🥇Öppna inte portar mot omvärlden – du kommer att bli hackad (risker)

Hela tiden, efter att ha utfört en granskning, möter jag motstånd mot mina rekommendationer att dölja portar bakom en vitlista. Även mycket duktiga administratörer/DevOps’are frågar: "Varför?!?"

Jag föreslår att vi överväger riskerna i ordning efter sannolikhet och skada.

Konfigurationsfel
DDoS via IP
Brute force
Sårbarheter i tjänster
Sårbarheter i kärnstacken
Förstärkning av DDoS-attacker

Konfigurationsfel

Den mest typiska och farliga situationen. Så här går det till. Utvecklaren behöver snabbt kontrollera en hypotes, han sätter upp en tillfällig server med mysql/redis/mongodb/elastic. Lösenordet är självklart komplext, han använder det överallt. Han öppnar tjänsten mot omvärlden — det är bekvämt för honom att koppla upp sig utan dessa VPN-lösningar. Och han orkar inte tänka på iptables-syntaxen, servern är ju ändå tillfällig. Ett par dagar senare av utveckling — det blev jättebra, vi kan visa det för kunden. Kunden gillar det, vi har ingen tid för ändringar, låt oss gå live!

Ett exempel som medvetet är överdrivet för att beröra alla fallgropar:

Det finns inget mer beständigt än temporärt — jag gillar inte det här uttrycket, men enligt subjektiva uppfattningar stannar 20-40% av sådana temporära servrar kvar under lång tid.
Ett komplext universellt lösenord som används över många tjänster är en risk. För ett av de tjänster där detta lösenord användes kan ha blivit hackat. På ett eller annat sätt samlas databaser från hackade tjänster i en, som används för [brute force]*.
Det är värt att nämna att redis, mongodb och elastic är helt tillgängliga utan autentisering efter installation, och ofta bidrar till samlingen av öppna databaser.
Det kan verka som om ingen skulle skanna er port 3306 på bara några dagar. Det är en missuppfattning! Masscan är en utmärkt skanner och kan skanna med en hastighet av 10 miljoner portar per sekund. Och det finns totalt 4 miljarder IPv4-adresser på internet. Därmed finns alla 3306-portar på internet inom sju minuter. Karl!!! Sju minuter!
"Vem bryr sig om detta?" — invänder ni. Och jag är förvånad när jag ser statistiken över förlorade paket. Varifrån kommer 40 000 skanningsförsök på en dag från 3 000 unika IP-adresser? Just nu skannar alla som inte har något bättre för sig, från novishackare till regeringar. Det är enkelt att kontrollera — ta en VPS för 3-5 dollar från en valfri** lågkostnadsleverantör, aktivera registrering av förlorade paket och kolla loggen om ett dygn.

Aktivera loggning

Lägg till följande i slutet av /etc/iptables/rules.v4:
-A INPUT -j LOG --log-prefix "[FW — ALL]" --log-level 4

Och i /etc/rsyslog.d/10-iptables.conf
:msg,contains,»[FW — » /var/log/iptables.log
& stop

DDoS via IP

Om en angripare känner till din IP-adress, kan de DDoSa din server i flera timmar eller dagar. Inte alla budgethostingleverantörer har DDoS-skydd och din server kan helt enkelt kopplas bort från nätverket. Om du har dolt servern bakom en CDN, glöm inte att byta IP, annars kan hackern hitta den och DDoSa din server runt CDN (ett mycket vanligt misstag).

Sårbarheter i tjänster

Funktioner i populär mjukvara upptäcks förr eller senare alltid, även i den mest testade och kritiska. Inom cybersäkerhetskretsar finns det en slags halvimprovisation — säkerheten i infrastrukturen kan mätas efter senaste gång den uppdaterades. Om din infrastruktur har många öppna portar och du inte har uppdaterat den på ett år så kan vilken säkerhetsspecialist som helst utan att ens titta på den säga att den är osäker och troligtvis redan hackad.
Det bör också nämnas att alla kända sårbarheter en gång var okända. Tänk dig en hacker som hittar en sådan sårbarhet och skannar hela internet efter dess förekomst på 7 minuter... Och där har vi en ny virusutbrott!) Du bör uppdatera, men det kan skada produkten, säger du. Och du har rätt ifall paketen inte installeras från officiella operativsystem-repositorier. Av erfarenhet är uppdateringar från officiellt repository sällan trasiga.

Brute force

Som jag beskrev ovan, finns det en databas med en halv miljard lösenord, som är lätta att skriva med tangentbordet. Med andra ord, om du inte har genererat ett lösenord utan skrivit närstående tecken på tangentbordet, kan du vara säker — du kommer att bli hackad.

Sårbarheter i kärnans stack.

Det kan hända **** att det inte ens spelar roll vilken tjänst som öppnar porten när själva nätverksstacken i kärnan är sårbar. Det vill säga, vilken som helst tcp/udp-socket i ett system två år gammalt är sårbar för sårbarheten som leder till DDoS.

Stärkande av DDoS-attacker

Det kommer inte att orsaka direkt skada, men kan blockera din kanal, öka belastningen på systemet, din IP kan hamna på någon svartlista *****, vilket kan leda till att du får en varning från din hostingleverantör.

Behöver du verkligen alla dessa risker? Lägg till din hem- och arbets-IP i vitlistan. Även om den är dynamisk — logga in via hostingleverantörens adminpanel, via webbkonsole, och lägg bara till en till.

Jag har arbetat med att bygga och skydda IT-infrastrukturer i 15 år. Jag har utvecklat en regel som jag varmt rekommenderar — ingen port ska exponeras mot världen utan vitlistning.

Till exempel är den mest skyddade webbservern*** den som har portarna 80 och 443 öppna endast för CDN/WAF. Tjänsteportarna (ssh, netdata, bacula, phpmyadmin) bör vara minst bakom en whitelist, och helst bakom en VPN. Annars riskerar du att bli kompromissad.

Jag har allt. Håll dina portar stängda!

(1) UPD1: Här du kan kontrollera ditt grymma universella lösenord (gör inte detta utan att byta ut det här lösenordet mot slumpmässiga i alla tjänster), har det läckt ut i en vågad databas. Och här kan du se hur många tjänster som har blivit hackade där din e-post förekom, och därmed avgöra om ditt grymma universella lösenord har blivit kompromissat.
(2) Till Amazons heder – på LightSail är det minst skanningar. De verkar filtrera på något sätt.
(3) En ännu mer skyddad webbserver är den som står bakom en dedikerad brandvägg, med sin egen WAF, men det handlar om offentliga VPS/Dedikerade.
(4) Segmentmak.
(5) Firehol.

Endast registrerade användare kan delta i omröstningen. Logga in, tack.