ຢ່າເປີດທ່າເຮືອສູ່ໂລກ - ເຈົ້າຈະແຕກ (ຄວາມສ່ຽງ)

ເທື່ອແລະເວລາອີກເທື່ອຫນຶ່ງ, ຫຼັງຈາກດໍາເນີນການກວດສອບ, ເພື່ອຕອບສະຫນອງຄໍາແນະນໍາຂອງຂ້ອຍເພື່ອຊ່ອນທ່າເຮືອທີ່ຢູ່ເບື້ອງຫລັງບັນຊີຂາວ, ຂ້ອຍໄດ້ພົບກັບກໍາແພງຂອງຄວາມເຂົ້າໃຈຜິດ. ເຖິງແມ່ນວ່າຜູ້ເບິ່ງແຍງ / DevOps ເຢັນຫຼາຍຖາມວ່າ: "ເປັນຫຍັງ?!?"

ຂ້າພະເຈົ້າສະເຫນີໃຫ້ພິຈາລະນາຄວາມສ່ຽງໃນລໍາດັບຫຼຸດລົງຂອງຄວາມເປັນໄປໄດ້ຂອງການເກີດຂື້ນແລະຄວາມເສຍຫາຍ.

1. ການຕັ້ງຄ່າຜິດພາດ
2. DDoS ຜ່ານ IP
3. ແຮງ​ສັດ
4. ຄວາມອ່ອນແອຂອງການບໍລິການ
5. ຊ່ອງໂຫວ່ຂອງ Kernel stack
6. ການໂຈມຕີ DDoS ເພີ່ມຂຶ້ນ

ການຕັ້ງຄ່າຜິດພາດ

ສະຖານະການປົກກະຕິແລະອັນຕະລາຍທີ່ສຸດ. ມັນເກີດຂຶ້ນແນວໃດ. ນັກພັດທະນາຈໍາເປັນຕ້ອງໄດ້ທົດສອບສົມມຸດຕິຖານຢ່າງໄວວາ; ລາວຕັ້ງເຄື່ອງແມ່ຂ່າຍຊົ່ວຄາວດ້ວຍ mysql/redis/mongodb/elastic. ລະຫັດຜ່ານ, ແນ່ນອນ, ແມ່ນສັບສົນ, ລາວໃຊ້ມັນຢູ່ທົ່ວທຸກແຫ່ງ. ມັນ​ເປີດ​ການ​ບໍ​ລິ​ການ​ໄປ​ທົ່ວ​ໂລກ - ມັນ​ເປັນ​ການ​ສະ​ດວກ​ສໍາ​ລັບ​ເຂົາ​ທີ່​ຈະ​ເຊື່ອມ​ຕໍ່​ຈາກ PC ຂອງ​ເຂົາ​ໂດຍ​ບໍ່​ມີ VPNs ເຫຼົ່າ​ນີ້​ຂອງ​ທ່ານ​. ແລະຂ້ອຍຂີ້ຄ້ານເກີນໄປທີ່ຈະຈື່ syntax iptables; ເຄື່ອງແມ່ຂ່າຍແມ່ນຊົ່ວຄາວ. ສອງສາມມື້ຂອງການພັດທະນາ - ມັນໄດ້ຫັນອອກທີ່ຍິ່ງໃຫຍ່, ພວກເຮົາສາມາດສະແດງໃຫ້ລູກຄ້າໄດ້. ລູກຄ້າມັກມັນ, ບໍ່ມີເວລາທີ່ຈະເຮັດມັນ, ພວກເຮົາເປີດຕົວມັນເຂົ້າໄປໃນ PROD!

ຕົວຢ່າງທີ່ເກີນຄວາມຕັ້ງໃຈເພື່ອຈະໄປຜ່ານ rake ທັງໝົດ:

