არ გახსნათ პორტები მსოფლიოს - თქვენ გატეხილი იქნებით (რისკები)

დროდადრო, აუდიტის ჩატარების შემდეგ, ჩემი რეკომენდაციების საპასუხოდ, პორტები თეთრი სიის მიღმა დამალვა, გაუგებრობის კედელს ვხვდები. ძალიან მაგარი ადმინები/DevOps-ებიც კი იკითხავენ: "რატომ?!?"

მე ვთავაზობ რისკების გათვალისწინებას დაღმავალი თანმიმდევრობით წარმოშობის და დაზიანების ალბათობის მიხედვით.

1. კონფიგურაციის შეცდომა
2. DDoS IP-ზე
3. უხეში ძალა
4. სერვისის სისუსტეები
5. ბირთვის სტეკის დაუცველობა
6. გაზრდილი DDoS შეტევები

კონფიგურაციის შეცდომა

ყველაზე ტიპიური და საშიში სიტუაცია. როგორ ხდება. დეველოპერმა უნდა სწრაფად შეამოწმოს ჰიპოთეზა; ის აყენებს დროებით სერვერს mysql/redis/mongodb/elastic-ით. პაროლი, რა თქმა უნდა, რთულია, ის მას ყველგან იყენებს. ის ხსნის სერვისს მსოფლიოს - მისთვის მოსახერხებელია კომპიუტერიდან დაკავშირება ამ თქვენი VPN-ების გარეშე. და მე ძალიან მეზარება iptables სინტაქსის დამახსოვრება; სერვერი მაინც დროებითია. განვითარების კიდევ რამდენიმე დღე - მშვენიერი გამოვიდა, ჩვენ შეგვიძლია ვაჩვენოთ მომხმარებელს. მომხმარებელს მოსწონს, დრო არ არის მისი ხელახლა გასაკეთებლად, ჩვენ მას გავუშვით PROD-ში!

მაგალითი განზრახ გაზვიადებულია, რათა გაიაროს მთელი საკომისიო:

1. არაფერია უფრო მუდმივი, ვიდრე დროებითი - მე არ მომწონს ეს ფრაზა, მაგრამ სუბიექტური გრძნობების მიხედვით, ასეთი დროებითი სერვერების 20-40% დიდხანს რჩება.
2. რთული უნივერსალური პაროლი, რომელიც გამოიყენება ბევრ სერვისში, ცუდია. იმის გამო, რომ ერთ-ერთი სერვისი, სადაც ეს პაროლი იყო გამოყენებული, შეიძლებოდა გატეხილი ყოფილიყო. ასეა თუ ისე, გატეხილი სერვისების მონაცემთა ბაზები იყრის თავს, რომელიც გამოიყენება [უხეში ძალისთვის]*.
   აღსანიშნავია, რომ ინსტალაციის შემდეგ, redis, mongodb და elastic ზოგადად ხელმისაწვდომია ავთენტიფიკაციის გარეშე და ხშირად ივსება ღია მონაცემთა ბაზების კოლექცია.
3. შეიძლება ჩანდეს, რომ არავინ დაასკანირებს თქვენს 3306 პორტს რამდენიმე დღეში. ეს ილუზიაა! Masscan არის შესანიშნავი სკანერი და შეუძლია სკანირება წამში 10M პორტით. და ინტერნეტში მხოლოდ 4 მილიარდი IPv4 არსებობს. შესაბამისად, ინტერნეტში არსებული ყველა 3306 პორტი განლაგებულია 7 წუთში. ჩარლზ!!! შვიდი წუთი!
   "ვის სჭირდება ეს?" - წინააღმდეგი ხარ. ასე რომ, გაკვირვებული ვარ, როცა დავარდნილი პაკეტების სტატისტიკას ვუყურებ. საიდან მოდის დღეში 40 ათასი სკანირების მცდელობა 3 ათასი უნიკალური IP-დან? ახლა ყველა სკანირებს, დედის ჰაკერებიდან მთავრობებამდე. ამის შემოწმება ძალიან მარტივია - აიღეთ ნებისმიერი VPS 3-5 დოლარად ნებისმიერი** დაბალბიუჯეტიანი ავიაკომპანიისგან, ჩართეთ ჩამოშვებული პაკეტების აღრიცხვა და გადახედეთ ჟურნალს დღეში.

ჩართვის ჩართვა

/etc/iptables/rules.v4-ში დაამატეთ ბოლოს:
-A INPUT -j LOG --log-prefix "[FW - ALL]" --log-level 4

და /etc/rsyslog.d/10-iptables.conf
:msg, შეიცავს,"[FW - "/var/log/iptables.log
& გაჩერდი

DDoS IP-ზე

თუ თავდამსხმელმა იცის თქვენი IP, მას შეუძლია თქვენი სერვერის გატაცება რამდენიმე საათის ან დღის განმავლობაში. ყველა დაბალფასიანი ჰოსტინგის პროვაიდერს არ აქვს DDoS დაცვა და თქვენი სერვერი უბრალოდ გათიშული იქნება ქსელიდან. თუ თქვენ დამალეთ თქვენი სერვერი CDN-ის მიღმა, არ დაგავიწყდეთ IP-ის შეცვლა, წინააღმდეგ შემთხვევაში ჰაკერი დააგუგლებს მას და DDoS თქვენს სერვერს CDN-ის გვერდის ავლით (ძალიან პოპულარული შეცდომა).

