세계로 포트를 열지 마십시오 - 당신은 망가질 것입니다(위험)

화이트리스트 뒤에 포트를 숨기라는 나의 권고에 대해 감사를 실시한 후 몇 번이고 오해의 벽에 부딪혔습니다. 아주 멋진 관리자/DevOps조차도 "왜?!?"라고 묻습니다.

나는 발생 가능성과 피해의 가능성이 높은 순서대로 위험을 고려할 것을 제안합니다.

1. 구성 오류
2. IP를 통한 DDoS
3. 무차별 대입
4. 서비스 취약점
5. 커널 스택 취약점
6. DDoS 공격 증가

구성 오류

가장 일반적이고 위험한 상황입니다. 어떻게 일어나는지. 개발자는 가설을 신속하게 테스트해야 하며 mysql/redis/mongodb/elastic을 사용하여 임시 서버를 설정합니다. 물론 비밀번호는 복잡해서 어디에서나 사용합니다. 이는 전 세계에 서비스를 제공합니다. VPN 없이 PC에서 연결하는 것이 편리합니다. 그리고 너무 게으른 나머지 iptables 구문을 기억하지 못합니다. 어쨌든 서버는 일시적입니다. 며칠 더 개발을 해보니 결과가 훌륭해 고객에게 보여줄 수 있게 되었습니다. 고객이 좋아하므로 다시 실행할 시간이 없습니다. PROD로 출시합니다!

모든 갈퀴를 통과하기 위해 의도적으로 과장된 예:

1. 임시보다 영구적인 것은 없습니다. 이 문구는 마음에 들지 않지만 주관적인 느낌에 따르면 임시 서버의 20~40%가 오랫동안 남아 있습니다.
2. 많은 서비스에서 사용되는 복잡한 범용 비밀번호는 사악합니다. 이 비밀번호가 사용된 서비스 중 하나가 해킹당했을 가능성이 있기 때문입니다. 어떤 식으로든 해킹된 서비스의 데이터베이스가 하나로 모여 [무차별 대입]*에 사용됩니다.
   설치 후 redis, mongodb 및 elastic은 일반적으로 인증 없이 사용할 수 있으며 종종 보충된다는 점을 덧붙일 가치가 있습니다. 공개 데이터베이스 모음.
3. 며칠 내에 아무도 귀하의 3306 포트를 스캔하지 않을 것 같습니다. 그것은 망상이다! Masscan은 뛰어난 스캐너이며 초당 10M 포트로 스캔할 수 있습니다. 그리고 인터넷에는 IPv4가 4억 개밖에 없습니다. 따라서 인터넷에 있는 3306개의 포트를 모두 7분 안에 찾아냅니다. 찰스!!! XNUMX분!
   “누가 이게 필요한데?” - 당신은 반대합니다. 그래서 드롭된 패키지의 통계를 보면 깜짝 놀라게 됩니다. 하루에 40개의 고유 IP에서 3번의 스캔 시도가 어디서 발생합니까? 이제 엄마의 해커부터 정부까지 모두가 스캔하고 있습니다. 확인하는 것은 매우 쉽습니다. ** 저가 항공사에서 $3-5의 VPS를 받고, 떨어진 패키지에 대한 기록을 활성화하고 하루에 로그를 확인하세요.

로깅 활성화

/etc/iptables/rules.v4에서 끝에 다음을 추가합니다.
-A INPUT -j LOG --log-prefix "[FW - ALL] " --log-level 4

그리고 /etc/rsyslog.d/10-iptables.conf에서
:msg,contains,"[FW - "/var/log/iptables.log
& 멈추다

IP를 통한 DDoS

공격자가 귀하의 IP를 알고 있다면 몇 시간 또는 며칠 동안 귀하의 서버를 하이재킹할 수 있습니다. 모든 저가형 호스팅 제공업체가 DDoS 보호 기능을 갖춘 것은 아니며 서버가 네트워크에서 연결이 끊어집니다. 서버를 CDN 뒤에 숨긴 경우 IP를 변경하는 것을 잊지 마세요. 그렇지 않으면 해커가 해당 서버를 검색하여 CDN을 우회하여 서버에 DDoS 공격을 가할 것입니다(매우 흔한 실수).

