पुस्तक "सुरक्षित DevOps। कुशल प्रणाली संचालन

हाय, हब्रोज़ितेली! क्लाउड में चलने वाले एप्लिकेशन के कई फायदे हैं, लेकिन साथ ही यह विशेष खतरों के अधीन है। DevOps टीमों का कार्य इन जोखिमों का मूल्यांकन करना और उनके खिलाफ सिस्टम की सुरक्षा को मजबूत करना है। पुस्तक लेखक के अनूठे अनुभव पर आधारित है और आक्रमणों के प्रयासों को रोकने के लिए वेब अनुप्रयोगों को हमलों से बचाने के लिए सबसे महत्वपूर्ण रणनीतिक समाधान प्रदान करती है। आप देखेंगे कि स्वचालित परीक्षण, निरंतर वितरण और प्रमुख DevOps प्रक्रियाओं के साथ विश्वसनीयता कैसे सुनिश्चित करें। अपने अनुप्रयोग में मौजूद कमजोरियों को पहचानना, उनका मूल्यांकन करना और उन्हें ठीक करना सीखें। लेखक आपको क्लाउड कॉन्फ़िगरेशन में नेविगेट करने में मदद करेगा, साथ ही लोकप्रिय स्वचालन उपकरण भी लागू करेगा। Linux ज्ञान और मानक DevOps प्रथाओं जैसे CI, CD, और इकाई परीक्षण के ज्ञान की आवश्यकता है।

अंश। अध्याय 8. घुसपैठ और हमले का पता लगाने के लिए लॉग विश्लेषण

इस अध्याय में:

• एक लॉगिंग पाइपलाइन में विश्लेषण-स्तरीय घटकों की खोज।
• स्ट्रिंग हस्ताक्षर, सांख्यिकी और ऐतिहासिक डेटा का उपयोग करके घुसपैठ और हमलों का पता लगाएं।
• उपयोगकर्ताओं को जानबूझकर सूचित करने के तरीके प्रबंधित करना।

अध्याय 7 में, आपने सीखा कि कैसे एक लॉगिंग पाइप लाइन बनाई जाए जो पूरे इंफ्रास्ट्रक्चर से लॉग को इकट्ठा, ट्रांसफर, एनालिसिस और स्टोर करती है, और उन्हें एक्सेस भी प्रदान करती है। एक बहु-स्तरीय पाइपलाइन एक लचीला बुनियादी ढांचा तैयार करती है जिसमें विभिन्न स्रोतों से लॉग का उपयोग संगठन की सेवाओं की गतिविधि की निगरानी के लिए किया जाता है। अध्याय 7 ने पाइपलाइन के सभी स्तरों द्वारा प्रदान की गई कार्यक्षमता का अवलोकन प्रदान किया। इस अध्याय में, हम तीसरे स्तर - विश्लेषण स्तर - और तकनीकों में गोता लगाएँगे और सेवाओं पर घुसपैठ और हमलों का पता लगाने से संबंधित कोड उदाहरणों में गोता लगाएँगे।

पुस्तक लिखते समय मोज़िला द्वारा उपयोग की जाने वाली लॉगिंग पाइपलाइन अध्याय 7 में दिखाए गए के समान है। पाइपलाइन का उपयोग प्राकृतिक वातावरण, प्रक्रिया अनुप्रयोग और सेवा लॉग में फ़ायरफ़ॉक्स क्लाइंट ( टेलीमेट्री ) की स्थिति की निगरानी करने और असामान्य गतिविधि का पता लगाने के लिए किया जाता है। पाइपलाइन का तार्किक केंद्र विश्लेषण के स्तर पर है, कई छोटे कार्यक्रमों से बना है जो लगातार कुछ असामान्य की तलाश कर रहे हैं। इन छोटे कार्यक्रमों को लॉग ईवेंट के इनपुट और आउटपुट से निपटने के लिए इतना उन्नत नहीं किया जाता है, इसलिए वे इस कार्य को एक समर्पित डेटा सेंटर - Hindsight प्रोग्राम (http://mng.bz/m4gg) पर स्थानांतरित करते हैं, जो डेटा धाराओं पर प्लग-इन का विश्लेषण करने के लिए डिज़ाइन किया गया है। ।

