🥇Non aprite porte al mondo — vi hackeranno (rischi)

Ancora una volta, dopo aver condotto un audit, mi imbatto in un muro di incomprensione riguardo ai miei consigli di nascondere le porte dietro una lista bianca. Anche gli admin/DevOps più esperti chiedono: «Perché?!?»

Propongo di considerare i rischi in ordine decrescente di probabilità di verificarsi e danno.

Errore di configurazione
DDoS per IP
Brute force
Vulnerabilità dei servizi
Vulnerabilità dello stack del kernel
Intensificazione degli attacchi DDoS

Errore di configurazione

Situazione tipica e pericolosa. Così si verifica. Un sviluppatore ha bisogno di verificare rapidamente un'ipotesi, crea un server temporaneo con mysql/redis/mongodb/elastic. La password, naturalmente, è complessa, lui la usa ovunque. Rende il servizio accessibile al pubblico — è comodo per lui collegarsi dal suo PC senza dover usare questi VPN. Inoltre, non ha voglia di ricordare la sintassi di iptables, dopotutto il server è temporaneo. Altri due giorni di sviluppo — è andato alla grande, si può mostrare al cliente. Al cliente piace, non c'è tempo per rifare, lanciamo in PRODUZIONE!

Esempio volutamente esagerato per passare attraverso tutte le insidie:

Non c'è nulla di più permanente del temporaneo — non mi piace questa frase, ma per sensazioni soggettive, il 20-40% di questi server temporanei rimangono a lungo.
Una password complessa e universale, utilizzata in molti servizi — è un problema. Perché uno dei servizi in cui veniva utilizzata questa password potrebbe essere stato compromesso. In ogni caso, i database dei servizi violati vengono accumulati in uno solo, utilizzato per [brute forcing]*.
Vale la pena aggiungere che redis, mongodb ed elastic sono disponibili dopo l'installazione senza autenticazione e spesso arricchiscono la collezione di database aperti.
Può sembrare che in pochi giorni nessuno scansionerà la tua porta 3306. Questo è un errore! Masscan è un ottimo scanner e può scansionare a una velocità di 10 milioni di porte al secondo. E su internet ci sono solo 4 miliardi di IPv4. Di conseguenza, tutte le porte 3306 su internet vengono trovate in 7 minuti. Carl!!! Sette minuti!
"A chi interessa?" — obietterai. Ed eccomi sorpreso, guardando le statistiche dei pacchetti scartati. Da dove vengono 40.000 tentativi di scansione in un giorno da 3.000 IP unici? Attualmente stanno scansionando tutti, dai giovani hacker fino ai governi. Controllare è molto semplice: prendi qualsiasi VPS per $3-5 da un qualsiasi** lowcost, attiva il logging dei pacchetti scartati e guarda il log dopo un giorno.

Attivazione del logging

In /etc/iptables/rules.v4 aggiungi alla fine:
-A INPUT -j LOG —log-prefix "[FW — TUTTO] " —log-level 4

E in /etc/rsyslog.d/10-iptables.conf
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS per IP

Se un malintenzionato conosce il tuo IP, può DDoSare il tuo server per alcune ore o giorni. Non tutti gli hosting low-cost dispongono di protezione DDoS e il tuo server potrebbe essere semplicemente disconnesso dalla rete. Se hai nascosto il server dietro un CDN, non dimenticare di cambiare l'IP, altrimenti l'hacker lo troverà su Google e DDoSerà il tuo server bypassando il CDN (un errore molto comune).

Vulnerabilità dei servizi

In tutti i software popolari prima o poi vengono scovati bug, anche nei più testati e critici. Nel mondo degli esperti di sicurezza, c'è una semi-barzelletta: la sicurezza dell'infrastruttura può essere tranquillamente valutata in base alla data dell'ultimo aggiornamento. Se la tua infrastruttura ha porte esposte al pubblico e non la aggiorni da un anno, qualsiasi esperto di sicurezza ti dirà senza guardare che sei vulnerabile e probabilmente già compromesso.
Va anche notato che tutte le vulnerabilità conosciute una volta erano sconosciute. Immagina un hacker che trova una vulnerabilità di questo tipo e scansiona l'intero internet in 7 minuti per rilevarne la presenza... Ecco che arriva una nuova epidemia virale ) Devi aggiornarti, ma questo potrebbe danneggiare il prodotto, dirai tu. Avrai ragione, se i pacchetti non provengono da repository ufficiali del sistema operativo. Dalla mia esperienza, gli aggiornamenti dai repository ufficiali raramente rompono la produzione.

Brute force

Come descritto sopra, esiste un database con quasi mezzo miliardo di password che possono essere digitati facilmente da una tastiera. In altre parole, se non hai generato una password e hai semplicemente digitato simboli vicini sulla tastiera, puoi essere certo* - sarai attaccato.

Vulnerabilità dello stack del kernel.

A volte**** non importa nemmeno quale servizio specifico apra la porta quando è vulnerabile lo stack di rete del kernel stesso. In altre parole, qualsiasi socket tcp/udp su un sistema di due anni fa è suscettibile a vulnerabilità che portano a DDoS.

Intensificazione degli attacchi DDoS

Non causerà danni diretti, ma potrebbe saturare la tua banda, aumentare il carico sul sistema, il tuo IP potrebbe finire in qualche black-list*****, e potresti ricevere abusi dall'hosting provider.

Hai davvero bisogno di tutti questi rischi? Aggiungi il tuo IP domestico e lavorativo in white-list. Anche se è dinamico, accedi attraverso il pannello di amministrazione dell'hosting provider, tramite la console web, e semplicemente aggiungi un altro.

Opero da 15 anni nella costruzione e protezione di infrastrutture IT. Ho sviluppato una regola che consiglio vivamente a tutti - nessuna porta dovrebbe essere esposta al pubblico senza una white-list.

Ad esempio, il server web più protetto*** è quello a cui sono aperti solo le porte 80 e 443 per CDN/WAF. E le porte di servizio (ssh, netdata, bacula, phpmyadmin) dovrebbero essere almeno dietro un white-list, e sarebbe meglio se fossero dietro una VPN. Altrimenti rischiate di essere compromessi.

Ho finito. Tenete chiusi i vostri porti!

(1) UPD1: Qui puoi controllare la tua fantastica password universale (non farlo senza sostituire questa password con casuali in tutti i servizi), è stata esposta in qualche database trapelato. E qui puoi vedere quanti servizi sono stati compromessi, dove è comparsa la tua email, e quindi scoprire se la tua fantastica password universale è stata compromessa.
(2) A onor del vero, Amazon — su LightSail ci sono pochi scan. Evidentemente filtrano in qualche modo.
(3) Un server web ancora più sicuro è quello dietro un firewall dedicato, con il proprio WAF, ma si parla di VPS/Dedicati pubblici.
(4) Segmentsmak.
(5) Firehol.

Solo gli utenti registrati possono partecipare al sondaggio. Accedi, per favore.