ही सर्वेक्षण में भाग ले सकते हैं। साइन इन करेंकृपया।

क्या आपके पोर्ट चिपके हुए हैं?

• सदैव

• कभी कभी

• कभी नहीं

• मुझे नहीं पता, भाड़ में जाओ

54 उपयोगकर्ताओं ने मतदान किया। 6 उपयोगकर्ता अनुपस्थित रहे।

स्रोत: www.habr.com