Não abra portas para o mundo — você será invadido (riscos)

Repetidamente, após realizar uma auditoria, ao sugerir ocultar portas atrás de uma lista branca, encontro uma barreira de incompreensão. Até mesmo administradores/DevOps muito experientes perguntam: "Por quê?!?"

Sugiro considerar os riscos em ordem decrescente de probabilidade e danos.

1. Erro de configuração
2. DDoS por IP
3. Força bruta
4. Vulnerabilidades de serviços
5. Vulnerabilidades da pilha do núcleo
6. Aumento de ataques DDoS

Erro de configuração

A situação mais típica e perigosa. Como acontece. O desenvolvedor precisa verificar rapidamente uma hipótese, ele levanta um servidor temporário com mysql/redis/mongodb/elastic. A senha, claro, é complexa, ele a usa em todos os lugares. Ele abre o serviço para o mundo — é conveniente conectar-se do seu PC sem essas VPNs. E dá preguiça lembrar a sintaxe do iptables, afinal, o servidor é temporário. Mais alguns dias de desenvolvimento — ficou excelente, podemos mostrar ao cliente. O cliente gosta, não há tempo para refazer, colocamos em PRODUÇÃO!

Exemplo de exagero intencional para abordar todas as dificuldades:

1. Não há nada mais permanente do que o temporário — não gosto dessa frase, mas de acordo com minhas percepções subjetivas, 20-40% desses servidores temporários permanecem por muito tempo.
2. Uma senha complexa e universal, que é usada em muitos serviços — é um problema. Porque um dos serviços onde a senha foi usada pode ter sido invadido. De qualquer forma, bancos de dados invadidos se acumulam em um único lugar, que é usado para [força bruta]*.
   Vale acrescentar que redis, mongodb e elastic após a instalação estão completamente acessíveis sem autenticação, e frequentemente aumentam a coleção de bases abertas.
3. Pode parecer que em alguns dias ninguém vai escanear sua porta 3306. Isso é um equívoco! Masscan — é um excelente scanner e pode escanear a uma velocidade de 10M portas por segundo. E na internet existem apenas 4 bilhões de IPv4. Portanto, todas as portas 3306 da internet estão escaneadas em 7 minutos. Karl!!! Sete minutos!
   "Quem se importa?" — você pode contrariar. E eu também me surpreendo ao olhar as estatísticas de pacotes descartados. De onde vêm 40 mil tentativas de escaneamento em um dia de 3 mil IPs únicos? Agora estão escaneando todos, desde hackers amadores até governos. É muito fácil verificar — pegue qualquer VPS por $3-5 de qualquer ** low-cost, ative o registro de pacotes descartados e dê uma olhada no log após um dia.

Ativação do registro

Em /etc/iptables/rules.v4 adicione ao final:
-A INPUT -j LOG —log-prefix "[FW — TODOS] " —log-level 4

E em /etc/rsyslog.d/10-iptables.conf
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS por IP

Se um atacante conhece seu IP, ele pode derrubar seu servidor por algumas horas ou até dias. Nem todos os provedores de hospedagem de baixo custo têm proteção contra DDoS, e seu servidor pode ser desconectado da rede. Se você escondeu o servidor atrás de um CDN, não se esqueça de mudar o IP, caso contrário, o hacker poderá encontrá-lo e realizar um ataque DDoS ao seu servidor, contornando o CDN (um erro muito comum).

Vulnerabilidades de serviços

Todo software popular, cedo ou tarde, apresenta erros, mesmo os mais testados e críticos. No meio dos especialistas em segurança, há uma piada de que a segurança da infraestrutura pode ser medida pelo tempo da última atualização. Se sua infraestrutura tem portas expostas e você não a atualizou há um ano, qualquer especialista em segurança lhe dirá, sem olhar, que você está vulnerável e, provavelmente, já foi hackeado.
Vale a pena mencionar que todas as vulnerabilidades conhecidas um dia foram desconhecidas. Imagine um hacker que encontrou uma vulnerabilidade e escaneou toda a internet em 7 minutos à procura dela... E assim surge uma nova epidemia viral. É necessário atualizar, mas isso pode prejudicar a produção, você dirá. E você estará correto, se os pacotes não forem instalados a partir dos repositórios oficiais do sistema operacional. Pela minha experiência, atualizações do repositório oficial raramente quebram a produção.

Força bruta

Como descrevi acima, há um banco de dados com quase meio bilhão de senhas que podem ser facilmente digitadas no teclado. Em outras palavras, se você não gerou uma senha, mas digitou símbolos próximos no teclado, pode ter certeza — você será quebrado.

Vulnerabilidades da pilha do núcleo.

Às vezes, não importa qual serviço específico está abrindo a porta, quando a pilha de rede do núcleo está vulnerável. Ou seja, qualquer soquete TCP/UDP em um sistema de dois anos atrás está suscetível a vulnerabilidades que podem levar a um DDoS.

Intensificação de ataques DDoS

Não causará danos diretos, mas pode sobrecarregar seu canal, aumentar a carga no sistema, seu IP pode ser colocado em alguma black-list, e você receberá notificações de abuso do provedor.

Você realmente precisa de todos esses riscos? Adicione seu IP doméstico e de trabalho à lista branca. Mesmo que seja dinâmico, faça login através do painel de administração do provedor, por meio da console web, e simplesmente adicione mais um.

Eu trabalho há 15 anos construindo e protegendo infraestruturas de TI. Desenvolvi uma regra que recomendo a todos — nenhuma porta deve estar exposta ao mundo sem uma lista branca..

Por exemplo, o servidor web mais seguro é aquele cujas portas 80 e 443 estão abertas apenas para CDN/WAF. E as portas de serviço (ssh, netdata, bacula, phpmyadmin) devem estar, no mínimo, atrás de uma lista branca, e melhor ainda, atrás de uma VPN. Caso contrário, você corre o risco de ser comprometido.

Estou por aqui. Mantenha suas portas fechadas!

• (1) UPD1: Aqui você pode verificar sua super senha universal (não faça isso sem substituir essa senha por aleatórias em todos os serviços), caso não tenha sido exposta em um banco de dados vazado. E aqui você pode ver quantos serviços foram hackeados, onde seu email apareceu e, assim, descobrir se sua super senha universal foi comprometida.
• (2) Para a honra da Amazon — no LightSail há um mínimo de varreduras. Parece que de alguma forma filtram.
• (3) Um servidor web ainda mais seguro é aquele que está atrás de um firewall dedicado, seu próprio WAF, mas estamos falando de VPS/Dedicados públicos.
• (4) Segmentsmak.
• (5) Firehol.

Apenas usuários registrados podem participar da pesquisa. Entre, por favor.

Suas portas estão expostas para o exterior?

• Sempre
• Às vezes
• Nunca
• Não sei, meio que

54 usuários votaram. 6 usuários se abstiveram.

Fonte: habr.com