लीक टाळण्यासाठी Elasticsearch कसे कॉन्फिगर करावे

गेल्या वर्षभरात डेटाबेसमधून अनेक लीक झाल्या आहेत Elasticsearch (पाहा, पाहा, पाहा, पाहा и पाहा, पाहा). बर्याच प्रकरणांमध्ये, वैयक्तिक डेटा डेटाबेसमध्ये संग्रहित केला जातो. डेटाबेस तैनात केल्यानंतर, प्रशासकांनी काही सोप्या सेटिंग्ज तपासण्याची तसदी घेतली असती तर ही गळती टाळता आली असती. आज आपण त्यांच्याबद्दल बोलू.

चला ताबडतोब आरक्षण करूया की आमच्या सराव मध्ये आम्ही लॉग संग्रहित करण्यासाठी आणि आमच्या IaaS प्लॅटफॉर्मवर माहिती सुरक्षा साधने, OS आणि सॉफ्टवेअरच्या लॉगचे विश्लेषण करण्यासाठी Elasticsearch वापरतो, जे 152-FZ, Cloud-152 च्या आवश्यकतांचे पालन करते. 

डाटाबेस इंटरनेटवर "चिकटतो" किंवा नाही हे आम्ही तपासतो

गळतीच्या बहुतेक ज्ञात प्रकरणांमध्ये (पाहा, पाहा, पाहा, पाहा) हल्लेखोराने डेटामध्ये सहज आणि नम्रपणे प्रवेश मिळवला: डेटाबेस इंटरनेटवर प्रकाशित झाला होता आणि प्रमाणीकरणाशिवाय त्याच्याशी कनेक्ट करणे शक्य होते.  

प्रथम, इंटरनेटवर प्रकाशन हाताळूया. असे का घडते? वस्तुस्थिती अशी आहे की Elasticsearch च्या अधिक लवचिक ऑपरेशनसाठी शिफारस केली तीन सर्व्हरचा क्लस्टर तयार करा. डेटाबेस एकमेकांशी संवाद साधण्यासाठी, आपल्याला पोर्ट उघडण्याची आवश्यकता आहे. परिणामी, प्रशासक कोणत्याही प्रकारे डेटाबेसमध्ये प्रवेश प्रतिबंधित करत नाहीत आणि आपण कोठूनही डेटाबेसशी कनेक्ट होऊ शकता. डेटाबेस बाहेरून प्रवेश करण्यायोग्य आहे की नाही हे तपासणे सोपे आहे. फक्त ब्राउझरमध्ये प्रवेश करा http://[IP/Имя Elasticsearch]:9200/_cat/nodes?v

जर तुम्ही आत जाऊ शकत असाल तर ते बंद करण्यासाठी धावा.

डेटाबेसशी कनेक्शनचे संरक्षण करणे

आता आम्ही ते बनवू जेणेकरून प्रमाणीकरणाशिवाय डेटाबेसशी कनेक्ट करणे अशक्य आहे.

Elasticsearch मध्ये एक प्रमाणीकरण मॉड्यूल आहे जे डेटाबेसमध्ये प्रवेश मर्यादित करते, परंतु ते केवळ सशुल्क X-Pack प्लगइन सेटमध्ये उपलब्ध आहे (1 महिना विनामूल्य वापर).

चांगली बातमी अशी आहे की 2019 च्या शरद ऋतूत, ऍमेझॉनने त्याचे विकास उघडले, जे एक्स-पॅकसह ओव्हरलॅप होते. डेटाबेसशी कनेक्ट करताना प्रमाणीकरण फंक्शन Elasticsearch 7.3.2 आवृत्तीसाठी विनामूल्य परवान्याअंतर्गत उपलब्ध झाले आहे आणि Elasticsearch 7.4.0 साठी नवीन प्रकाशन आधीच कामात आहे.

हे प्लगइन स्थापित करणे सोपे आहे. सर्व्हर कन्सोलवर जा आणि रेपॉजिटरी कनेक्ट करा:

RPM आधारित:

curl https://d3g5vo6xdbdb9a.cloudfront.net/yum/opendistroforelasticsearch-artifacts.repo -o /etc/yum.repos.d/opendistroforelasticsearch-artifacts.repo

yum update

yum install opendistro-security

DEB आधारित:

wget -qO ‐ https://d3g5vo6xdbdb9a.cloudfront.net/GPG-KEY-opendistroforelasticsearch | sudo apt-key add -

SSL द्वारे सर्व्हर दरम्यान परस्परसंवाद सेट करणे

प्लगइन स्थापित करताना, डेटाबेसला जोडणाऱ्या पोर्टचे कॉन्फिगरेशन बदलते. हे SSL एनक्रिप्शन सक्षम करते. क्लस्टर सर्व्हर एकमेकांसोबत कार्य करत राहण्यासाठी, तुम्हाला SSL वापरून त्यांच्यामधील परस्परसंवाद कॉन्फिगर करणे आवश्यक आहे.

यजमानांमधील विश्वास त्याच्या स्वतःच्या प्रमाणपत्र अधिकारासह किंवा त्याशिवाय स्थापित केला जाऊ शकतो. पहिल्या पद्धतीसह, सर्वकाही स्पष्ट आहे: आपल्याला फक्त CA तज्ञांशी संपर्क साधण्याची आवश्यकता आहे. चला सरळ दुसऱ्याकडे जाऊया.

