Hur man konfigurerar Elasticsearch för att undvika läckor

Under det senaste året har det uppstått många läckor från databaser. Elasticsearch (här, här och här). I många fall lagrades personuppgifter i databasen. Dessa läckor kunde ha undvikits om administratörerna efter distributionen av databasen hade kontrollerat några enkla inställningar. Idag kommer vi att diskutera dem.

För att vara tydlig, i vår praktik använder vi Elasticsearch för lagring av loggar och analys av informationsskydd, operativsystem och programvara på vår IaaS-plattform som uppfyller kraven i 152-FZ, Cloud-152. 

Vi kontrollerar om databasen 'tycker' ut på internet.

I de flesta kända fallen av läckor (här, här) fick angriparen enkelt och okomplicerat tillgång till data: databasen publicerades på internet och kunde anslutas utan autentisering.  

Låt oss först ta itu med publicering på internet. Varför händer det? Det handlar om att för att få en mer flexibel användning av Elasticsearch rekommenderas skapar man en kluster med tre servrar. För att databaserna ska kunna kommunicera behöver man öppna portar. Till slut begränsar administratörerna inte åtkomsten till databasen, och databasen kan anslutas från var som helst. Att kontrollera om det finns extern åtkomst till databasen är enkelt. Skriv helt enkelt in http://[IP/ElasticsearchNamn]:9200/_cat/nodes?v

Om du kan komma in, betyder det att du snabbt ska stänga av åtkomsten.

Vi skyddar anslutningen till databasen.

Nu gör vi så att databasen inte kan anslutas utan autentisering.

Elasticsearch har en autentiseringsmodul som begränsar åtkomsten till databasen, men den ingår bara i den betalda plugin-samlingen X-Pack (1 månads gratis användning).

De goda nyheterna är att Amazon under hösten 2019 öppnade sina arbeten som överlappar med X-Pack. Autentiseringsfunktionen vid anslutning till databasen blev tillgänglig under en öppen licens för version Elasticsearch 7.3.2., och redan i arbete finns en ny version för Elasticsearch 7.4.0.

Denna plugin installeras enkelt. Gå in i serverkonsolen och anslut till repot:

RPM-baserad:

curl https://d3g5vo6xdbdb9a.cloudfront.net/yum/opendistroforelasticsearch-artifacts.repo -o /etc/yum.repos.d/opendistroforelasticsearch-artifacts.repo

yum update

yum install opendistro-security

DEB-baserad:

wget -qO ‐ https://d3g5vo6xdbdb9a.cloudfront.net/GPG-KEY-opendistroforelasticsearch | sudo apt-key add -

Konfigurerar interaktionen mellan servrarna via SSL

Vid installation av pluginen ändras konfigurationen för anslutningsporten till databasen. SSL-kryptering aktiveras på den. För att klusterservrarna ska kunna fortsätta samarbeta måste interaktionen mellan dem konfigureras med hjälp av SSL.

Förtroendet mellan värdar kan etableras med hjälp av en egen certifikatutfärdare eller utan. Med den första metoden är allt tydligt: man måste bara vända sig till CA-specialister. Låt oss gå direkt till den andra.

1. Vi skapar en variabel med det fullständiga domännamnet:

   export DOMAIN_CN="example.com"

2. Vi skapar en privat nyckel:

   openssl genrsa -out root-ca-key.pem 4096

3. Vi signerar rotcertifikatet. Förvara det som en ögonsten: om det går förlorat eller komprometteras, måste förtroendet mellan alla värdar konfigureras om.

   openssl req -new -x509 -sha256 -subj "\/C=RU\/ST=Moscow\/O=Moscow, Inc.\/CN=${DOMAIN_CN}" 
   -key root-ca-key.pem -out root-ca.pem

4. Vi skapar en administratörsnyckel:

   openssl genrsa -out admin-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out admin-key.pem

5. Vi skapar en begäran för certifikatssignering:

   openssl req -new -subj "\/C=RU\/ST=Moscow\/O=Moscow Inc.\/CN=${DOMAIN_CN}\/CN=admin " 
   -key admin-key.pem -out admin.csr

