אל תפתח פורטים לעולם - אתה תהיה שבור (סיכונים)

פעם אחר פעם, לאחר ביצוע ביקורת, בתגובה להמלצות שלי להסתיר את הנמלים מאחורי רשימה לבנה, אני נתקל בחומה של אי הבנה. אפילו מנהלי מערכת/DevOps מגניבים מאוד שואלים: "למה?!?"

אני מציע לשקול סיכונים בסדר יורד של סבירות להתרחשות ולנזק.

1. שגיאת תצורה
2. DDoS over IP
3. בכוח הזרוע
4. פרצות שירות
5. פגיעויות מחסנית ליבה
6. התקפות DDoS מוגברות

שגיאת תצורה

המצב האופייני והמסוכן ביותר. איך זה קורה. המפתח צריך לבדוק במהירות את ההשערה; הוא מגדיר שרת זמני עם mysql/redis/mongodb/elastic. הסיסמה, כמובן, מורכבת, הוא משתמש בה בכל מקום. זה פותח את השירות לעולם - נוח לו להתחבר מהמחשב שלו בלי ה-VPN האלה שלך. ואני עצלן מכדי לזכור את תחביר iptables; השרת זמני בכל מקרה. עוד כמה ימים של פיתוח - זה יצא מעולה, אנחנו יכולים להראות את זה ללקוח. הלקוח אוהב את זה, אין זמן לעשות את זה מחדש, אנחנו משיקים את זה לתוך PROD!

דוגמה מוגזמת בכוונה כדי לעבור את כל המגרפה:

1. אין דבר קבוע יותר מזמני - אני לא אוהב את הביטוי הזה, אבל לפי רגשות סובייקטיביים, 20-40% מהשרתים הזמניים האלה נשארים לאורך זמן.
2. סיסמה אוניברסלית מורכבת המשמשת בשירותים רבים היא רעה. כי אחד השירותים שבהם נעשה שימוש בסיסמה זו יכול היה להיפרץ. כך או אחרת, מסדי הנתונים של שירותים פרוצים נוהרים לאחד, המשמש עבור [כוח אכזרי]*.
   כדאי להוסיף שלאחר ההתקנה, redis, mongodb ואלסטי זמינים בדרך כלל ללא אימות, ולעתים קרובות מתמלאים מחדש אוסף של מאגרי מידע פתוחים.
3. נראה שאף אחד לא יסרוק את יציאת 3306 שלך תוך מספר ימים. זו אשליה! Masscan הוא סורק מצוין ויכול לסרוק ב-10M יציאות לשנייה. ויש רק 4 מיליארד IPv4 באינטרנט. בהתאם לכך, כל 3306 היציאות באינטרנט ממוקמות תוך 7 דקות. צ'ארלס!!! שבע דקות!
   "מי צריך את זה?" - אתה מתנגד. אז אני מופתע כשאני מסתכל על הסטטיסטיקה של חבילות שנשרו. מהיכן מגיעים 40 אלף ניסיונות סריקה מ-3 כתובות IP ייחודיות ביום? עכשיו כולם סורקים, מהאקרים של אמא ועד ממשלות. זה קל מאוד לבדוק - קח כל VPS עבור $3-5 מכל חברת תעופה זולה**, אפשר רישום של חבילות שנפלו והסתכל ביומן תוך יום.

הפעלת רישום

ב-/etc/iptables/rules.v4 הוסף לסוף:
-A INPUT -j LOG --log-prefix "[FW - ALL] " --log-level 4

וב- /etc/rsyslog.d/10-iptables.conf
:msg,contains,"[FW - "/var/log/iptables.log
& תפסיק

DDoS over IP

אם תוקף יודע את ה-IP שלך, הוא יכול לחטוף את השרת שלך למשך מספר שעות או ימים. לא לכל ספקי האירוח בעלות נמוכה יש הגנת DDoS והשרת שלך פשוט ינותק מהרשת. אם החבאת את השרת שלך מאחורי CDN, אל תשכח לשנות את ה-IP, אחרת האקר יחפש אותו בגוגל ו-DDOS השרת שלך יעקוף את ה-CDN (טעות פופולרית מאוד).