1. ບໍ່ມີຫຍັງຖາວອນຫຼາຍກ່ວາຊົ່ວຄາວ - ຂ້ອຍບໍ່ມັກປະໂຫຍກນີ້, ແຕ່ຕາມຄວາມຮູ້ສຶກຂອງຫົວຂໍ້, 20-40% ຂອງເຄື່ອງແມ່ຂ່າຍຊົ່ວຄາວດັ່ງກ່າວຍັງຄົງເປັນເວລາດົນນານ.
2. ລະຫັດຜ່ານທົ່ວໄປທີ່ສັບສົນທີ່ຖືກນໍາໃຊ້ໃນການບໍລິການຈໍານວນຫຼາຍແມ່ນຊົ່ວ. ເນື່ອງຈາກວ່າຫນຶ່ງໃນການບໍລິການທີ່ລະຫັດຜ່ານນີ້ຖືກນໍາໃຊ້ອາດຈະຖືກ hacked. ບໍ່​ເປັນ​ທາງ​ໃດ​ຫນຶ່ງ, ຖານ​ຂໍ້​ມູນ​ຂອງ​ການ​ບໍ​ລິ​ການ hacked flock ເຂົ້າ​ໄປ​ໃນ​ຫນຶ່ງ, ທີ່​ຖືກ​ນໍາ​ໃຊ້​ສໍາ​ລັບ [brute force]*.
   ມັນເປັນມູນຄ່າເພີ່ມວ່າຫຼັງຈາກການຕິດຕັ້ງ, redis, mongodb ແລະ elastic ແມ່ນມີຢູ່ທົ່ວໄປໂດຍບໍ່ມີການກວດສອບຄວາມຖືກຕ້ອງ, ແລະມັກຈະຖືກຕື່ມ. ການເກັບກໍາຖານຂໍ້ມູນເປີດ.
3. ມັນອາດຈະເບິ່ງຄືວ່າບໍ່ມີໃຜຈະສະແກນພອດ 3306 ຂອງທ່ານໃນສອງສາມມື້. ມັນເປັນຄວາມຫຼົງໄຫຼ! Masscan ເປັນເຄື່ອງສະແກນທີ່ດີເລີດແລະສາມາດສະແກນຢູ່ທີ່ 10M ports ຕໍ່ວິນາທີ. ແລະມີພຽງແຕ່ 4 ຕື້ IPv4 ໃນອິນເຕີເນັດ. ຕາມ​ນັ້ນ​ແລ້ວ, ທ່າ​ເຮືອ 3306 ​ໃນ​ອິນ​ເຕີ​ເນັດ​ທັງ​ໝົດ​ແມ່ນ​ຢູ່​ໃນ 7 ນາ​ທີ. Charles!!! ເຈັດນາທີ!
   "ໃຜຕ້ອງການນີ້?" - ເຈົ້າຄັດຄ້ານ. ສະນັ້ນຂ້ອຍແປກໃຈເມື່ອຂ້ອຍເບິ່ງສະຖິຕິຂອງຊຸດທີ່ຫຼຸດລົງ. ຄວາມພະຍາຍາມສະແກນ 40 ພັນຄັ້ງຈາກ 3 ພັນ IP ທີ່ເປັນເອກະລັກມາຈາກໃສຕໍ່ມື້? ໃນປັດຈຸບັນທຸກຄົນກໍາລັງສະແກນ, ຈາກແຮກເກີຂອງແມ່ໄປຫາລັດຖະບານ. ມັນງ່າຍຫຼາຍທີ່ຈະກວດສອບ - ເອົາ VPS ໃນລາຄາ 3-5 ໂດລາຈາກສາຍການບິນໃດນຶ່ງ** ລາຄາຕໍ່າ, ເປີດໃຊ້ການບັນທຶກແພັກເກັດທີ່ຫຼຸດລົງ ແລະເບິ່ງບັນທຶກໃນມື້ໜຶ່ງ.

ເປີດໃຊ້ການບັນທຶກ

ໃນ /etc/iptables/rules.v4 ຕື່ມໃສ່ທີ່ສຸດ:
-A INPUT -j LOG --log-prefix "[FW - ALL]" --log-level 4

ແລະໃນ /etc/rsyslog.d/10-iptables.conf
:msg,contains,"[FW -" /var/log/iptables.log
& ຢຸດ

DDoS ຜ່ານ IP

ຖ້າຜູ້ໂຈມຕີຮູ້ IP ຂອງເຈົ້າ, ລາວສາມາດລັກລອບເຊີບເວີຂອງເຈົ້າເປັນເວລາຫຼາຍຊົ່ວໂມງຫຼືຫຼາຍມື້. ບໍ່ແມ່ນຜູ້ໃຫ້ບໍລິການໂຮດຕິ້ງລາຄາຖືກທັງໝົດມີການປົກປ້ອງ DDoS ແລະເຊີບເວີຂອງເຈົ້າຈະຖືກຕັດການເຊື່ອມຕໍ່ຈາກເຄືອຂ່າຍ. ຖ້າທ່ານເຊື່ອງເຄື່ອງແມ່ຂ່າຍຂອງທ່ານຢູ່ຫລັງ CDN, ຢ່າລືມປ່ຽນ IP, ຖ້າບໍ່ດັ່ງນັ້ນແຮກເກີຈະ google ມັນແລະ DDoS ເຄື່ອງແມ່ຂ່າຍຂອງທ່ານຂ້າມ CDN (ຄວາມຜິດພາດທີ່ນິຍົມຫຼາຍ).

