दुनिया के लिए बंदरगाह न खोलें - वे आपको तोड़ देंगे (जोखिम)

ऑडिट के बाद, फिर से, सफेद सूची के पीछे के बंदरगाहों को छिपाने की मेरी सिफारिशों पर मैं गलतफहमी की दीवार के साथ मिलता हूं। यहां तक ​​कि बहुत ही शांत व्यवस्थापक / DevOps'es पूछते हैं: "क्यों?"?

मैं घटना और क्षति की संभावना के घटते क्रम में जोखिमों पर विचार करने का प्रस्ताव करता हूं।

1. कॉन्फ़िगरेशन त्रुटि
2. IP पर DDoS
3. जानवर बल
4. सेवा कमजोरियाँ
5. कर्नेल स्टैक कमजोरियाँ
6. डीडीओएस हमलों को मजबूत करना

कॉन्फ़िगरेशन त्रुटि

सबसे विशिष्ट और खतरनाक स्थिति। कैसे होता है? डेवलपर को जल्दी से परिकल्पना का परीक्षण करने की आवश्यकता है, वह mysql / redis / mongodb / लोचदार के साथ एक अस्थायी सर्वर उठाता है। बेशक, पासवर्ड जटिल है, यह हर जगह इसका उपयोग करता है। यह दुनिया के लिए सेवा को खोलता है - यह आपके लिए अपने वीपीएन के बिना अपने पीसी से कनेक्ट करने के लिए सुविधाजनक है। और iptables सिंटैक्स याद करने के लिए बहुत आलसी है, वैसे भी सर्वर अस्थायी है। बस कुछ दिनों के विकास - यह ठीक निकला, आप इसे ग्राहक को दिखा सकते हैं। ग्राहक इसे पसंद करता है, इसे फिर से करने का समय नहीं है, हम इसे प्रॉड में लॉन्च करते हैं!

सभी रेक पर चलने के लिए उदाहरण जानबूझकर अतिरंजित है:

1. कुछ भी अस्थायी से अधिक स्थायी नहीं है - मुझे यह वाक्यांश पसंद नहीं है, लेकिन इसके विपरीत, ऐसे अस्थायी सर्वर का 20-40% लंबे समय तक रहता है।
2. कई सेवाओं में उपयोग किया जाने वाला जटिल सार्वभौमिक पासवर्ड बुराई है। क्योंकि, इस पासवर्ड का उपयोग करने वाली सेवाओं में से एक को हैक किया जा सकता है। एक तरह से या किसी अन्य, हैक की गई सेवाओं के डेटाबेस एक से झुंड के लिए उपयोग किया जाता है जो [क्रूर बल] *।
   यह जोड़ने योग्य है कि स्थापना के बाद रेडिस, मोंगोडब और लोचदार आम तौर पर प्रमाणीकरण के बिना उपलब्ध हैं, और अक्सर खुले डेटाबेस के संग्रह की भरपाई करते हैं।
3. ऐसा लग सकता है कि एक दो दिनों में कोई भी आपके 3306 पोर्ट को स्कैन नहीं करेगा। यह एक गलती है! मैस्कैन एक उत्कृष्ट स्कैनर है, और प्रति सेकंड 10M बंदरगाहों पर स्कैन कर सकता है। और इंटरनेट पर केवल 4 बिलियन IPv4 हैं। तदनुसार, इंटरनेट पर सभी 3306 वें पोर्ट 7 मिनट में हैं। कार्ल !!! सात मिनट!
   "कौन परवाह करता है?" - आपको आपत्ति है। इसलिए मैं गिराए गए पैकेजों के आंकड़ों को देखकर हैरान हूं। 40 हजार से एक दिन में 3 हजार अनूठे आईपी से स्कैन करने का प्रयास कहां होता है? अब मां के हैकर्स से लेकर सरकारों तक सभी को किसी न किसी के लिए स्कैन किया जाएगा। चेकिंग बहुत सरल है - किसी भी ** कम-लागत वाले से $ 3-5 के लिए कोई वीपीएस लें, गिराए गए पैकेज के लॉगिंग को सक्षम करें और एक दिन में लॉग को देखें।

IP पर DDoS

यदि कोई हमलावर आपके आईपी को जानता है, तो वह कई घंटों या दिनों के लिए आपके सर्वर का गला घोंट सकता है। सभी कम लागत वाली होस्टिंग में DDoS सुरक्षा नहीं है और आपके सर्वर को केवल नेटवर्क से डिस्कनेक्ट किया जाएगा। यदि आप सीडीएन के पीछे सर्वर छिपाते हैं, तो आईपी को बदलना न भूलें, अन्यथा हैकर इसे गूगल कर देगा और सीडीएन (एक बहुत ही लोकप्रिय त्रुटि) को दरकिनार करते हुए आपके सर्वर को डीडीओ करेगा।

