Ne nyisson portokat a világ felé - feltörnek (kockázatok)

Ismét és ismét, az audit lefolytatása után, amikor javasoltam, hogy rejtsük el a portokat a whitelist mögött, falba ütközöm a megértés hiánya miatt. Még a legkiválóbb rendszergazdák / DevOps szakemberek is kérdezik: „Miért?!?”

Javaslom a kockázatok megfontolását a bekövetkezés valószínűsége és a károk csökkenő sorrendjében.

1. Konfigurációs hiba
2. DDoS IP cím alapján
3. Bruteforce
4. Szolgáltatások sebezhetőségei
5. Kernelverem sebezhetőségei
6. DDoS támadások fokozása

Konfigurációs hiba

A legtipikusabb és legveszélyesebb szituáció. Hogyan is történik ez? A fejlesztőnek gyorsan le kell ellenőriznie egy hipotézist, ezért létrehoz egy ideiglenes szervert mysql / redis / mongodb / elastic használatával. A jelszó természetesen bonyolult, ő ezt mindenhol használja. Megnyit egy szolgáltatást a világ felé — kényelmesen szeretne csatlakozni a saját PC-jéről, a VPN-ek nélkül. Ráadásul lusta visszaemlékezni az iptables szintaxisára, hiszen ez csak egy ideiglenes szerver. Még pár nap fejlesztés — nagyszerű lett, lehet mutatni az ügyfélnek. Az ügyfélnek tetszik, nincs idő áttervezni, megy a PROD-ba!

Példa szándékosan eltúlozva, hogy megmutassa az összes buktatót:

1. Nincs állandóbb dolog, mint a ideiglenes — nem szeretem ezt a mondást, de szubjektív megérzéseim szerint ezeknek az ideiglenes szervereknek 20-40%-a hosszú távon megmarad.
2. Bonyolult, univerzális jelszó, amelyet sok szolgáltatásban használnak — rossz. Mert az egyik olyan szolgáltatás, ahol ezt a jelszót használták, lehet, hogy feltörték. Így vagy úgy, a feltört szolgáltatások adatbázisai egybeolvadnak, amelyeket a [bruteforce]* használ.
   Meg kell jegyezni, hogy a redis, mongodb és elastic telepítés után egyáltalán elérhető autentikáció nélkül, és gyakran bővítik a nyílt adatbázisok gyűjteményét.
3. Úgy tűnhet, hogy pár nap alatt senki sem szkennelheti a 3306-os portot. Ez tévhit! A Masscan egy kiváló szkenner, amely másodpercenként 10 millió portot képes szkennelni. Az interneten viszont összesen 4 milliárd IPv4 cím található. Ennek megfelelően minden 3306-os port az interneten 7 perc alatt megtalálható. Carl!!! Hét perc!
   „Kinek van erre szüksége?” — válaszolhat így. Én is meglepődöm, amikor megnézem a lehúzott csomagok statisztikáit. Honnan az a 40 ezer szkennelési kísérlet 3000 egyedi IP címről egy nap alatt? Jelenleg mindenki szkennel, akinek kedve van, a „maminak” is a hackerektől kezdve a kormányokig. Nagyon egyszerű ellenőrizni — vegyél bármilyen VPS-t 3-5 dollárért bármely lókostertől, aktiváld a lehúzott csomagok naplózását, és nézd meg a naplókat egy nap elteltével.

A naplózás bekapcsolása

A /etc/iptables/rules.v4 végéhez add hozzá:
-A INPUT -j LOG —log-prefix „[FW — MINDEN] ” —log-level 4

A /etc/rsyslog.d/10-iptables.conf fájlban
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS IP cím alapján

Ha a támadó tudja az IP-címét, akkor órákra vagy akár napokra is le tudja terhelni a szerverét. Nem minden olcsó hoszting szolgáltatás rendelkezik DDoS védelemmel, és a szerverét egyszerűen leválthatják a hálózatról. Ha CDN mögé rejtette a szerverét, ne felejtse el megváltoztatni az IP-címét, különben a hacker könnyen rá fog akadni, és DDoS-támadást indít a szervere ellen a CDN megkerülésével (ez egy nagyon gyakori hiba).