ຄວາມອ່ອນແອຂອງການບໍລິການ

ຊອບແວຍອດນິຍົມທັງໝົດໄວ ຫຼື ຕໍ່ມາພົບຂໍ້ຜິດພາດ, ແມ່ນແຕ່ການທົດສອບ ແລະ ສໍາຄັນທີ່ສຸດ. ໃນບັນດາຜູ້ຊ່ຽວຊານດ້ານ IB, ມີເລື່ອງຕະຫລົກເຄິ່ງຫນຶ່ງ - ຄວາມປອດໄພຂອງໂຄງສ້າງພື້ນຖານສາມາດໄດ້ຮັບການປະເມີນຢ່າງປອດໄພໃນເວລາຂອງການປັບປຸງຫຼ້າສຸດ. ຖ້າໂຄງສ້າງພື້ນຖານຂອງທ່ານອຸດົມສົມບູນໄປດ້ວຍທ່າເຮືອທີ່ຕິດຢູ່ໃນໂລກ, ແລະທ່ານບໍ່ໄດ້ປັບປຸງມັນເປັນເວລາຫນຶ່ງປີ, ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຈະບອກທ່ານໂດຍບໍ່ໄດ້ເບິ່ງວ່າທ່ານຮົ່ວໄຫຼ, ແລະສ່ວນຫຼາຍອາດຈະຖືກແຮັກແລ້ວ.
ມັນຍັງເປັນມູນຄ່າການກ່າວເຖິງວ່າຈຸດອ່ອນທີ່ຮູ້ຈັກທັງຫມົດແມ່ນບໍ່ເຄີຍຮູ້ຈັກ. ຈິນຕະນາການເຖິງແຮກເກີທີ່ພົບເຫັນຊ່ອງໂຫວ່ດັ່ງກ່າວແລະສະແກນອິນເຕີເນັດທັງຫມົດພາຍໃນ 7 ນາທີສໍາລັບການປະກົດຕົວຂອງມັນ ... ນີ້ແມ່ນການລະບາດຂອງເຊື້ອໄວຣັສໃຫມ່) ພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ປັບປຸງ, ແຕ່ນີ້ສາມາດເປັນອັນຕະລາຍຕໍ່ຜະລິດຕະພັນ, ທ່ານເວົ້າວ່າ. ແລະທ່ານຈະຖືກຕ້ອງຖ້າແພັກເກັດບໍ່ໄດ້ຖືກຕິດຕັ້ງຈາກບ່ອນເກັບມ້ຽນ OS ຢ່າງເປັນທາງການ. ຈາກປະສົບການ, ການປັບປຸງຈາກ repository ຢ່າງເປັນທາງການບໍ່ຄ່ອຍຈະທໍາລາຍຜະລິດຕະພັນ.

ແຮງ​ສັດ

ດັ່ງທີ່ໄດ້ອະທິບາຍໄວ້ຂ້າງເທິງ, ມີຖານຂໍ້ມູນທີ່ມີເຄິ່ງຫນຶ່ງພັນລ້ານລະຫັດຜ່ານທີ່ສະດວກໃນການພິມຈາກແປ້ນພິມ. ໃນຄໍາສັບຕ່າງໆອື່ນໆ, ຖ້າທ່ານບໍ່ໄດ້ສ້າງລະຫັດຜ່ານ, ແຕ່ພິມສັນຍາລັກທີ່ຢູ່ຕິດກັນໃນແປ້ນພິມ, ຫມັ້ນໃຈໄດ້ * ວ່າພວກເຂົາຈະສັບສົນທ່ານ.

ຊ່ອງໂຫວ່ຂອງ Kernel stack.

ມັນຍັງເກີດຂື້ນ **** ທີ່ມັນບໍ່ສໍາຄັນວ່າບໍລິການໃດຈະເປີດພອດ, ເມື່ອເຄືອຂ່າຍ kernel stack ຕົວຂອງມັນເອງມີຄວາມສ່ຽງ. ນັ້ນແມ່ນ, ຢ່າງແທ້ຈິງທຸກ tcp / udp socket ໃນລະບົບອາຍຸສອງປີແມ່ນມີຄວາມອ່ອນໄຫວຕໍ່ກັບຄວາມອ່ອນແອທີ່ນໍາໄປສູ່ DDoS.

ການໂຈມຕີ DDoS ເພີ່ມຂຶ້ນ

ມັນຈະບໍ່ເຮັດໃຫ້ເກີດຄວາມເສຍຫາຍໂດຍກົງ, ແຕ່ມັນສາມາດຂັດຂວາງຊ່ອງຂອງທ່ານ, ເພີ່ມການໂຫຼດໃນລະບົບ, IP ຂອງທ່ານຈະສິ້ນສຸດຢູ່ໃນບັນຊີດໍາ*****, ແລະທ່ານຈະໄດ້ຮັບການລະເມີດຈາກ hoster.