इस अध्याय में, हम विभिन्न प्रकार की पत्रिकाओं को पढ़ने और उनका विश्लेषण करने के लिए मूल प्लगइन्स लिखने के लिए Hindsight का उपयोग करेंगे।

नोट

इस अध्याय के लिए नमूना लॉग और प्लगइन्स को सुरक्षित करने के लिए स्थित हैं- devops.com/ch08/log-pipeline । आपको इस रिपॉजिटरी को अपने स्थानीय मशीन में कॉपी करने और उदाहरणों को चलाने के लिए Hindsight Docker कंटेनर प्राप्त करने की आवश्यकता है।

आइए यह वर्णन करने से शुरू करें कि विश्लेषण स्तर के विभिन्न भागों की व्यवस्था कैसे की जाती है: हंडसाइट मध्य में स्थित है, और संग्रह और भंडारण स्तर दोनों तरफ हैं। फिर हम घुसपैठ और हमलों का पता लगाने के लिए तीन अलग-अलग तरीकों के बारे में बात करेंगे। उनमें से सबसे सरल के लिए, स्ट्रिंग हस्ताक्षर का उपयोग किया जाता है जिसमें सूचनाएं भेजने के लिए ज्ञात हमलों के बारे में जानकारी होती है। अगला, हम सांख्यिकीय मॉडल और हस्ताक्षर के साथ दृष्टिकोण की तुलना करते हैं, और यह भी सीखते हैं कि ये दोनों दृष्टिकोण एक दूसरे के पूरक कैसे हैं। अंत में, आइए कनेक्शनों के बीच संदिग्ध क्षेत्रों की पहचान करने के लिए ऐतिहासिक उपयोगकर्ता गतिविधि डेटा को लागू करने के तरीकों पर एक नज़र डालें।

अध्याय का अंतिम खंड सूचनाएं भेजने के बारे में है। यह संभावना नहीं है कि आप हर दिन विश्लेषण स्तर से हजारों सूचनाएं प्राप्त करना चाहेंगे, जो उपयोगी होने के बजाय बहुत अधिक शोर पैदा करेगा। यदि इसे नहीं बदला जाता है, तो प्राप्तकर्ता सूचनाओं को स्पैम मानेंगे और उन्हें अनदेखा कर देंगे। इस अध्याय के अंतिम खंड में, हम नोटिफिकेशन भेजने के आयोजन के लिए सर्वोत्तम प्रथाओं पर विचार करेंगे, साथ ही प्रशासकों और अंतिम उपयोगकर्ताओं को सूचनाएं सही और कुशलता से भेजने के तरीकों पर चर्चा करेंगे।

8.2। स्ट्रिंग हस्ताक्षर का उपयोग करके हमलों का पता लगाना

जब आप लॉग के साथ काम करते हैं, तो आप स्ट्रिंग्स के साथ काम करते हैं। और इसका मतलब यह है कि धोखाधड़ी के संकेतों की पहचान करने का सबसे आसान तरीका लॉग्स की ज्ञात दुर्भावनापूर्ण रेखाओं की सूची से तुलना करना है। यह सरल लग सकता है, लेकिन यह इन वर्षों में ठीक था कि सुरक्षा उद्योग में लगे हुए थे। 2000 के मध्य में लोकप्रिय वेब एप्लिकेशन फ़ायरवॉल (WAFs), नियमित रूप से नियमित रूप से अभिव्यक्ति के भंडार थे, जिन्हें वेब एप्लिकेशन पर भेजे गए प्रत्येक अनुरोध के खिलाफ जांचा गया था।