სერვისის სისუსტეები

ყველა პოპულარული პროგრამა ადრე თუ გვიან აღმოაჩენს შეცდომებს, თუნდაც ყველაზე გამოცდილი და კრიტიკული. IB სპეციალისტებს შორის არის ნახევრად ხუმრობა - ინფრასტრუქტურის უსაფრთხოება შეიძლება უსაფრთხოდ შეფასდეს ბოლო განახლების დროისთვის. თუ თქვენი ინფრასტრუქტურა მდიდარია მსოფლიოში შემორჩენილი პორტებით და თქვენ არ განაახლეთ იგი ერთი წლის განმავლობაში, მაშინ უსაფრთხოების ნებისმიერი სპეციალისტი გეტყვით, რომ არ შეხედავთ, რომ გაჟონილი ხართ და, სავარაუდოდ, უკვე გატეხილი ხართ.
ასევე აღსანიშნავია, რომ ყველა ცნობილი დაუცველობა ოდესღაც უცნობი იყო. წარმოიდგინეთ ჰაკერი, რომელმაც აღმოაჩინა ასეთი დაუცველობა და 7 წუთში დაათვალიერა მთელი ინტერნეტი მისი არსებობისთვის... აი, ახალი ვირუსის ეპიდემია) ჩვენ გვჭირდება განახლება, მაგრამ ამან შეიძლება ზიანი მიაყენოს პროდუქტს, თქვენ ამბობთ. და მართალი იქნებით, თუ პაკეტები არ არის დაინსტალირებული ოპერაციული სისტემის ოფიციალური საცავებიდან. გამოცდილებიდან გამომდინარე, ოფიციალური საცავიდან განახლებები იშვიათად არღვევს პროდუქტს.

უხეში ძალა

როგორც ზემოთ იყო აღწერილი, არსებობს მონაცემთა ბაზა ნახევარი მილიარდი პაროლით, რომლებიც მოსახერხებელია კლავიატურიდან აკრეფა. სხვა სიტყვებით რომ ვთქვათ, თუ თქვენ არ შექმენით პაროლი, მაგრამ აკრიფეთ მიმდებარე სიმბოლოები კლავიატურაზე, დარწმუნებული იყავით*, რომ ისინი დაგაბნევთ.

ბირთვის სტეკის დაუცველობა.

ასევე ხდება ****, რომ არც კი აქვს მნიშვნელობა, რომელი სერვისი ხსნის პორტს, როდესაც თავად ბირთვის ქსელის სტეკი დაუცველია. ანუ, აბსოლუტურად ნებისმიერი tcp/udp სოკეტი ორწლიანი სისტემაზე მგრძნობიარეა დაუცველობის მიმართ, რომელიც იწვევს DDoS-ს.

გაზრდილი DDoS შეტევები

ეს არ გამოიწვევს რაიმე პირდაპირ ზიანს, მაგრამ მას შეუძლია დაბლოკოს თქვენი არხი, გაზარდოს დატვირთვა სისტემაზე, თქვენი IP მოხვდება ზოგიერთ შავ სიაში ****** და თქვენ მიიღებთ შეურაცხყოფას ჰოსტერისგან.

ნამდვილად გჭირდებათ ყველა ეს რისკი? დაამატეთ თქვენი სახლის და სამუშაო IP თეთრ სიაში. მაშინაც კი, თუ ის დინამიურია, შედით ჰოსტერის ადმინისტრაციული პანელის მეშვეობით, ვებ კონსოლის მეშვეობით და უბრალოდ დაამატეთ სხვა.

15 წელია ვაშენებ და ვიცავ IT ინფრასტრუქტურას. მე შევიმუშავე წესი, რომელსაც მკაცრად გირჩევთ ყველას - არცერთი პორტი არ უნდა გამოჩნდეს მსოფლიოში თეთრი სიის გარეშე.

მაგალითად, ყველაზე უსაფრთხო ვებ სერვერი*** არის ის, რომელიც ხსნის 80 და 443 მხოლოდ CDN/WAF-სთვის. და სერვისის პორტები (ssh, netdata, bacula, phpmyadmin) უნდა იყოს მინიმუმ თეთრი სიის უკან და კიდევ უკეთესი VPN-ის უკან. წინააღმდეგ შემთხვევაში, თქვენ რისკავთ კომპრომისზე.

სულ ეს იყო რისი თქმაც მინდოდა. დახურეთ თქვენი პორტები!

• (1) Upd1: აქ შეგიძლიათ შეამოწმოთ თქვენი მაგარი უნივერსალური პაროლი (ნუ გააკეთებთ ამას ყველა სერვისში ამ პაროლის შემთხვევითი პაროლით შეცვლის გარეშე), გამოჩნდა თუ არა ის გაერთიანებულ მონაცემთა ბაზაში. Და აქ შეგიძლიათ ნახოთ რამდენი სერვისი გატეხეს, სად იყო თქვენი ელ.ფოსტა და, შესაბამისად, გაარკვიოთ, გატეხილია თუ არა თქვენი მაგარი უნივერსალური პაროლი.
• (2) Amazon-ის დამსახურებით, LightSail-ს აქვს მინიმალური სკანირება. აშკარად რაღაცნაირად ფილტრავენ.
• (3) კიდევ უფრო უსაფრთხო ვებ სერვერი არის ის, რომელიც მიღწეულია გამოყოფილი firewall-ის, საკუთარი WAF-ის უკან, მაგრამ ჩვენ ვსაუბრობთ საჯარო VPS/Dedicated-ზე.
• (4) Segmentsmak.
• (5) Firehol.

გამოკითხვაში მონაწილეობა შეუძლიათ მხოლოდ დარეგისტრირებულ მომხმარებლებს. Შებრძანდითგთხოვთ

თქვენი პორტები გამოკვეთილია?

• ყოველთვის

• ზოგჯერ

• არასოდეს

• არ ვიცი, ჯანდაბა

მისცა ხმა 54 მომხმარებელმა. 6 მომხმარებელმა თავი შეიკავა.

წყარო: www.habr.com