संसारका लागि बन्दरगाहहरू नखोल्नुहोस् - तपाईं भाँचिनुहुनेछ (जोखिमहरू)

बारम्बार, लेखापरीक्षण सञ्चालन गरेपछि, सेतो-सूची पछाडि पोर्टहरू लुकाउन मेरो सिफारिसहरूको जवाफमा, म गलतफहमीको पर्खालमा भेटिन्छु। धेरै राम्रो प्रशासक / DevOps सोध्छन्: "किन?!?"

म घटना र क्षतिको सम्भावनाको घट्दो क्रममा जोखिमहरू विचार गर्न प्रस्ताव गर्दछु।

1. कन्फिगरेसन त्रुटि
2. IP मा DDoS
3. क्रूर बल
4. सेवा कमजोरीहरू
5. कर्नेल स्ट्याक कमजोरीहरू
6. बढेको DDoS आक्रमणहरू

कन्फिगरेसन त्रुटि

सबैभन्दा सामान्य र खतरनाक अवस्था। यो कसरी हुन्छ। विकासकर्ताले छिट्टै परिकल्पना परीक्षण गर्न आवश्यक छ; उसले mysql/redis/mongodb/elastic को साथ एक अस्थायी सर्भर सेट अप गर्दछ। पासवर्ड, निस्सन्देह, जटिल छ, उसले यसलाई जताततै प्रयोग गर्दछ। यसले संसारको लागि सेवा खोल्छ - यो तपाइँको यी VPN बिना आफ्नो PC बाट जडान गर्न को लागी सुविधाजनक छ। र म iptables सिन्ट्याक्स सम्झन धेरै अल्छी छु; सर्भर जे भए पनि अस्थायी छ। विकास को एक दुई थप दिन - यो राम्रो भयो, हामी यसलाई ग्राहकलाई देखाउन सक्छौं। ग्राहकले यसलाई मन पराउँछन्, यसलाई पुन: गर्नको लागि कुनै समय छैन, हामी यसलाई PROD मा सुरू गर्छौं!

सबै रेक मार्फत जानको लागि जानाजानी बढाइचढाइ गरिएको उदाहरण:

1. त्यहाँ अस्थायी भन्दा बढी स्थायी केहि छैन - मलाई यो वाक्यांश मन पर्दैन, तर व्यक्तिपरक भावना अनुसार, त्यस्ता अस्थायी सर्भरहरूको 20-40% लामो समयको लागि रहन्छ।
2. धेरै सेवाहरूमा प्रयोग हुने जटिल विश्वव्यापी पासवर्ड खराब हो। किनभने यो पासवर्ड प्रयोग गरिएको सेवाहरू मध्ये एक ह्याक हुन सक्छ। एक वा अर्को तरिका, ह्याक गरिएका सेवाहरूको डाटाबेसहरू एकमा जम्मा हुन्छन्, जुन [ब्रूट फोर्स]* को लागि प्रयोग गरिन्छ।
   यो थप्न लायक छ कि स्थापना पछि, redis, mongodb र इलास्टिक सामान्यतया प्रमाणीकरण बिना उपलब्ध छन्, र प्राय: पुन: भरिन्छ। खुला डाटाबेस को संग्रह.
3. यस्तो लाग्न सक्छ कि केहि दिनमा कसैले तपाईको 3306 पोर्ट स्क्यान गर्दैन। यो एक भ्रम हो! Masscan एक उत्कृष्ट स्क्यानर हो र प्रति सेकेन्ड 10M पोर्टहरूमा स्क्यान गर्न सक्छ। र इन्टरनेटमा 4 बिलियन IPv4 मात्र छन्। तदनुसार, इन्टरनेटमा सबै 3306 पोर्टहरू 7 मिनेटमा अवस्थित छन्। चार्ल्स !!! सात मिनेट!
   "यो कसलाई चाहिन्छ?" - तपाईं विरोध गर्नुहुन्छ। त्यसैले म छक्क पर्छु जब म ड्रप प्याकेजहरूको तथ्याङ्क हेर्छु। 40 हजार अद्वितीय आईपीहरूबाट प्रति दिन 3 हजार स्क्यान प्रयासहरू कहाँबाट आउँछन्? अब सबैजना स्क्यान गर्दै छन्, आमाको ह्याकरहरूदेखि सरकारसम्म। यो जाँच गर्न धेरै सजिलो छ - कुनै पनि ** कम लागतको एयरलाइनबाट $3-5 मा कुनै पनि VPS लिनुहोस्, छोडिएका प्याकेजहरूको लगिङ सक्षम गर्नुहोस् र एक दिनमा लग इन हेर्नुहोस्।