नियमित अभिव्यक्ति पर भरोसा न करें

मैंने एक बार एक बैंक के लिए काम किया था जिसमें इस प्रकार के संरक्षण का व्यापक रूप से उपयोग किया गया था। सुरक्षा टीम WAF का समर्थन करने के लिए जिम्मेदार थी, जिसने ग्राहकों के लिए एक व्यापारिक सेवा सहित कई ऑनलाइन सेवाओं की रक्षा की। इस सेवा को भेजे गए प्रत्येक वेब अनुरोध को एप्लिकेशन सर्वर पर पहुंचने से पहले सैकड़ों नियमित अभिव्यक्तियों के माध्यम से जाना गया। एक बार एक ऑनलाइन ट्रेडिंग सेवा टीम के एक डेवलपर ने इन नियमित अभिव्यक्तियों पर एक नज़र डालने का फैसला किया। मुझे नहीं पता है कि इंजीनियर ने फ़ाइल की सामग्री को पढ़ना शुरू करने के लिए क्या संकेत दिया, जो मुख्य रूप से स्लैश, डॉलर प्रतीकों, तारांकन, प्लसस, वर्ग और कोष्ठक से भरा है, लेकिन उसने इसे ले लिया। और कहीं न कहीं एक नियमित नियमित अभिव्यक्ति में 418 वीं पंक्ति में, उन्हें "+" का एक संदिग्ध संयोजन मिला। दो निर्दोष चरित्र जिन्होंने बिल्कुल हर चीज को दर्द रहित रूप से जाने की अनुमति दी: यह नियमित अभिव्यक्ति "सब कुछ अनुमति दें" मूल्य के समान है।

हमारा गर्व कई हजार यूरो के लिए वेब एप्लिकेशन फ़ायरवॉल है, एक पूरी टीम द्वारा समर्थित है, सैकड़ों नियमित अभिव्यक्तियों की जाँच की है, प्रदर्शन को प्रभावित किया है और पहले से ही जटिल प्रणाली के डिजाइन को जटिल बना दिया है, और सभी को बिना किसी चीज के छोड़ देने के लिए। बेशक, हमने जल्द ही समस्या को ठीक कर दिया, लेकिन सुरक्षा सुनिश्चित करने के लिए नियमित अभिव्यक्ति के उपयोग में मेरा विश्वास तब से नहीं बढ़ा है। यदि आप अपने संगठन में इस प्रकार की सुरक्षा प्रणाली को लागू करना चाहते हैं, तो इसकी जटिलता को ध्यान में रखें, ताकि आपके साथ ऐसा न हो।

जब सही तरीके से उपयोग किया जाता है, तो नियमित अभिव्यक्तियां एक शक्तिशाली उपकरण बन सकती हैं, लेकिन उन्हें लिखना मुश्किल है, समय के साथ बनाए रखना - और भी कठिन, और उनके बड़े पैमाने पर कार्यान्वयन महंगा है। नियमित अभिव्यक्ति ((\% 3C) | <) (((% 2F) | \ /) * [[a-z0-9 \%] + (((%% 3E)>>)) पर एक नज़र डालें। आपने यह अनुमान नहीं लगाया है कि इसका उपयोग किस लिए किया जाता है, इसलिए मैं आपको बताता हूं: इसका उपयोग HTTP अनुरोध स्ट्रिंग्स में इंजेक्शन की खोज के लिए किया जा सकता है, जो कि <> असमानता वर्ण और उनकी सामग्री को खोलने और बंद करने की उपस्थिति का खुलासा करता है। आपको इस प्रकार की HTTP रिक्वेस्ट लाइन एक हमलावर से मिलेगी जो एक क्रॉस-साइट स्क्रिप्टिंग हमले के साथ समाप्त होने के लिए आपके एप्लिकेशन में दुर्भावनापूर्ण जावास्क्रिप्ट कोड को इंजेक्ट करने की कोशिश कर रहा है, जिसकी हमने अध्याय 3 में चर्चा की थी।