6. Vi skapar administratörscertifikatet:

   openssl x509 -req -extensions usr_cert -in admin.csr -CA root-ca.pem 
   -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem

7. Vi skapar certifikat för Elasticsearch-noden:

   export NODENAME="node-01"
   openssl genrsa -out ${NODENAME}-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in ${NODENAME}-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out ${NODENAME}-key.pem

8. Vi skapar en signeringsbegäran:

   openssl req -new -subj "\/C=RU\/ST=Moscow\/O=Moscow Inc.\/CN=${NODENAME}.${DOMAIN_CN}"  
   -addext"subjectAltName=DNS:${NODENAME}.${DOMAIN_CN},DNS:www.${NODENAME}.${DOMAIN_CN}" 
   -key ${NODENAME}-key.pem -out ${NODENAME}.csr

9. Vi signerar certifikatet:

   openssl x509 -req -in node.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial 
   -sha256 -out node.pem

10. Vi distribuerar certifikatet mellan Elasticsearch-noderna i mappen:

    /etc/elasticsearch/

    
    Vi kommer att behöva filerna:

            node-01-key.pem
    	node-01.pem
    	admin-key.pem
    	admin.pem
    	root-ca.pem

11. Vi konfigurerar /etc/elasticsearch/elasticsearch.yml – vi ändrar namnen på certifikatfilerna till de vi har genererat:

    opendistro_security.ssl.transport.pemcert_filepath: node-01.pem
    	opendistro_security.ssl.transport.pemkey_filepath: node-01-key.pem
    	opendistro_security.ssl.transport.pemtrustedcas_filepath: root-ca.pem
    	opendistro_security.ssl.transport.enforce_hostname_verification: false
    	opendistro_security.ssl.http.enabled: true
    	opendistro_security.ssl.http.pemcert_filepath: node-01.pem
    	opendistro_security.ssl.http.pemkey_filepath: node-01-key.pem
    	opendistro_security.ssl.http.pemtrustedcas_filepath: root-ca.pem
    	opendistro_security.allow_unsafe_democertificates: false
    	opendistro_security.allow_default_init_securityindex: true
    	opendistro_security.authcz.admin_dn:
    	  − CN=admin,CN=example.com,O=Moskva Inc.,ST=Moskva,C=RU
    	opendistro_security.nodes_dn:
    	  − CN=node-01.example.com,O=Moskva Inc.,ST=Moskva,C=RU

Ändrar lösenord för interna användare

1. Använd kommandot nedan för att skriva ut hash-lösenordet till konsolen:

   sh ${OD_SEC}/tools/hash.sh -p [lösenord]

2. Ändrar hashen i filen till den mottagna:

   /usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml

Konfigurerar brandväggen i OS

1. Tillåter start av brandväggen:

   systemctl enable firewalld

2. Startar den:

   systemctl start firewalld

3. Tillåter anslutning till Elasticsearch:

   firewall-cmd --set-default-zone work
   firewall-cmd --zone=work --add-port=9200/TCP --permanent

4. Laddar om brandväggsreglerna:

   firewall-cmd --reload

5. Visar aktiva regler:

   firewall-cmd --list-all

Tillämpa alla våra ändringar till Elasticsearch

1. Skapa en variabel med den fullständiga sökvägen till mappen med plugin:

   export  OD_SEC="/usr/share/elasticsearch/plugins/opendistro_security/"

2. Kör skriptet som uppdaterar lösenord och kontrollerar inställningarna:

   ${OD_SEC}/tools/securityadmin.sh -cd ${OD_SEC}/securityconfig/ 
   -icl -nhnv -cacert /etc/elasticsearch/root-ca.pem 
   -cert /etc/elasticsearch/admin.pem  
   -key /etc/elasticsearch/admin-key.pem

3. Kontrollera om ändringarna har tillämpats:

   curl -XGET https://[IP/Namn Elasticsearch]:9200/_cat/nodes?v -u admin:[lösenord] --insecure

Detta är alla grundläggande inställningar som skyddar Elasticsearch från obehörig åtkomst.

Källa: habr.com