🥇Ne otvarajte portove prema van — razbit će vas (rizici)

Iznova i iznova, nakon provođenja revizije, na moje preporuke o skrivanju portova iza bijele liste susrećem zid nerazumijevanja. Čak i najiskusniji administratori/DevOps-ovci pitaju: „Zašto?!?“

Predlažem razmotriti rizike prema silaznom redoslijedu vjerojatnosti nastanka i štete.

Pogreška u konfiguraciji
DDoS po IP-u
Bruteforce
Ranljivosti usluga
Ranljivosti stoga jezgre
Pojačavanje DDoS napada

Pogreška u konfiguraciji

Najtipičnija i najopasnija situacija. Kako to obično biva. Razvijaču je potrebno brzo provjeriti hipotezu, podiže privremeni server s mysql/redis/mongodb/elastic. Lozinka, naravno, je složena, koristi je svuda. Otvara uslugu svijetu — lako mu je povezati se s vlastitog računala bez tih VPN opcija. A sintaksu iptables-a mu se ne da pamtiti, ionako je server privremen. Još nekoliko dana razvoja — ispalo je odlično, može se pokazivati klijentu. Klijentu se sviđa, nema vremena za prepravljanje, puštamo u PRODUCTION!

Primjer namjerno pretjeran kako bi se obuhvatilo sve zamke:

Ničega nema trajnog poput privremenog — ne volim ovu rečenicu, ali prema subjektivnim osjećajima, 20-40% takvih privremenih servera ostaje dugo.
Složen univerzalni password koji se koristi na mnogim uslugama — loše. Jer, jedna od usluga na kojoj je korišten ova lozinka mogla bi biti hakirana. Tako ili onako, baze hakiranih usluga se slažu u jednu koja se koristi za [bruteforce]*.
Vrijedi dodati da su redis, mongodb i elastic nakon instalacije potpuno dostupni bez autentifikacije i često dopunjuju kolekciju otvorenih baza.
Može se činiti da tijekom nekoliko dana nitko ne skenira vaš port 3306. To je zabluda! Masscan je odličan skener i može skenirati brzinom od 10M portova u sekundi. A na internetu ima ukupno 4 milijarde IPv4 adresa. Tako su svi portovi 3306 na internetu dostupni za 7 minuta. Karl!!! Sedam minuta!
„Pa kome to treba?“ — prigovorite vi. Tako se i ja iznenađujem, gledajući statistiku odbačenih paketa. Odkuda 40 tisuća pokušaja skeniranja za jedan dan s 3 tisuće jedinstvenih IP? Sada svi skeniraju kome nije teško, od hobby hakera do vlada. Provjeriti je vrlo lako — uzmite bilo koju VPS za $3-5 od bilo kojeg** niskobudžetnog pružatelja, uključite logiranje odbačenih paketa i zavirite u log nakon 24 sata.

Uključivanje logiranja

U /etc/iptables/rules.v4 dodajte na kraj:
-A INPUT -j LOG —log-prefix "[FW — ALL] " —log-level 4

A u /etc/rsyslog.d/10-iptables.conf
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS po IP-u

Ako napadač zna vašu IP adresu, može vaš server napadati DDoS-om nekoliko sati ili dana. Nisu svi jeftini hosting provajderi zaštićeni od DDoS-a i vaš server će jednostavno biti isključen iz mreže. Ako ste sakrili server iza CDN-a, ne zaboravite promijeniti IP adresu, jer će haker lako pronaći vašu IP adresu i napadati vaš server mimo CDN-a (vrlo česta greška).

Ranljivosti usluga

U svim popularnim softverima рано ili kasnije nalaze se greške, čak i u najtestiranijim i najkritičnijim stvarima. U krugovima sigurnosnih stručnjaka postoji jedna pola-šala — sigurnost infrastrukture se može procijeniti prema vremenu posljednje ažuriranja. Ako je vaša infrastruktura bogata otvorenim portovima, a niste je ažurirali godinu dana, svaki stručnjak za sigurnost će vam bez razmišljanja reći da ste izloženi, a vjerovatno ste već bili hakirani.
Također treba napomenuti da su sve poznate ranjivosti nekada bile nepoznate. Zamislite hakera koji pronađe takvu ranjivost i skenira cijeli internet za 7 minuta na njeno prisustvo… I evo nove virusne epidemije. Morate se ažurirati, ali to može naškoditi produkciji, reći ćete. I bit ćete u pravu, ako paketi ne dolaze iz službenih repozitorija operativnog sistema. Iz iskustva, ažuriranja iz službenog repozitorija rijetko pokvare produkciju.

Bruteforce

Kao što sam gore opisao, postoji baza sa pola milijarde lozinki koje je lako upisati s tastature. Drugim riječima, ako niste generisali lozinku, već ste upisali približno smještene znakove na tastaturi, budite sigurni — bit ćete hakirani.

Ranjivosti mrežnog steka.

Može se desiti i to da nije važno koji tačno servis otvara port kada je sam mrežni stek ranjiv. Dakle, apsolutno bilo koji tcp/udp soket na sistemu starom dvije godine podložan je ranjivosti koja dovodi do DDoS-a.

Povećanje DDoS napada

Direktno vam neće donijeti štetu, ali može zagušiti vašu propusnost, povećati opterećenje na sistemu, vaša IP adresa će se možda naći u nekoj crnoj listi, a vi ćete dobiti obavijest od hosting provajdera.

Zar vam zaista trebaju svi ovi rizici? Dodajte vašu kućnu i radnu IP adresu u bijelu listu. Čak i ako je dinamička — prijavite se preko administratorske konzole provajdera, i jednostavno dodajte još jedan.

15 godina se bavim izgradnjom i zaštitom IT infrastrukture. Razvio sam pravilo koje svima toplo preporučujem — ni jedan port ne smije biti otvoren prema van bez bijele liste..

Na primjer, najsigurniji web poslužitelj*** je onaj koji ima otvorene portove 80 i 443 samo za CDN/WAF. Službeni portovi (ssh, netdata, bacula, phpmyadmin) trebali bi biti barem unutar bijele liste, a još bolje iza VPN-a. Inače riskirate da budete kompromitirani.

To je sve. Držite svoje portove zatvorenima!

(1) UPD1: Ovdje možete provjeriti svoju super tajnu lozinku (ne radite to bez zamjene ove lozinke s nasumičnim u svim uslugama), nije li ona otkrivena u provaljenoj bazi. A ovdje možete vidjeti koji su servisi bili hakirani, gdje je bio vaš email i, posljedično, saznati je li vaša super tajna lozinka kompromitirana.
(2) Na čast Amazonu — na LightSail minimalno skeniranja. Čini se da nekako filtriraju.
(3) Još sigurniji web poslužitelj je onaj koji je iza namjenskog vatrozida, s vlastitim WAF-om, ali ovdje je riječ o javnim VPS-/namjenskim poslužiteljima.
(4) Segmentsmak.
(5) Firehol.

Samo registrirani korisnici mogu sudjelovati u anketi. Prijavite se, molimo.