Szolgáltatások sebezhetőségei

Minden népszerű szoftverben előbb-utóbb találnak hibákat, még a legjobban tesztelt és legkritikusabb rendszerekben is. A biztonsági szakemberek között van egy félig vicc — a infrastruktúra biztonságát bátran felmérhetjük az utolsó frissítés ideje alapján. Ha az infrastruktúrája tele van kinyitott portokkal a világ felé, és egy éve nem frissítette, akkor bármelyik biztonsági szakember azt mondja, hogy sebezhető, és valószínűleg már meg is támadták.
Érdemes megemlíteni, hogy minden ismert sebezhetőség valaha is ismeretlen volt. Képzelje el azt a hackert, aki felfedezett egy sebezhetőséget, és 7 perc alatt átvizsgálta az egész internetet ennek megléte után… Íme egy új vírusjárvány ) Frissítkezni kell, de ez ártalmas lehet a termék szempontjából, mondhatja Ön. És igaza van, ha a csomagok nem hivatalos operációs rendszer tárolókból származnak. Tapasztalatból mondom, hogy a hivatalos tárolóból származó frissítések nagyon ritkán törik meg a produkciót.

Bruteforce

Ahogy fent említettem, létezik egy félmilliárd jelszó adatbázis, amelyet kényelmesen be lehet írni a billentyűzeten. Más szavakkal, ha nem generált jelszót, hanem a billentyűzeten egymás mellett lévő karaktereket ütött be, akkor legyen biztos - Önt el fogják csípni.

A kernel stack sebezhetőségei.

Előfordul****, hogy nem is számít, hogy pontosan melyik szolgáltatás nyitja meg a portot, amikor a kernel hálózati stack-e sebezhető. Tehát gyakorlatilag bármely tcp/udp socket egy kétéves rendszeren sebezhető az DDoS-hoz vezető sebezhetőséggel.

DDoS-támadások fokozása

Közvetlen kárt nem fog okozni, de leterhelheti a sávszélességét, növelheti a rendszert terhelését, az IP-címe bekerülhet valamilyen fekete listára******, és Ön kapni fog egy figyelmeztetést a hosztolótól.

Valóban szüksége van ezekre a kockázatokra? Adjon hozzá otthoni és munkahelyi IP-t a fehérlistához. Még ha dinamikus is - jelentkezzen be a hosztoló admin felületére, a webes konzolon keresztül, és egyszerűen adjon hozzá még egyet.

15 éve foglalkozom IT-infrastruktúrák kiépítésével és védelmével. Kidolgoztam egy szabályt, amelyet mindenkinek ajánlok - senki portja sem lehet nyitva a világ felé fehérlista nélkül.

Például a legjobban védett webkiszolgáló*** az, amelynek csak a 80-as és 443-as portjai nyitottak a CDN/WAF számára. A szolgáltatási portok (ssh, netdata, bacula, phpmyadmin) legalább egy white-list mögött kell, hogy legyenek, és még jobb, ha VPN-re is vannak áttéve. Máskülönben kockáztatja, hogy kompromittálják.

Nekem ennyi. Tartsátok zárva a portjaitokat!

• (1) UPD1: Itt ellenőrizheted, hogy a menő univerzális jelszavad (ne tedd ezt, hacsak nem cserélted le ezt a jelszót véletlenszerűre minden szolgáltatásban), nem bukott-e le valahol egy kiszivárgott adatbázisban. Itt megnézheted, hány szolgáltatás történt meg, ahol az email címed szerepelt, és ennek megfelelően megtudhatod, hogy a menő univerzális jelszavad ki van-e kompromittálva.
• (2) Az Amazon dicséretéül — a LightSail esetében minimum szkennelés van. Úgy tűnik, valahogy szűrik.
• (3) Még jobban védett webkiszolgáló az, ami egy dedikált tűzfal mögött, saját WAF-fal van, de itt a nyilvános VPS-ekről/Dedicatedről van szó.
• (4) Segmentsmak.
• (5) Firehol.

Csak a regisztrált felhasználók vehetnek részt a szavazáson. Kérem, jelentkezzen be., kérem.

Kint vannak a portjaid?

• Mindig
• Néha
• Soha
• Nem tudom, tökmindegy

54 felhasználó szavazott. 6 felhasználó tartózkodott.

Forrás: habr.com