ທ່ານຕ້ອງການຄວາມສ່ຽງທັງຫມົດເຫຼົ່ານີ້ແທ້ໆບໍ? ເພີ່ມ IP ເຮືອນ ແລະບ່ອນເຮັດວຽກຂອງທ່ານໃສ່ບັນຊີຂາວ. ເຖິງແມ່ນວ່າມັນເປັນແບບເຄື່ອນໄຫວ, ເຂົ້າສູ່ລະບົບຜ່ານກະດານ admin ຂອງເຈົ້າພາບ, ຜ່ານ web console, ແລະພຽງແຕ່ເພີ່ມອັນອື່ນ.

ຂ້ອຍໄດ້ສ້າງ ແລະປົກປ້ອງພື້ນຖານໂຄງລ່າງດ້ານໄອທີມາເປັນເວລາ 15 ປີແລ້ວ. ຂ້ອຍໄດ້ພັດທະນາກົດລະບຽບທີ່ຂ້ອຍແນະນໍາໃຫ້ທຸກຄົນ - ບໍ່ມີທ່າເຮືອໃດຄວນຕິດອອກໄປໃນໂລກໂດຍບໍ່ມີບັນຊີຂາວ.

ຕົວຢ່າງ, ເຄື່ອງແມ່ຂ່າຍເວັບທີ່ປອດໄພທີ່ສຸດ *** ແມ່ນອັນທີ່ເປີດ 80 ແລະ 443 ສໍາລັບ CDN/WAF ເທົ່ານັ້ນ. ແລະພອດບໍລິການ (ssh, netdata, bacula, phpmyadmin) ຢ່າງຫນ້ອຍຄວນຈະຢູ່ຫລັງບັນຊີຂາວ, ແລະດີກວ່າຢູ່ຫລັງ VPN. ຖ້າບໍ່ດັ່ງນັ້ນ, ທ່ານມີຄວາມສ່ຽງຕໍ່ການຖືກທໍາລາຍ.

ນັ້ນແມ່ນສິ່ງທີ່ຂ້ອຍຢາກເວົ້າ. ປິດທ່າເຮືອຂອງເຈົ້າໄວ້!

• (1​) UPD1: ມັນເປັນ ທ່ານ​ສາ​ມາດ​ກວດ​ສອບ​ລະ​ຫັດ​ຜ່ານ​ທົ່ວ​ໄປ​ທີ່​ເຢັນ​ຂອງ​ທ່ານ (ຢ່າເຮັດສິ່ງນີ້ໂດຍບໍ່ປ່ຽນລະຫັດຜ່ານນີ້ດ້ວຍລະຫັດສຸ່ມໃນທຸກການບໍລິການ), ບໍ່ວ່າຈະປາກົດຢູ່ໃນຖານຂໍ້ມູນລວມ. ແລະທີ່ນີ້ ທ່ານສາມາດເບິ່ງວ່າມີບໍລິການຈໍານວນເທົ່າໃດຖືກແຮັກ, ບ່ອນທີ່ອີເມລ໌ຂອງທ່ານຖືກລວມເຂົ້າ, ແລະ, ຕາມນັ້ນ, ຊອກຫາວ່າລະຫັດຜ່ານສາກົນທີ່ເຢັນຂອງທ່ານໄດ້ຖືກທໍາລາຍຫຼືບໍ່.
• (2) ເພື່ອສິນເຊື່ອຂອງ Amazon, LightSail ມີການສະແກນຫນ້ອຍທີ່ສຸດ. ປາກົດຂື້ນວ່າພວກເຂົາເຈົ້າການກັ່ນຕອງມັນ somehow.
• (3) ເຊີບເວີເວັບທີ່ປອດໄພກວ່າແມ່ນອັນໜຶ່ງທີ່ຢູ່ເບື້ອງຫຼັງ firewall ທີ່ອຸທິດຕົນ, WAF ຂອງມັນເອງ, ແຕ່ພວກເຮົາເວົ້າກ່ຽວກັບ VPS/Dedicated ສາທາລະນະ.
• (4) Segmentsmak.
• (5) Firehol.

ພຽງແຕ່ຜູ້ໃຊ້ລົງທະບຽນສາມາດເຂົ້າຮ່ວມໃນການສໍາຫຼວດ. ເຂົ້າ​ສູ່​ລະ​ບົບກະລຸນາ.

ທ່າເຮືອຂອງເຈົ້າຕິດຢູ່ບໍ?

• ແມ່ນສະເຫມີໄປ

• ບາງຄັ້ງ

• ບໍ່ເຄີຍ

• ຂ້ອຍບໍ່ຮູ້, fuck

ຜູ້ໃຊ້ 54 ຄົນລົງຄະແນນສຽງ. 6 ຜູ້ໃຊ້ງົດ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com