1. पूर्ण डोमेन नावासह व्हेरिएबल तयार करा:

   export DOMAIN_CN="example.com"

2. खाजगी की तयार करा:

   openssl genrsa -out root-ca-key.pem 4096

3. मूळ प्रमाणपत्रावर स्वाक्षरी करा. ते सुरक्षित ठेवा: ते हरवल्यास किंवा तडजोड केल्यास, सर्व होस्टमधील विश्वास पुन्हा कॉन्फिगर करणे आवश्यक आहे.

   openssl req -new -x509 -sha256 -subj "/C=RU/ST=Moscow/O=Moscow, Inc./CN=${DOMAIN_CN}" 
   -key root-ca-key.pem -out root-ca.pem

4. प्रशासक की तयार करा:

   openssl genrsa -out admin-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out admin-key.pem

5. प्रमाणपत्रावर स्वाक्षरी करण्यासाठी विनंती तयार करा:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${DOMAIN_CN}/CN=admin " 
   -key admin-key.pem -out admin.csr

6. प्रशासक प्रमाणपत्र तयार करा:

   openssl x509 -req -extensions usr_cert -in admin.csr -CA root-ca.pem 
   -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem

7. Elasticsearch नोडसाठी प्रमाणपत्रे तयार करा:

   export NODENAME="node-01"
   openssl genrsa -out ${NODENAME}-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in ${NODENAME}-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out ${NODENAME}-key.pem

8. स्वाक्षरी विनंती तयार करा:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${NODENAME}.${DOMAIN_CN}"  
   -addext"subjectAltName=DNS:${NODENAME}.${DOMAIN_CN},DNS:www.${NODENAME}.${DOMAIN_CN}" 
   -key ${NODENAME}-key.pem -out ${NODENAME}.csr

9. प्रमाणपत्रावर स्वाक्षरी करणे:

   openssl x509 -req -in node.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial 
   -sha256 -out node.pem

10. खालील फोल्डरमध्ये Elasticsearch नोड्स दरम्यान प्रमाणपत्र ठेवा:

    /etc/elasticsearch/

    
    आम्हाला फाइल्सची आवश्यकता आहे:

            node-01-key.pem
    	node-01.pem
    	admin-key.pem
    	admin.pem
    	root-ca.pem

11. सानुकूलित करा /etc/elasticsearch/elasticsearch.yml - आमच्याद्वारे व्युत्पन्न केलेल्या प्रमाणपत्रांसह फायलींचे नाव बदला:

    opendistro_security.ssl.transport.pemcert_filepath: node-01.pem                                                                                                                                                                                    
    	opendistro_security.ssl.transport.pemkey_filepath: node-01-key.pem                                                                                                                                                                                 
    	opendistro_security.ssl.transport.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                              
    	opendistro_security.ssl.transport.enforce_hostname_verification: false                                                                                                                                                                             
    	opendistro_security.ssl.http.enabled: true                                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemcert_filepath: node-01.pem                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemkey_filepath: node-01-key.pem                                                                                                                                                                                      
    	opendistro_security.ssl.http.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                                   
    	opendistro_security.allow_unsafe_democertificates: false                                                                                                                                                                                           
    	opendistro_security.allow_default_init_securityindex: true                                                                                                                                                                                         
    	opendistro_security.authcz.admin_dn:                                                                                                                                                                                                               
    	  − CN=admin,CN=example.com,O=Moscow Inc.,ST=Moscow,C=RU                                                                                                                                                                                                  
    	opendistro_security.nodes_dn:                                                                                                                                                                                                                      
    	  − CN=node-01.example.com,O=Moscow Inc.,ST=Moscow,C=RU

अंतर्गत वापरकर्त्यांसाठी पासवर्ड बदलणे

1. खालील आदेश वापरून, आम्ही कन्सोलमध्ये पासवर्ड हॅश आउटपुट करतो:

   sh ${OD_SEC}/tools/hash.sh -p [пароль]

2. फाइलमधील हॅशला प्राप्त झालेल्यामध्ये बदला:

   /usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml

OS मध्ये फायरवॉल सेट करत आहे

1. फायरवॉल सुरू करण्यास अनुमती द्या:

   systemctl enable firewalld

2. चला ते लाँच करूया:

   systemctl start firewalld

3. Elasticsearch ला कनेक्शनला अनुमती द्या:

   firewall-cmd --set-default-zone work
   firewall-cmd --zone=work --add-port=9200/TCP --permanent

4. फायरवॉल नियम रीलोड करा:

   firewall-cmd --reload

5. येथे कार्यरत नियम आहेत:

   firewall-cmd --list-all

आमचे सर्व बदल Elasticsearch वर लागू करत आहे

1. प्लगइनसह फोल्डरच्या पूर्ण मार्गासह एक व्हेरिएबल तयार करा:

   export  OD_SEC="/usr/share/elasticsearch/plugins/opendistro_security/"

2. चला एक स्क्रिप्ट चालवू जे पासवर्ड अपडेट करेल आणि सेटिंग्ज तपासेल:

   ${OD_SEC}/tools/securityadmin.sh -cd ${OD_SEC}/securityconfig/ 
   -icl -nhnv -cacert /etc/elasticsearch/root-ca.pem 
   -cert /etc/elasticsearch/admin.pem  
   -key /etc/elasticsearch/admin-key.pem

3. बदल लागू केले आहेत का ते तपासा:

   curl -XGET https://[IP/Имя Elasticsearch]:9200/_cat/nodes?v -u admin:[пароль] --insecure

इतकेच, या किमान सेटिंग्ज आहेत ज्या अनधिकृत कनेक्शनपासून Elasticsearch चे संरक्षण करतात.

स्त्रोत: www.habr.com