जगासाठी बंदरे उघडू नका - तुम्ही तुटून जाल (जोखीम)

वेळोवेळी, ऑडिट केल्यानंतर, पांढर्‍या-यादीच्या मागे पोर्ट लपवण्याच्या माझ्या शिफारसींना प्रतिसाद म्हणून, मला गैरसमजाची भिंत निर्माण झाली आहे. अगदी मस्त प्रशासक/DevOps विचारतात: "का?!?"

मी घटना आणि नुकसान संभाव्यतेच्या उतरत्या क्रमाने जोखीम विचारात घेण्याचा प्रस्ताव देतो.

1. कॉन्फिगरेशन त्रुटी
2. IP वर DDoS
3. पाशवी शक्ती
4. सेवा असुरक्षा
5. कर्नल स्टॅक भेद्यता
6. वाढलेले DDoS हल्ले

कॉन्फिगरेशन त्रुटी

सर्वात सामान्य आणि धोकादायक परिस्थिती. ते कसे घडते. डेव्हलपरला गृहीतकांची त्वरीत चाचणी करणे आवश्यक आहे; तो mysql/redis/mongodb/elastic सह तात्पुरता सर्व्हर सेट करतो. पासवर्ड अर्थातच गुंतागुंतीचा आहे, तो तो सर्वत्र वापरतो. हे जगासाठी सेवा उघडते - आपल्या या VPN शिवाय त्याच्या PC वरून कनेक्ट करणे त्याच्यासाठी सोयीचे आहे. आणि मी iptables वाक्यरचना लक्षात ठेवण्यास खूप आळशी आहे; तरीही सर्व्हर तात्पुरता आहे. विकासाचे आणखी काही दिवस - ते छान झाले, आम्ही ते ग्राहकांना दाखवू शकतो. ग्राहकाला ते आवडते, ते पुन्हा करण्यासाठी वेळ नाही, आम्ही ते PROD मध्ये लॉन्च करतो!

सर्व दंताळे पार करण्यासाठी जाणूनबुजून अतिशयोक्ती केलेले उदाहरण:

1. तात्पुरत्यापेक्षा कायमस्वरूपी काहीही नाही - मला हा वाक्यांश आवडत नाही, परंतु व्यक्तिनिष्ठ भावनांनुसार, अशा तात्पुरत्या सर्व्हरपैकी 20-40% दीर्घकाळ टिकतात.
2. अनेक सेवांमध्ये वापरला जाणारा एक जटिल सार्वत्रिक पासवर्ड वाईट आहे. कारण जिथे हा पासवर्ड वापरला गेला होता त्यापैकी एक सेवा हॅक झाली असती. एक ना एक मार्ग, हॅक केलेल्या सेवांचा डेटाबेस एकामध्ये येतो, ज्याचा वापर [ब्रूट फोर्स]* साठी केला जातो.
   हे जोडण्यासारखे आहे की स्थापनेनंतर, रेडिस, मोंगोडब आणि लवचिक सामान्यत: प्रमाणीकरणाशिवाय उपलब्ध असतात आणि बर्याचदा पुन्हा भरले जातात. खुल्या डेटाबेसचे संकलन.
3. असे दिसते की काही दिवसात कोणीही तुमचे 3306 पोर्ट स्कॅन करणार नाही. तो एक भ्रम आहे! Masscan एक उत्कृष्ट स्कॅनर आहे आणि प्रति सेकंद 10M पोर्टवर स्कॅन करू शकतो. आणि इंटरनेटवर फक्त 4 अब्ज IPv4 आहेत. त्यानुसार, इंटरनेटवरील सर्व 3306 पोर्ट 7 मिनिटांत स्थित आहेत. चार्ल्स!!! सात मिनिटे!
   "कोणाला याची गरज आहे?" - तुमचा आक्षेप आहे. म्हणून जेव्हा मी सोडलेल्या पॅकेजेसची आकडेवारी पाहतो तेव्हा मला आश्चर्य वाटते. दररोज ३ हजार युनिक आयपीचे ४० हजार स्कॅन प्रयत्न कुठून येतात? आता आईच्या हॅकर्सपासून ते सरकारपर्यंत प्रत्येकजण स्कॅन करत आहे. हे तपासणे खूप सोपे आहे - कोणत्याही ** कमी किमतीच्या एअरलाइनकडून $40-3 मध्ये कोणतेही VPS घ्या, सोडलेल्या पॅकेजचे लॉगिंग सक्षम करा आणि एका दिवसात लॉग इन पहा.