सेवा कमजोरियाँ

जल्दी या बाद में, सभी लोकप्रिय सॉफ़्टवेयर में त्रुटियां पाई जाती हैं, यहां तक ​​कि सबसे अधिक परीक्षण किए गए और सबसे महत्वपूर्ण भी। आईएस इंजीनियरों के बीच, ऐसा आधा-मजाक है - बुनियादी सुविधाओं की सुरक्षा का अनुमान अंतिम अपडेट के समय तक आसानी से लगाया जा सकता है। यदि आपका इन्फ्रास्ट्रक्चर दुनिया में चिपके बंदरगाहों में समृद्ध है, और आपने इसे एक साल तक अपडेट नहीं किया है, तो कोई भी सुरक्षा गार्ड आपको यह नहीं बताएगा कि आप छेद से भरे हुए हैं, और सबसे अधिक संभावना पहले ही हैक हो चुकी है।
यह भी ध्यान देने योग्य है कि सभी ज्ञात कमजोरियां एक बार अज्ञात थीं। बस एक हैकर की कल्पना करें जिसने इस तरह की भेद्यता को पाया, और इसकी उपस्थिति के लिए 7 मिनट में पूरे इंटरनेट को स्कैन किया ... यहां एक नया वायरस प्रकोप है) इसे अपडेट करने की आवश्यकता है, लेकिन यह उत्पाद को नुकसान पहुंचा सकता है, आप कहते हैं। और आप सही होंगे यदि पैकेज आधिकारिक ओएस रिपॉजिटरी से स्थापित नहीं हैं। अनुभव से, आधिकारिक भंडार से अपडेट शायद ही कभी उत्पादों को तोड़ते हैं।

जानवर बल

जैसा कि ऊपर वर्णित है, आधे बिलियन पासवर्ड वाला एक डेटाबेस है जो कीबोर्ड से टाइप करने के लिए सुविधाजनक है। दूसरे शब्दों में, यदि आपने पासवर्ड नहीं बनाया है, लेकिन कीबोर्ड पर पास के अक्षरों को टाइप किया है, तो सुनिश्चित करें * - वे आपको हटा देंगे।

कर्नेल स्टैक की कमजोरियाँ।

ऐसा होता है कि **** इससे भी फर्क नहीं पड़ता कि कौन सी सेवा पोर्ट को खोलती है जब नेटवर्क कर्नेल स्टैक स्वयं असुरक्षित होता है। यही है, दो साल पहले एक प्रणाली पर बिल्कुल किसी भी tcp / udp सॉकेट DDoS भेद्यता के लिए कमजोर है।

DDoS हमलों को मजबूत करना

यह प्रत्यक्ष क्षति नहीं लाएगा, लेकिन यह आपके चैनल को रोक सकता है, सिस्टम पर लोड बढ़ा सकता है, आपका आईपी कुछ ब्लैक-लिस्ट ***** पर जाएगा, और आपको मेजबान से दुर्व्यवहार मिलेगा।

क्या आपको वास्तव में इन सभी जोखिमों की आवश्यकता है? अपने घर और कार्य को सफेद सूची में जोड़ें। यहां तक ​​कि अगर यह गतिशील है, तो वेब कंसोल के माध्यम से मेजबान व्यवस्थापक पैनल के माध्यम से लॉग इन करें, और बस एक और जोड़ें।

मैं 15 साल से आईटी इन्फ्रास्ट्रक्चर का निर्माण और सुरक्षा कर रहा हूं। मैंने एक नियम विकसित किया है जिसे मैं सभी के लिए सुझाता हूं - कोई भी बंदरगाह सफेद सूची के बिना दुनिया में नहीं रहना चाहिए ।

उदाहरण के लिए, सबसे सुरक्षित वेब सर्वर *** केवल CDN / WAF के लिए 80 और 443 के साथ खुला है। और सर्विस पोर्ट (ssh, netdata, bacula, phpmyadmin) कम से कम श्वेत-सूची के पीछे होना चाहिए, और वीपीएन के लिए भी बेहतर होगा। अन्यथा, आप जोखिम से समझौता किया जा सकता है।

मेरे पास सब कुछ है। अपने बंदरगाहों को बंद रखो!

• (1) UPD1 : यहां आप अपने कूल यूनिवर्सल पासवर्ड की जांच कर सकते हैं ( सभी सेवाओं में यादृच्छिक पासवर्ड वाले इस पासवर्ड को बदले बिना ऐसा न करें ), अगर यह मर्ज किए गए डेटाबेस में दिखाई दिया है। और यहां आप देख सकते हैं कि कितनी सेवाओं को हैक किया गया था, जहां आपका ईमेल चित्रित किया गया था, और, तदनुसार, पता करें कि क्या आपके शांत सार्वभौमिक पासवर्ड से समझौता किया गया है।
• (2) अमेज़ॅन के क्रेडिट के लिए, लाइटसैल पर कम से कम स्कैन हैं। जाहिर है, किसी तरह फ़िल्टर किया गया।
• (३) एक और अधिक सुरक्षित वेब सर्वर समर्पित फ़ायरवॉल के पीछे एक है, इसका WAF, लेकिन हम सार्वजनिक VPS / समर्पित के बारे में बात कर रहे हैं।
• (४) सेशसमक।
• (५) फायरहोल।