서비스 취약점

널리 사용되는 모든 소프트웨어는 조만간 오류를 발견합니다. 심지어 가장 많이 테스트되고 중요한 소프트웨어라도 오류가 발견됩니다. IB 전문가들 사이에는 반 농담이 있습니다. 인프라 보안은 마지막 업데이트 시점까지 안전하게 평가할 수 있습니다. 귀하의 인프라가 세계로 튀어나온 포트가 풍부하고 XNUMX년 동안 업데이트하지 않은 경우 보안 전문가는 귀하가 누출되고 이미 해킹당했을 가능성이 높다는 사실을 보지 않고도 알려줄 것입니다.
알려진 모든 취약점이 한때 알려지지 않았다는 점도 언급할 가치가 있습니다. 이러한 취약점을 발견하고 7분 만에 전체 인터넷을 검색하여 존재 여부를 확인하는 해커를 상상해 보십시오... 여기에 새로운 바이러스 전염병이 있습니다) 업데이트가 필요하지만 이로 인해 제품에 해를 끼칠 수 있다고 말합니다. 공식 OS 리포지토리에서 패키지가 설치되지 않은 경우에는 맞습니다. 경험상 공식 저장소의 업데이트로 인해 제품이 중단되는 경우는 거의 없습니다.

무차별 대입

위에서 설명한 것처럼 키보드로 편리하게 입력할 수 있는 XNUMX억 개의 비밀번호가 포함된 데이터베이스가 있습니다. 즉, 비밀번호를 생성하지 않고 키보드에서 인접한 기호를 입력한 경우에는 도난당할 수 있으니 안심하세요*.

커널 스택 취약점.

커널 네트워크 스택 자체가 취약할 때 어떤 서비스가 포트를 여는지는 중요하지 않은 경우도 있습니다. 즉, XNUMX년 된 시스템의 모든 tcp/udp 소켓은 DDoS로 이어지는 취약성에 취약합니다.

DDoS 공격 증가

직접적인 피해를 입히지는 않지만 채널을 막고 시스템 부하를 증가시키며 IP가 블랙리스트*****에 올라가고 호스팅 업체로부터 악용을 당할 수 있습니다.

이 모든 위험이 정말로 필요합니까? 집과 직장 IP를 화이트리스트에 추가하세요. 동적이더라도 호스팅 업체의 관리 패널, 웹 콘솔을 통해 로그인하고 다른 것을 추가하면 됩니다.

저는 15년 동안 IT 인프라를 구축하고 보호해 왔습니다. 나는 모든 사람에게 강력히 추천하는 규칙을 개발했습니다. 화이트리스트 없이는 어떤 포트도 세상에 튀어나와서는 안 됩니다..

예를 들어 가장 안전한 웹 서버***는 CDN/WAF에 대해서만 80과 443을 여는 서버입니다. 그리고 서비스 포트(ssh, netdata, bacula, phpmyadmin)는 최소한 화이트리스트 뒤에 있어야 하며, VPN 뒤에는 훨씬 더 뒤에 있어야 합니다. 그렇지 않으면 손상될 위험이 있습니다.

그것이 내가 말하고 싶은 전부입니다. 포트를 닫아두세요!

• (1) Upd1: 여기에 멋진 범용 비밀번호를 확인할 수 있습니다(모든 서비스에서 이 비밀번호를 임의의 비밀번호로 바꾸지 않고는 이 작업을 수행하지 마십시오.), 병합된 데이터베이스에 표시되는지 여부. 그리고 여기 해킹당한 서비스 수, 이메일이 포함된 위치를 확인할 수 있으며 이에 따라 멋진 범용 비밀번호가 손상되었는지 확인할 수 있습니다.
• (2) Amazon의 신용으로 LightSail은 최소한의 스캔을 수행합니다. 분명히 그들은 그것을 어떻게든 필터링합니다.
• (3) 훨씬 더 안전한 웹 서버는 전용 방화벽 뒤에 있는 자체 WAF이지만 여기서는 공개 VPS/전용에 대해 이야기하고 있습니다.
• (4) 세그먼트막.
• (5) 파이어홀.

등록된 사용자만 설문 조사에 참여할 수 있습니다. 로그인제발

포트가 튀어나와 있나요?

• 항상

• 때때로

• 어머 놀랐다

• 모르겠어, 젠장

54명의 사용자가 투표했습니다. 6명의 사용자가 기권했습니다.

출처 : habr.com