लॉगिंग सक्षम करत आहे

/etc/iptables/rules.v4 मध्ये शेवटी जोडा:
-एक इनपुट -j LOG --log-उपसर्ग "[FW - ALL]" --log-स्तर ४

आणि /etc/rsyslog.d/10-iptables.conf मध्ये
:msg, समाविष्टीत आहे,"[FW - "/var/log/iptables.log
आणि थांबा

IP वर DDoS

आक्रमणकर्त्याला तुमचा IP माहीत असल्यास, तो तुमचा सर्व्हर कित्येक तास किंवा दिवस हायजॅक करू शकतो. सर्व कमी किमतीच्या होस्टिंग प्रदात्यांना DDoS संरक्षण नसते आणि तुमचा सर्व्हर नेटवर्कवरून डिस्कनेक्ट केला जाईल. तुम्ही तुमचा सर्व्हर सीडीएनच्या मागे लपवून ठेवला असल्यास, आयपी बदलायला विसरू नका, अन्यथा हॅकर ते गुगल करेल आणि तुमचा सर्व्हर सीडीएनला बायपास करून डीडीओएस करेल (एक अतिशय लोकप्रिय चूक).

सेवा असुरक्षा

सर्व लोकप्रिय सॉफ्टवेअरमध्ये लवकर किंवा नंतर त्रुटी आढळतात, अगदी सर्वात चाचणी केलेल्या आणि गंभीर देखील. आयबी तज्ञांमध्ये, अर्धा विनोद आहे - शेवटच्या अद्यतनाच्या वेळेनुसार पायाभूत सुविधांच्या सुरक्षिततेचे सुरक्षितपणे मूल्यांकन केले जाऊ शकते. जर तुमची पायाभूत सुविधा जगामध्ये चिकटलेल्या बंदरांनी समृद्ध असेल आणि तुम्ही ती एका वर्षासाठी अपडेट केली नसेल, तर कोणताही सुरक्षा तज्ञ तुम्हाला गळती असल्याचे न पाहता सांगेल आणि बहुधा आधीच हॅक केले गेले आहे.
हे देखील नमूद करण्यासारखे आहे की सर्व ज्ञात असुरक्षा एकेकाळी अज्ञात होत्या. एखाद्या हॅकरची कल्पना करा ज्याला अशी असुरक्षितता आढळली आणि त्याच्या उपस्थितीसाठी 7 मिनिटांत संपूर्ण इंटरनेट स्कॅन केले... येथे एक नवीन व्हायरस महामारी आहे) आम्हाला अद्यतनित करणे आवश्यक आहे, परंतु हे उत्पादनास हानी पोहोचवू शकते, तुम्ही म्हणता. आणि अधिकृत ओएस रेपॉजिटरीजमधून पॅकेजेस स्थापित न केल्यास आपण योग्य असाल. अनुभवावरून, अधिकृत भांडारातील अद्यतने क्वचितच उत्पादन खंडित करतात.

पाशवी शक्ती

वर वर्णन केल्याप्रमाणे, अर्धा अब्ज पासवर्डसह एक डेटाबेस आहे जो कीबोर्डवरून टाइप करण्यास सोयीस्कर आहे. दुसऱ्या शब्दांत, जर तुम्ही पासवर्ड व्युत्पन्न केला नसेल, परंतु कीबोर्डवर लगतची चिन्हे टाइप केली असतील, तर खात्री बाळगा* की ते तुम्हाला गोंधळात टाकतील.

