चुहावटबाट बच्न कसरी Elasticsearch कन्फिगर गर्ने

गत वर्षमा, डाटाबेसबाट धेरै चुहावट भएको छ Elasticsearch (हेर, हेर и हेर)। धेरै अवस्थामा, व्यक्तिगत डाटा डाटाबेसमा भण्डारण गरिएको थियो। यदि डाटाबेस डिप्लोइ गरिसकेपछि प्रशासकहरूले केही साधारण सेटिङहरू जाँच गर्न जिज्ञासा राखेका भए यी चुहावटहरूबाट बच्न सकिन्थ्यो। आज हामी तिनीहरूको बारेमा कुरा गर्नेछौं।

तुरुन्तै रिजर्भेसन गरौं कि हाम्रो अभ्यासमा हामी लगहरू भण्डारण गर्न र हाम्रो IaaS प्लेटफर्ममा सूचना सुरक्षा उपकरणहरू, OS र सफ्टवेयरको लगहरू विश्लेषण गर्न Elasticsearch प्रयोग गर्छौं, जसले 152-FZ, Cloud-152 को आवश्यकताहरू पूरा गर्दछ। 

हामी डाटाबेस इन्टरनेटमा "स्टिक आउट" छ कि छैन जाँच गर्छौं

चुहावट को धेरै ज्ञात अवस्थामा (हेर, हेर) आक्रमणकारीले डाटामा सरल र अप्रत्याशित रूपमा पहुँच प्राप्त गर्यो: डाटाबेस इन्टरनेटमा प्रकाशित भएको थियो, र यो प्रमाणीकरण बिना जडान गर्न सम्भव थियो।  

पहिले, इन्टरनेटमा प्रकाशनसँग सम्झौता गरौं। यो किन हुन्छ? तथ्य यो हो कि Elasticsearch को अधिक लचिलो सञ्चालनको लागि सिफारिश गरिएको तीन सर्भरहरूको क्लस्टर सिर्जना गर्नुहोस्। डाटाबेसहरू एकअर्कासँग सञ्चार गर्नको लागि, तपाईंले पोर्टहरू खोल्न आवश्यक छ। नतिजाको रूपमा, प्रशासकहरूले डाटाबेसमा पहुँचलाई कुनै पनि तरिकाले प्रतिबन्धित गर्दैनन्, र तपाइँ जहाँबाट पनि डाटाबेसमा जडान गर्न सक्नुहुन्छ। डाटाबेस बाहिरबाट पहुँचयोग्य छ कि छैन भनेर जाँच गर्न सजिलो छ। केवल ब्राउजरमा प्रविष्ट गर्नुहोस् http://[IP/Имя Elasticsearch]:9200/_cat/nodes?v

यदि तपाईं भित्र जान सक्नुहुन्छ भने, त्यसपछि यसलाई बन्द गर्न दौडनुहोस्।

डाटाबेसमा जडान सुरक्षित गर्दै

अब हामी यसलाई प्रमाणीकरण बिना डाटाबेसमा जडान गर्न असम्भव छ भनेर बनाउनेछौं।

Elasticsearch सँग डाटाबेसमा पहुँच सीमित गर्ने प्रमाणीकरण मोड्युल छ, तर यो सशुल्क X-Pack प्लगइन सेटमा मात्र उपलब्ध छ (१ महिना नि:शुल्क प्रयोग)।

शुभ समाचार यो हो कि 2019 को पतनमा, Amazon ले यसको विकासहरू खोल्यो, जुन X-Pack सँग ओभरल्याप हुन्छ। डाटाबेसमा जडान गर्दा प्रमाणीकरण प्रकार्य संस्करण Elasticsearch 7.3.2 को लागि नि: शुल्क इजाजतपत्र अन्तर्गत उपलब्ध भएको छ, र Elasticsearch 7.4.0 को लागि नयाँ रिलीज पहिले नै काममा छ।

