Usifungue bandari kwa ulimwengu - utavunjwa (hatari)

Mara kwa mara, baada ya kufanya ukaguzi, mapendekezo yangu kwa bandari zilizoidhinishwa hukutana na ukuta wa mkanganyiko. Hata wasimamizi waliojitolea zaidi/DevOps huuliza, "Kwa nini?!?"

Ninapendekeza kuzingatia hatari katika mpangilio wa kushuka wa uwezekano wa kutokea na uharibifu.

1. Hitilafu ya usanidi
2. IP DDoS
3. Nguvu kali
4. Udhaifu wa huduma
5. Athari za mrundikano wa Kernel
6. Mashambulizi ya DDoS yanaongezeka

Hitilafu ya usanidi

Hali ya kawaida na hatari zaidi. Hivi ndivyo inavyotokea. Msanidi anahitaji kujaribu dhahania haraka, kwa hivyo wasanidi seva ya muda na MySQL/Redis/MongoDB/Elastic. Nenosiri ni, bila shaka, ngumu; wanaitumia kila mahali. Wanafungua huduma kwa ulimwengu—ni rahisi kwao kuunganishwa kutoka kwa Kompyuta zao kwa kutumia GUI, bila VPN hizo. Lakini wao ni wavivu sana kukumbuka syntax ya iptables; seva ni ya muda hata hivyo. Siku chache zaidi za ukuzaji—ni kamili, tayari kuonyeshwa kwa mteja. Mteja anaipenda, hakuna wakati wa kuifanya upya, kwa hivyo tunaizindua katika toleo la umma!

Mfano uliotiwa chumvi kwa makusudi ili kukanyaga reki zote:

1. Hakuna kitu cha kudumu zaidi kuliko kitu cha muda - sipendi kifungu hiki, lakini kimsingi, 20-40% ya seva za muda hubaki kwa muda mrefu.
2. Nenosiri changamano, linalotumika kote katika huduma nyingi ni wazo mbaya. Kwa sababu moja ya huduma ambapo nenosiri hili lilitumiwa inaweza kuwa imedukuliwa. Njia moja au nyingine, hifadhidata za huduma zilizodukuliwa zinakusanywa kuwa moja, ambayo hutumiwa kwa mashambulizi ya nguvu ya kikatili.
   Inafaa kuongeza kuwa redis, mongodb na elastic kwa ujumla hupatikana bila uthibitishaji baada ya usakinishaji, na mara nyingi hujazwa tena. ukusanyaji wa hifadhidata wazi.
3. Inaweza kuonekana kuwa hakuna mtu atakayechanganua bandari yako ya 3306 katika siku chache. Hiyo ni dhana potofu! Masscan ni skana bora na inaweza kuchanganua kwenye bandari za 10M kwa sekunde. Na kuna anwani za IPv4 bilioni 4 pekee kwenye mtandao. Kwa hivyo, bandari zote 3306 kwenye mtandao zinaweza kupatikana kwa dakika 7. Karl!!! Dakika saba!
   "Nani anahitaji hiyo?" unaweza kupinga. Pia ninashangaa ninapotazama takwimu za kushuka kwa pakiti. Majaribio 40,000 ya kuchanganua kutoka IP 3,000 za kipekee hutoka wapi kwa siku? Siku hizi, kila mtu na mbwa wao wanachanganua, kutoka kwa wadukuzi hadi serikali. Ni rahisi sana kuangalia: pata VPS yoyote kwa $3-5 kutoka kwa mtoa huduma wowote** wa gharama ya chini, washa uwekaji kumbukumbu wa kushuka kwa pakiti, na uangalie kumbukumbu baada ya saa 24.

Inawezesha ukataji miti

Katika /etc/iptables/rules.v4 ongeza hadi mwisho:
-A INPUT -j LOG --logi-kiambishi awali "[FW - ALL] " --logi-level 4

Na katika /etc/rsyslog.d/10-iptables.conf
:msg,ina,"[FW - "/var/log/iptables.log
& kuacha

IP DDoS

Ikiwa mshambuliaji anajua IP yako, anaweza DDoS seva yako kwa saa kadhaa au hata siku. Sio watoa huduma wote wa upangishaji wa bei ya chini wanaotoa ulinzi wa DDoS, na seva yako itatolewa nje ya mtandao. Ikiwa umeficha seva yako nyuma ya CDN, hakikisha umebadilisha anwani yako ya IP, vinginevyo mdukuzi ataipata kwenye Google na DDoS seva yako huku akipita CDN (kosa la kawaida sana).

