როგორ დავაკონფიგურიროთ Elasticsearch გაჟონვის თავიდან ასაცილებლად

გასული წლის განმავლობაში, მონაცემთა ბაზებიდან ბევრი გაჟონვა მოხდა ელასტიური ძებნა (აქ, აქ и აქ). ხშირ შემთხვევაში, პერსონალური მონაცემები ინახებოდა მონაცემთა ბაზაში. ამ გაჟონვის თავიდან აცილება შეიძლებოდა, თუ მონაცემთა ბაზის განლაგების შემდეგ ადმინისტრატორები თავს იწუხებდნენ რამდენიმე მარტივი პარამეტრის შემოწმებაზე. დღეს ჩვენ ვისაუბრებთ მათზე.

მოდით დაუყოვნებლივ გავაკეთოთ დათქმა, რომ ჩვენს პრაქტიკაში ჩვენ ვიყენებთ Elasticsearch-ს ჟურნალების შესანახად და ინფორმაციის უსაფრთხოების ხელსაწყოების, OS და პროგრამული უზრუნველყოფის ჟურნალების გასაანალიზებლად ჩვენს IaaS პლატფორმაში, რომელიც აკმაყოფილებს 152-FZ, Cloud-152-ის მოთხოვნებს. 

ჩვენ ვამოწმებთ, არის თუ არა მონაცემთა ბაზა ინტერნეტში

გაჟონვის ყველაზე ცნობილ შემთხვევებში (აქ, აქ) თავდამსხმელმა მარტივად და უპრეტენზიოდ მოიპოვა მონაცემებზე წვდომა: მონაცემთა ბაზა გამოქვეყნდა ინტერნეტში და შესაძლებელი იყო მასთან დაკავშირება ავთენტიფიკაციის გარეშე.  

პირველ რიგში, შევეხოთ გამოქვეყნებას ინტერნეტში. რატომ ხდება ეს? ფაქტია, რომ Elasticsearch-ის უფრო მოქნილი მუშაობისთვის რეკომენდირებულია შექმენით სამი სერვერის კლასტერი. იმისათვის, რომ მონაცემთა ბაზებმა ერთმანეთთან დაუკავშირდნენ, თქვენ უნდა გახსნათ პორტები. შედეგად, ადმინისტრატორები არანაირად არ ზღუდავენ მონაცემთა ბაზაზე წვდომას და თქვენ შეგიძლიათ დაუკავშირდეთ მონაცემთა ბაზას ნებისმიერი ადგილიდან. ადვილია შეამოწმოთ არის თუ არა მონაცემთა ბაზა გარედან. უბრალოდ შედით ბრაუზერში http://[IP/Имя Elasticsearch]:9200/_cat/nodes?v

თუ შეგიძლია შეხვიდე, მაშინ გაიქეცი მის დასახურავად.

მონაცემთა ბაზასთან კავშირის დაცვა

ახლა ჩვენ გავაკეთებთ ისე, რომ შეუძლებელი იყოს მონაცემთა ბაზასთან დაკავშირება ავტორიზაციის გარეშე.

Elasticsearch-ს აქვს ავთენტიფიკაციის მოდული, რომელიც ზღუდავს მონაცემთა ბაზაზე წვდომას, მაგრამ ის ხელმისაწვდომია მხოლოდ ფასიან X-Pack დანამატების კომპლექტში (1 თვე უფასო გამოყენება).

კარგი ამბავი ის არის, რომ 2019 წლის შემოდგომაზე ამაზონმა გახსნა თავისი განვითარებები, რომლებიც ემთხვევა X-Pack-ს. მონაცემთა ბაზასთან დაკავშირებისას ავთენტიფიკაციის ფუნქცია ხელმისაწვდომი გახდა უფასო ლიცენზიით Elasticsearch 7.3.2 ვერსიისთვის და ახალი გამოშვება Elasticsearch 7.4.0 უკვე მუშაობს.

ამ მოდულის ინსტალაცია მარტივია. გადადით სერვერის კონსოლზე და დააკავშირეთ საცავი:

RPM საფუძველზე:

curl https://d3g5vo6xdbdb9a.cloudfront.net/yum/opendistroforelasticsearch-artifacts.repo -o /etc/yum.repos.d/opendistroforelasticsearch-artifacts.repo

yum update

yum install opendistro-security

DEB დაფუძნებული:

wget -qO ‐ https://d3g5vo6xdbdb9a.cloudfront.net/GPG-KEY-opendistroforelasticsearch | sudo apt-key add -

სერვერებს შორის ურთიერთქმედების დაყენება SSL-ის საშუალებით

მოდულის ინსტალაციისას იცვლება მონაცემთა ბაზასთან დამაკავშირებელი პორტის კონფიგურაცია. ეს საშუალებას აძლევს SSL დაშიფვრას. იმისათვის, რომ კლასტერულმა სერვერებმა გააგრძელონ ერთმანეთთან მუშაობა, თქვენ უნდა დააკონფიგურიროთ მათ შორის ურთიერთქმედება SSL-ის გამოყენებით.

მასპინძლებს შორის ნდობა შეიძლება დამყარდეს საკუთარი სერტიფიკატის უფლებამოსილებით ან მის გარეშე. პირველი მეთოდით, ყველაფერი ნათელია: თქვენ უბრალოდ უნდა დაუკავშირდეთ CA სპეციალისტებს. პირდაპირ მეორეზე გადავიდეთ.