यो प्लगइन स्थापना गर्न सजिलो छ। सर्भर कन्सोलमा जानुहोस् र भण्डार जडान गर्नुहोस्:

RPM आधारित:

curl https://d3g5vo6xdbdb9a.cloudfront.net/yum/opendistroforelasticsearch-artifacts.repo -o /etc/yum.repos.d/opendistroforelasticsearch-artifacts.repo

yum update

yum install opendistro-security

DEB आधारित:

wget -qO ‐ https://d3g5vo6xdbdb9a.cloudfront.net/GPG-KEY-opendistroforelasticsearch | sudo apt-key add -

SSL मार्फत सर्भरहरू बीच अन्तरक्रिया सेट अप गर्दै

प्लगइन स्थापना गर्दा, डाटाबेसमा जडान हुने पोर्टको कन्फिगरेसन परिवर्तन हुन्छ। यसले SSL एन्क्रिप्शन सक्षम गर्दछ। क्लस्टर सर्भरहरू एकअर्कासँग काम गर्न जारी राख्नको लागि, तपाईंले SSL प्रयोग गरेर तिनीहरू बीच अन्तरक्रिया कन्फिगर गर्न आवश्यक छ।

होस्टहरू बीचको विश्वास यसको आफ्नै प्रमाणपत्र प्राधिकरणको साथ वा बिना स्थापित गर्न सकिन्छ। पहिलो विधिको साथ, सबै कुरा स्पष्ट छ: तपाईंले केवल CA विशेषज्ञहरूलाई सम्पर्क गर्न आवश्यक छ। सीधा दोस्रोमा जाऔं।

1. पूर्ण डोमेन नामको साथ एक चर सिर्जना गर्नुहोस्:

   export DOMAIN_CN="example.com"

2. एउटा निजी कुञ्जी सिर्जना गर्नुहोस्:

   openssl genrsa -out root-ca-key.pem 4096

3. मूल प्रमाणपत्रमा हस्ताक्षर गर्नुहोस्। यसलाई सुरक्षित राख्नुहोस्: यदि यो हराएको छ वा सम्झौता गरिएको छ भने, सबै होस्टहरू बीचको विश्वास पुन: कन्फिगर गर्न आवश्यक हुनेछ।

   openssl req -new -x509 -sha256 -subj "/C=RU/ST=Moscow/O=Moscow, Inc./CN=${DOMAIN_CN}" 
   -key root-ca-key.pem -out root-ca.pem

4. प्रशासक कुञ्जी सिर्जना गर्नुहोस्:

   openssl genrsa -out admin-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out admin-key.pem

5. प्रमाणपत्रमा हस्ताक्षर गर्न अनुरोध सिर्जना गर्नुहोस्:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${DOMAIN_CN}/CN=admin " 
   -key admin-key.pem -out admin.csr

6. प्रशासक प्रमाणपत्र सिर्जना गर्नुहोस्:

   openssl x509 -req -extensions usr_cert -in admin.csr -CA root-ca.pem 
   -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem

7. Elasticsearch नोडका लागि प्रमाणपत्रहरू सिर्जना गर्नुहोस्:

   export NODENAME="node-01"
   openssl genrsa -out ${NODENAME}-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in ${NODENAME}-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out ${NODENAME}-key.pem

8. हस्ताक्षर अनुरोध सिर्जना गर्नुहोस्:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${NODENAME}.${DOMAIN_CN}"  
   -addext"subjectAltName=DNS:${NODENAME}.${DOMAIN_CN},DNS:www.${NODENAME}.${DOMAIN_CN}" 
   -key ${NODENAME}-key.pem -out ${NODENAME}.csr

9. प्रमाणपत्रमा हस्ताक्षर गर्दै:

   openssl x509 -req -in node.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial 
   -sha256 -out node.pem

10. निम्न फोल्डरमा Elasticsearch नोडहरू बीच प्रमाणपत्र राख्नुहोस्:

    /etc/elasticsearch/

    
    हामीलाई फाइलहरू चाहिन्छ:

            node-01-key.pem
    	node-01.pem
    	admin-key.pem
    	admin.pem
    	root-ca.pem

11. कन्फिगर गर्दै /etc/elasticsearch/elasticsearch.yml - हामी द्वारा उत्पन्न भएका प्रमाणपत्रहरूको साथ फाइलहरूको नाम परिवर्तन गर्नुहोस्:

    opendistro_security.ssl.transport.pemcert_filepath: node-01.pem                                                                                                                                                                                    
    	opendistro_security.ssl.transport.pemkey_filepath: node-01-key.pem                                                                                                                                                                                 
    	opendistro_security.ssl.transport.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                              
    	opendistro_security.ssl.transport.enforce_hostname_verification: false                                                                                                                                                                             
    	opendistro_security.ssl.http.enabled: true                                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemcert_filepath: node-01.pem                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemkey_filepath: node-01-key.pem                                                                                                                                                                                      
    	opendistro_security.ssl.http.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                                   
    	opendistro_security.allow_unsafe_democertificates: false                                                                                                                                                                                           
    	opendistro_security.allow_default_init_securityindex: true                                                                                                                                                                                         
    	opendistro_security.authcz.admin_dn:                                                                                                                                                                                                               
    	  − CN=admin,CN=example.com,O=Moscow Inc.,ST=Moscow,C=RU                                                                                                                                                                                                  
    	opendistro_security.nodes_dn:                                                                                                                                                                                                                      
    	  − CN=node-01.example.com,O=Moscow Inc.,ST=Moscow,C=RU

आन्तरिक प्रयोगकर्ताहरूको लागि पासवर्ड परिवर्तन गर्दै

1. तलको आदेश प्रयोग गरेर, हामी कन्सोलमा पासवर्ड ह्यास आउटपुट गर्छौं:

   sh ${OD_SEC}/tools/hash.sh -p [пароль]

2. प्राप्त भएको फाइलमा ह्यास परिवर्तन गर्नुहोस्:

   /usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml

OS मा फायरवाल सेटअप गर्दै

1. फायरवाल सुरु गर्न अनुमति दिनुहोस्:

   systemctl enable firewalld

2. यसलाई सुरु गरौं:

   systemctl start firewalld

3. इलास्टिकसर्चमा जडानलाई अनुमति दिनुहोस्:

   firewall-cmd --set-default-zone work
   firewall-cmd --zone=work --add-port=9200/TCP --permanent

4. फायरवाल नियमहरू पुन: लोड गर्नुहोस्:

   firewall-cmd --reload

5. यहाँ काम गर्ने नियमहरू छन्:

   firewall-cmd --list-all

Elasticsearch मा हाम्रा सबै परिवर्तनहरू लागू गर्दै

1. प्लगइनको साथ फोल्डरमा पूर्ण मार्गको साथ एक चर सिर्जना गर्नुहोस्:

   export  OD_SEC="/usr/share/elasticsearch/plugins/opendistro_security/"

2. पासवर्डहरू अद्यावधिक गर्ने र सेटिङहरू जाँच गर्ने स्क्रिप्ट चलाउनुहोस्:

   ${OD_SEC}/tools/securityadmin.sh -cd ${OD_SEC}/securityconfig/ 
   -icl -nhnv -cacert /etc/elasticsearch/root-ca.pem 
   -cert /etc/elasticsearch/admin.pem  
   -key /etc/elasticsearch/admin-key.pem

3. परिवर्तनहरू लागू गरिएको छ कि छैन जाँच गर्नुहोस्:

   curl -XGET https://[IP/Имя Elasticsearch]:9200/_cat/nodes?v -u admin:[пароль] --insecure

यति मात्रै हो, यी न्यूनतम सेटिङ्हरू हुन् जसले Elasticsearch लाई अनधिकृत जडानहरूबाट जोगाउँछ।

स्रोत: www.habr.com