लगिङ सक्षम गर्दै

/etc/iptables/rules.v4 मा अन्त्यमा थप्नुहोस्:
-A INPUT -j LOG --log-prefix "[FW - ALL]" --log-level 4

र /etc/rsyslog.d/10-iptables.conf मा
:msg, समावेश गर्दछ,"[FW - "/var/log/iptables.log
& रोक

IP मा DDoS

यदि एक आक्रमणकारीले तपाइँको आईपी थाहा छ भने, उसले तपाइँको सर्भर धेरै घण्टा वा दिन सम्म अपहरण गर्न सक्छ। सबै कम लागत होस्टिङ प्रदायकहरूसँग DDoS सुरक्षा छैन र तपाईंको सर्भर नेटवर्कबाट मात्र विच्छेद हुनेछ। यदि तपाईंले आफ्नो सर्भर CDN पछाडि लुकाउनुभयो भने, IP परिवर्तन गर्न नबिर्सनुहोस्, अन्यथा ह्याकरले यसलाई गुगल गर्नेछ र CDN (एक धेरै लोकप्रिय गल्ती) लाई बाइपास गरेर तपाईंको सर्भर DDoS गर्नेछ।

सेवा कमजोरीहरू

सबै लोकप्रिय सफ्टवेयरले ढिलो वा चाँडो त्रुटिहरू फेला पार्छ, सबैभन्दा परीक्षण गरिएका र महत्वपूर्णहरू पनि। आईबी विशेषज्ञहरू बीच, त्यहाँ एक आधा मजाक छ - पूर्वाधारको सुरक्षा अन्तिम अद्यावधिकको समय द्वारा सुरक्षित रूपमा मूल्याङ्कन गर्न सकिन्छ। यदि तपाईंको पूर्वाधार संसारमा टाँसिएका पोर्टहरूमा धनी छ, र तपाईंले यसलाई एक वर्षसम्म अद्यावधिक गर्नुभएको छैन भने, कुनै पनि सुरक्षा विशेषज्ञले तपाईंलाई चुहावट भएको नहेरी नै बताउनेछन्, र सम्भवतः पहिले नै ह्याक भइसकेको छ।
यो पनि उल्लेखनीय छ कि सबै ज्ञात कमजोरीहरू एक पटक अज्ञात थिए। एक ह्याकरको कल्पना गर्नुहोस् जसले यस्तो कमजोरी फेला पार्यो र यसको उपस्थितिको लागि 7 मिनेटमा सम्पूर्ण इन्टरनेट स्क्यान गर्यो... यहाँ एउटा नयाँ भाइरसको महामारी छ) हामीले अपडेट गर्न आवश्यक छ, तर यसले उत्पादनलाई हानि पुर्‍याउँछ, तपाईं भन्नुहुन्छ। र तपाईं सही हुनुहुनेछ यदि प्याकेजहरू आधिकारिक OS भण्डारहरूबाट स्थापना गरिएको छैन। अनुभवबाट, आधिकारिक भण्डारबाट अद्यावधिकहरूले उत्पादनलाई विरलै तोड्छ।

क्रूर बल

माथि वर्णन गरिए अनुसार, किबोर्डबाट टाइप गर्न सुविधाजनक आधा अरब पासवर्डहरू भएको डाटाबेस छ। अर्को शब्दमा, यदि तपाईंले पासवर्ड उत्पन्न गर्नुभएन, तर किबोर्डमा छेउछाउका प्रतीकहरू टाइप गर्नुभयो भने, ढुक्क हुनुहोस्* तिनीहरूले तपाईंलाई भ्रमित गर्नेछन्।