1. შექმენით ცვლადი სრული დომენის სახელით:

   export DOMAIN_CN="example.com"

2. შექმენით პირადი გასაღები:

   openssl genrsa -out root-ca-key.pem 4096

3. ხელი მოაწერეთ root სერთიფიკატს. შეინახეთ იგი უსაფრთხოდ: თუ ის დაიკარგება ან დაზიანებულია, ნდობა ყველა ჰოსტს შორის საჭირო იქნება ხელახლა კონფიგურაცია.

   openssl req -new -x509 -sha256 -subj "/C=RU/ST=Moscow/O=Moscow, Inc./CN=${DOMAIN_CN}" 
   -key root-ca-key.pem -out root-ca.pem

4. შექმენით ადმინისტრატორის გასაღები:

   openssl genrsa -out admin-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out admin-key.pem

5. შექმენით მოთხოვნა სერთიფიკატზე ხელმოწერისთვის:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${DOMAIN_CN}/CN=admin " 
   -key admin-key.pem -out admin.csr

6. შექმენით ადმინისტრატორის სერტიფიკატი:

   openssl x509 -req -extensions usr_cert -in admin.csr -CA root-ca.pem 
   -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem

7. შექმენით სერთიფიკატები Elasticsearch კვანძისთვის:

   export NODENAME="node-01"
   openssl genrsa -out ${NODENAME}-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in ${NODENAME}-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out ${NODENAME}-key.pem

8. შექმენით ხელმოწერის მოთხოვნა:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${NODENAME}.${DOMAIN_CN}"  
   -addext"subjectAltName=DNS:${NODENAME}.${DOMAIN_CN},DNS:www.${NODENAME}.${DOMAIN_CN}" 
   -key ${NODENAME}-key.pem -out ${NODENAME}.csr

9. სერთიფიკატზე ხელმოწერა:

   openssl x509 -req -in node.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial 
   -sha256 -out node.pem

10. მოათავსეთ სერთიფიკატი Elasticsearch კვანძებს შორის შემდეგ საქაღალდეში:

    /etc/elasticsearch/

    
    ჩვენ გვჭირდება ფაილები:

            node-01-key.pem
    	node-01.pem
    	admin-key.pem
    	admin.pem
    	root-ca.pem

11. შეცვლა /etc/elasticsearch/elasticsearch.yml – შეცვალეთ სერთიფიკატების მქონე ფაილების სახელი ჩვენს მიერ გენერირებულად:

    opendistro_security.ssl.transport.pemcert_filepath: node-01.pem                                                                                                                                                                                    
    	opendistro_security.ssl.transport.pemkey_filepath: node-01-key.pem                                                                                                                                                                                 
    	opendistro_security.ssl.transport.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                              
    	opendistro_security.ssl.transport.enforce_hostname_verification: false                                                                                                                                                                             
    	opendistro_security.ssl.http.enabled: true                                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemcert_filepath: node-01.pem                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemkey_filepath: node-01-key.pem                                                                                                                                                                                      
    	opendistro_security.ssl.http.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                                   
    	opendistro_security.allow_unsafe_democertificates: false                                                                                                                                                                                           
    	opendistro_security.allow_default_init_securityindex: true                                                                                                                                                                                         
    	opendistro_security.authcz.admin_dn:                                                                                                                                                                                                               
    	  − CN=admin,CN=example.com,O=Moscow Inc.,ST=Moscow,C=RU                                                                                                                                                                                                  
    	opendistro_security.nodes_dn:                                                                                                                                                                                                                      
    	  − CN=node-01.example.com,O=Moscow Inc.,ST=Moscow,C=RU

შიდა მომხმარებლებისთვის პაროლების შეცვლა

1. ქვემოთ მოცემული ბრძანების გამოყენებით, ჩვენ გამოვიტანთ პაროლის ჰეშს კონსოლში:

   sh ${OD_SEC}/tools/hash.sh -p [пароль]

2. შეცვალეთ ფაილში ჰეში მიღებულში:

   /usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml

Firewall-ის დაყენება OS-ში

1. მიეცით საშუალება firewall-ს დაიწყოს:

   systemctl enable firewalld

2. მოდით გავუშვათ:

   systemctl start firewalld

3. Elasticsearch-თან კავშირის დაშვება:

   firewall-cmd --set-default-zone work
   firewall-cmd --zone=work --add-port=9200/TCP --permanent

4. გადატვირთეთ firewall-ის წესები:

   firewall-cmd --reload

5. აქ არის მუშაობის წესები:

   firewall-cmd --list-all

ჩვენი ყველა ცვლილების გამოყენება Elasticsearch-ში

1. შექმენით ცვლადი საქაღალდის სრული ბილიკით დანამატით:

   export  OD_SEC="/usr/share/elasticsearch/plugins/opendistro_security/"

2. მოდით გავუშვათ სკრიპტი, რომელიც განაახლებს პაროლებს და შეამოწმებს პარამეტრებს:

   ${OD_SEC}/tools/securityadmin.sh -cd ${OD_SEC}/securityconfig/ 
   -icl -nhnv -cacert /etc/elasticsearch/root-ca.pem 
   -cert /etc/elasticsearch/admin.pem  
   -key /etc/elasticsearch/admin-key.pem

3. შეამოწმეთ არის თუ არა ცვლილებები გამოყენებული:

   curl -XGET https://[IP/Имя Elasticsearch]:9200/_cat/nodes?v -u admin:[пароль] --insecure

სულ ეს არის, ეს არის მინიმალური პარამეტრები, რომლებიც იცავს Elasticsearch-ს არაავტორიზებული კავშირებისგან.

წყარო: www.habr.com