פרצות שירות

כל התוכנות הפופולריות מוצאות במוקדם או במאוחר שגיאות, אפילו הנבדקות והקריטיות ביותר. בין מומחי IB, יש חצי בדיחה - ניתן להעריך בבטחה את אבטחת התשתית עד למועד העדכון האחרון. אם התשתית שלך עשירה בנמלים שמבצבצים לעולם, ולא עדכנת אותה שנה, אז כל מומחה אבטחה יגיד לך בלי להסתכל שאתה דולף, וסביר להניח שכבר נפרץ.
ראוי גם להזכיר שכל הפגיעויות הידועות היו פעם לא ידועות. תארו לעצמכם האקר שמצא נקודת תורפה כזו וסרק את כל האינטרנט ב-7 דקות על נוכחותו... הנה מגפת וירוסים חדשה) אנחנו צריכים לעדכן, אבל זה יכול להזיק למוצר, אתם אומרים. ואתה תהיה צודק אם החבילות אינן מותקנות ממאגרי מערכת ההפעלה הרשמיים. מניסיון, עדכונים מהמאגר הרשמי לעיתים רחוקות שוברים את המוצר.

בכוח הזרוע

כפי שתואר לעיל, ישנו מסד נתונים עם חצי מיליארד סיסמאות שנוחות להקליד מהמקלדת. במילים אחרות, אם לא יצרת סיסמה, אלא הקלדת סמלים סמוכים על המקלדת, תהיו בטוחים* שהם יבלבלו אתכם.

פגיעויות מחסנית ליבה.

קורה גם **** שזה אפילו לא משנה איזה שירות פותח את הפורט, כאשר מחסנית רשת הקרנל עצמה פגיעה. כלומר, לחלוטין כל שקע tcp/udp במערכת בת שנתיים רגיש לפגיעות המובילה ל-DDoS.

התקפות DDoS מוגברות

זה לא יגרום נזק ישיר, אבל זה יכול לסתום את הערוץ שלך, להגביר את העומס על המערכת, ה-IP שלך יגיע לרשימה שחורה כלשהי*****, ואתה תקבל התעללות מהמארח.

האם אתה באמת צריך את כל הסיכונים האלה? הוסף את ה-IP הביתי והעבודה שלך לרשימה הלבנה. גם אם זה דינמי, היכנס דרך פאנל הניהול של המארח, דרך קונסולת האינטרנט, ופשוט הוסף עוד אחד.

אני בונה ומגן על תשתיות IT כבר 15 שנה. פיתחתי כלל שאני ממליץ בחום לכולם - שום נמל לא צריך לבלוט לעולם בלי רשימה לבנה.

לדוגמה, שרת האינטרנט המאובטח ביותר*** הוא זה שפותח את 80 ו-443 רק עבור CDN/WAF. ויציאות שירות (ssh, netdata, bacula, phpmyadmin) צריכות להיות לפחות מאחורי הרשימה הלבנה, ואפילו טוב יותר מאחורי ה-VPN. אחרת, אתה מסתכן בפגיעה.

זה כל מה שרציתי להגיד. שמור את הנמלים שלך סגורים!

• (1) UPD1: כאן אתה יכול לבדוק את הסיסמה האוניברסלית המגניבה שלך (אל תעשה זאת מבלי להחליף סיסמה זו באקראי בכל השירותים), אם הוא הופיע במסד הנתונים הממוזג. והנה אתה יכול לראות כמה שירותים נפרצו, היכן האימייל שלך נכלל, ובהתאם, לגלות אם הסיסמה האוניברסלית המגניבה שלך נפגעה.
• (2) לזכותה של אמזון ייאמר, ל-LightSail יש סריקות מינימליות. כנראה שהם מסננים את זה איכשהו.
• (3) שרת אינטרנט מאובטח עוד יותר הוא זה שמאחורי חומת אש ייעודית, WAF משלו, אבל אנחנו מדברים על VPS/Dedicated ציבורי.
• (4) Segmentsmak.
• (5) Firehol.

רק משתמשים רשומים יכולים להשתתף בסקר. להתחברבבקשה.

האם היציאות שלך בולטות?

• תמיד

• לפעמים

• לעולם

• אני לא יודע, לעזאזל

54 משתמשים הצביעו. 6 משתמשים נמנעו.

מקור: www.habr.com