कर्नेल स्ट्याक कमजोरीहरू।

यो पनि **** हुन्छ कि कुन सेवाले पोर्ट खोल्छ भन्ने कुराले पनि फरक पार्दैन, जब कर्नेल नेटवर्क स्ट्याक आफै कमजोर हुन्छ। अर्थात्, दुई वर्ष पुरानो प्रणालीमा कुनै पनि tcp/udp सकेट DDoS तर्फ जाने जोखिमको लागि अतिसंवेदनशील हुन्छ।

बढेको DDoS आक्रमणहरू

यसले कुनै पनि प्रत्यक्ष क्षतिको कारण बनाउँदैन, तर यसले तपाइँको च्यानललाई बन्द गर्न सक्छ, प्रणालीमा लोड बढाउन सक्छ, तपाइँको आईपी केहि कालो सूचीमा समाप्त हुनेछ ****, र तपाइँ होस्टरबाट दुर्व्यवहार प्राप्त गर्नुहुनेछ।

के तपाईलाई साँच्चै यी सबै जोखिमहरू चाहिन्छ? सेतो-सूचीमा आफ्नो घर र कार्य IP थप्नुहोस्। यदि यो गतिशील छ भने, होस्टरको व्यवस्थापक प्यानल मार्फत लग इन गर्नुहोस्, वेब कन्सोल मार्फत, र केवल अर्को थप्नुहोस्।

म 15 वर्षको लागि IT पूर्वाधार निर्माण र सुरक्षा गर्दैछु। मैले एक नियम विकसित गरेको छु जुन म दृढताका साथ सबैलाई सिफारिस गर्दछु - कुनै पनि पोर्ट सेतो सूची बिना संसारमा टाँस्नु हुँदैन.

उदाहरणका लागि, सबैभन्दा सुरक्षित वेब सर्भर *** त्यो हो जसले CDN/WAF को लागि मात्र 80 र 443 खोल्छ। र सेवा पोर्टहरू (ssh, netdata, bacula, phpmyadmin) कम्तिमा सेतो सूचीको पछाडि हुनुपर्छ, र VPN पछाडि अझ राम्रो हुनुपर्छ। अन्यथा, तपाईं सम्झौता हुन जोखिम।

मैले भन्न खोजेको यति हो। आफ्नो पोर्ट बन्द राख्नुहोस्!

• (1) UPD1: यो छ तपाईं आफ्नो कूल विश्वव्यापी पासवर्ड जाँच गर्न सक्नुहुन्छ (यो पासवर्डलाई सबै सेवाहरूमा अनियमित रूपमा प्रतिस्थापन नगरी नगर्नुहोस्), चाहे यो मर्ज गरिएको डाटाबेसमा देखा पर्यो। र यहाँ तपाईले देख्न सक्नुहुन्छ कति सेवाहरू ह्याक गरियो, जहाँ तपाईको इमेल समावेश गरिएको थियो, र तदनुसार, तपाईको कूल युनिभर्सल पासवर्ड सम्झौता भएको छ कि छैन भनेर पत्ता लगाउनुहोस्।
• (२) अमेजनको क्रेडिटमा, लाइटसेलसँग न्यूनतम स्क्यानहरू छन्। स्पष्ट रूपमा तिनीहरूले यसलाई कुनै न कुनै रूपमा फिल्टर गर्छन्।
• (3) अझ बढी सुरक्षित वेब सर्भर एक समर्पित फायरवालको पछाडि एक हो, यसको आफ्नै WAF, तर हामी सार्वजनिक VPS/ समर्पित बारे कुरा गर्दैछौं।
• (4) खण्डहरू।
• (5) फायरहोल।

दर्ता भएका प्रयोगकर्ताहरूले मात्र सर्वेक्षणमा भाग लिन सक्छन्। साइन इन गर्नुहोस्कृपया

के तपाईंको पोर्टहरू टाँसिन्छन्?

• सँधै

• कहिलेकाँही

• कहिल्यै होइन

• मलाई थाहा छैन, बकवास

54 प्रयोगकर्ताहरूले मतदान गरे। 6 प्रयोगकर्ताहरू रोकिए।

स्रोत: www.habr.com