Udhaifu wa huduma

Hitilafu hatimaye hupatikana katika programu zote maarufu, hata zile zilizojaribiwa zaidi na muhimu. Kuna msemo wa nusu utani kati ya wataalamu wa usalama wa habari: usalama wa miundombinu unaweza kutathminiwa kwa usalama kufikia wakati wa sasisho lake la mwisho. Ikiwa miundombinu yako imejaa bandari zilizofichuliwa, na hujaisasisha kwa mwaka mmoja, mtaalamu yeyote wa usalama atakuambia bila hata kuangalia kwamba una kasoro na kuna uwezekano kuwa tayari umedukuliwa.
Inafaa pia kutaja kuwa udhaifu wote unaojulikana ulikuwa haujulikani. Hebu fikiria mdukuzi aliyepata udhaifu huo na akachanganua mtandao mzima kwa dakika saba... Janga jipya la virusi! Unaweza kusema, "Tunahitaji kusasisha, lakini hiyo inaweza kudhuru bidhaa." Na utakuwa sawa, isipokuwa unasanikisha vifurushi kutoka kwa hazina rasmi za OS. Katika uzoefu wangu, sasisho kutoka kwa hazina rasmi mara chache sana huvunja bidhaa.

Nguvu kali

Kama ilivyoelezwa hapo juu, kuna hifadhidata ya manenosiri nusu bilioni ambayo ni rahisi kuandika. Kwa maneno mengine, ikiwa hujaunda nenosiri lakini umeandika herufi zilizo karibu kwenye kibodi, unaweza kuwa na uhakika* kwamba utalazimishwa kwa ukatili.

Athari za mrundikano wa Kernel.

Inatokea pia**** kwamba haijalishi ni huduma gani inafungua bandari wakati safu ya mtandao wa kernel yenyewe iko hatarini. Hii ina maana kwamba tundu lolote la TCP/UDP kwenye mfumo wa umri wa miaka miwili linaweza kuathiriwa na DDoS.

Kuongezeka kwa mashambulizi ya DDoS

Haitasababisha uharibifu wowote wa moja kwa moja, lakini inaweza kuziba chaneli yako, kuongeza mzigo kwenye mfumo, IP yako itaishia kwenye orodha fulani iliyoidhinishwa*****, na utadhulumiwa na mtoaji mwenyeji.

Je! unahitaji hatari hii yote? Ongeza anwani zako za IP za nyumbani na kazini kwenye orodha iliyoidhinishwa. Hata kama zinabadilika, ingia kwenye paneli ya msimamizi ya akaunti yako ya mwenyeji au kiweko cha wavuti na uongeze nyingine.

Nimekuwa nikijenga na kulinda miundombinu ya IT kwa miaka 15. Nimeunda sheria ambayo ninapendekeza sana kwa kila mtu: Hakuna bandari inapaswa kuruhusiwa kuingia ulimwenguni bila orodha iliyoidhinishwa..

Kwa mfano, seva ya wavuti iliyo salama zaidi*** ni ile ambayo ina milango 80 na 443 tu iliyofunguliwa kwa CDN/WAF. Milango ya huduma (ssh, netdata, bacula, phpmyadmin) inapaswa kuorodheshwa angalau, na ikiwezekana nyuma ya VPN. Vinginevyo, una hatari ya kuathirika.

Hiyo ndiyo yote niliyo nayo. Funga bandari zako!

• (1) UPD1: Hapa Unaweza kuangalia nywila yako nzuri ya ulimwengu (Usifanye hivi bila kubadilisha nenosiri hili na la nasibu katika huduma zote.), iwe ilionyeshwa kwenye hifadhidata iliyovuja. Na hapa Unaweza kuona ni huduma ngapi zimedukuliwa ambapo anwani yako ya barua pepe ilitumiwa, na, ipasavyo, ujue kama nenosiri lako zuri la jumla limeingiliwa.
• (2) Kwa mkopo wa Amazon, LightSail ina skanisho ndogo. Inaonekana wanazichuja kwa namna fulani.
• (3) Seva ya wavuti iliyo salama zaidi ni ile ambayo iko nyuma ya ngome iliyojitolea, WAF yake mwenyewe, lakini tunazungumza juu ya VPS/Wakfu wa umma.
• (4) Segmentsmak.
• (5) Bomba la moto.

Watumiaji waliojiandikisha pekee ndio wanaweza kushiriki katika utafiti. Weka sahihitafadhali.

Je, bandari zako zimetoka nje?

• Daima
• Wakati mwingine
• Kamwe
• Sijui, sijali

Watumiaji 54 walipiga kura. Watumiaji 6 walijizuia.

Chanzo: mapenzi.com