कर्नल स्टॅक भेद्यता.

हे देखील **** घडते की कर्नल नेटवर्क स्टॅक स्वतःच असुरक्षित असताना कोणती सेवा पोर्ट उघडते हे महत्त्वाचे नसते. म्हणजेच, दोन वर्षे जुन्या सिस्टीमवरील कोणतेही tcp/udp सॉकेट DDoS कडे नेणाऱ्या असुरक्षिततेसाठी संवेदनाक्षम आहे.

वाढलेले DDoS हल्ले

यामुळे कोणतेही थेट नुकसान होणार नाही, परंतु ते तुमचे चॅनेल बंद करू शकते, सिस्टमवरील भार वाढवू शकते, तुमचा IP काही काळ्या-सूचीमध्ये जाईल ****, आणि तुम्हाला होस्टकडून गैरवर्तन मिळेल.

तुम्हाला या सर्व जोखमींची खरोखर गरज आहे का? व्हाइट-लिस्टमध्ये तुमचे घर आणि कामाचा IP जोडा. जरी ते डायनॅमिक असले तरीही, होस्टच्या प्रशासक पॅनेलद्वारे, वेब कन्सोलद्वारे लॉग इन करा आणि फक्त दुसरा जोडा.

मी 15 वर्षांपासून आयटी इन्फ्रास्ट्रक्चर तयार आणि संरक्षित करत आहे. मी एक नियम विकसित केला आहे ज्याची मी जोरदार शिफारस करतो - पांढर्‍या यादीशिवाय कोणतेही बंदर जगामध्ये येऊ नये.

उदाहरणार्थ, सर्वात सुरक्षित वेब सर्व्हर*** हा आहे जो 80 आणि 443 फक्त CDN/WAF साठी उघडतो. आणि सर्व्हिस पोर्ट (ssh, नेटडेटा, बाकुला, phpmyadmin) किमान व्हाईट-लिस्टच्या मागे आणि VPN च्या मागे असले पाहिजेत. अन्यथा, तुमच्याशी तडजोड होण्याचा धोका आहे.

मला एवढेच सांगायचे होते. बंदर बंद ठेवा!

• (1) यूपीडी 1: तो आहे तुम्ही तुमचा कूल युनिव्हर्सल पासवर्ड तपासू शकता (हा पासवर्ड सर्व सेवांमध्ये यादृच्छिक पासवर्डने बदलल्याशिवाय करू नका), ते विलीन केलेल्या डेटाबेसमध्ये दिसले की नाही. आणि इथे किती सेवा हॅक झाल्या, तुमचा ईमेल कोठे समाविष्ट केला गेला हे तुम्ही पाहू शकता आणि त्यानुसार, तुमच्या कूल युनिव्हर्सल पासवर्डशी तडजोड झाली आहे का ते शोधू शकता.
• (2) Amazon च्या श्रेयानुसार, LightSail कडे कमीतकमी स्कॅन आहेत. वरवर पाहता ते ते कसे तरी फिल्टर करतात.
• (३) अधिक सुरक्षित वेब सर्व्हर हा समर्पित फायरवॉलच्या मागे असतो, त्याचे स्वतःचे WAF, परंतु आम्ही सार्वजनिक VPS/ समर्पित बद्दल बोलत आहोत.
• (4) सेगमेंटमॅक.
• (5) फायरहॉल.

केवळ नोंदणीकृत वापरकर्तेच सर्वेक्षणात भाग घेऊ शकतात. साइन इन करा, आपले स्वागत आहे.

तुमची बंदरे चिकटलेली आहेत का?

• नेहमीच असते

• कधीकधी

• कधीही नाही

• मला माहित नाही, संभोग

54 वापरकर्त्यांनी मतदान केले. 6 वापरकर्ते दूर राहिले.

स्त्रोत: www.habr.com