इस नियमित अभिव्यक्ति का उपयोग उन संदिग्ध अनुरोधों की पहचान करने के लिए किया जा सकता है जिनमें इंजेक्शन के प्रयास होते हैं। 8.7 को सूचीबद्ध करने से एक उदाहरण पार्सर दिखाई देता है जो संचारित NGINX एक्सेस लॉग में से प्रत्येक में नियमित अभिव्यक्ति मैचों के लिए जाँच करके इसे लागू करता है। नियमित अभिव्यक्ति को स्थानीय xss चर में संग्रहीत किया जाता है, इसका मान प्रत्येक फ़ील्ड के साथ तुलना किया जाता है [अनुरोध] मूल्य rex.match () फ़ंक्शन का उपयोग करके।

यदि मैच होते हैं, तो add_to_payload () फ़ंक्शन एक अधिसूचना भेजता है जो आउटपुट प्लग-इन प्राप्त कर सकता है और गंतव्य तक पहुंचा सकता है।

सूचीकरण 8.7। एक प्लगइन जो क्वेरी स्ट्रिंग में हमले के संकेत वाले लॉग संदेशों का पता लगाता है

इस प्लगइन से एक उदाहरण आउटपुट लिस्टिंग 8.8 में दिखाया गया है। नमूना पत्रिकाओं द्वारा कई सूचनाएं उत्पन्न की जाती हैं, जिनमें से कुछ झूठी सकारात्मक निकलीं। यह भाग में हुआ क्योंकि नमूना लॉग कृत्रिम रूप से ZAP भेद्यता स्कैनर का उपयोग करके बनाया गया था, और यह भी क्योंकि क्वेरी तार HTML टैग को शामिल नहीं करते हैं। विशेष रूप से, इस नियमित अभिव्यक्ति में झूठे सकारात्मक मैचों को खोजने के लिए बहुत अधिक दर नहीं होगी।

लिस्टिंग 8.8। XSS विश्लेषण प्लगइन द्वारा उत्पन्न सूचनाओं के उदाहरण

यह एक विशिष्ट प्रकार के हमले के लिए सिर्फ एक नियमित अभिव्यक्ति है। इस दृष्टिकोण के लिए उपयोगी होने के लिए, आपको नियमित अभिव्यक्तियों से अधिक कुछ खोजने की आवश्यकता है। शुरुआत के लिए, आप विभिन्न स्रोतों से हस्ताक्षर एकत्र कर सकते हैं और, क्योंकि लॉग में अधिक से अधिक संदिग्ध संकेत पाए जाते हैं, धीरे-धीरे आपके डेटाबेस का आकार बढ़ाते हैं।

8.9 लिस्टिंग सूची XSS विश्लेषक का एक संशोधित संस्करण दिखाती है जो एक हमले के विभिन्न संकेतों के लिए दिखता है (http://mng.bz/62/8)। यह स्क्रिप्ट दिखाती है कि आप विशेषताओं की सूची को संग्रहीत करने के लिए लुआ तालिकाओं का उपयोग कैसे कर सकते हैं और आने वाली घटनाओं का विश्लेषण करने के लिए इसे चक्रीय रूप से उपयोग कर सकते हैं। इस कोड उदाहरण में, Susp_terms तालिका पंक्तियों की एक सरल पंक्ति है जो नियमित अभिव्यक्तियों की खोज के लिए सब्सट्रिंग्स का उपयोग करती है, जो बहुत तेज़ है। संदेहास्पद_टेरम्स तालिका, कुंजी-मूल्य प्रारूप का उपयोग करके अभिव्यक्ति को खोजने के लिए आपको याद दिलाने में सक्षम होने के लिए अभिव्यक्ति के साथ-साथ लेबल संग्रहीत करने के लिए उपयोग करती है।

लिस्टिंग 8.9। स्ट्रिंग्स और अभिव्यक्तियों का उपयोग करके हमलों के संकेतों की खोज करें

आप अध्याय की शुरुआत में वर्णित परीक्षण सेटिंग्स का उपयोग करके इस विश्लेषक को चला सकते हैं। माउंट किए गए निर्देशिकाओं के साथ डॉकटर कंटेनर लॉन्च करें और आउटपुट / पेलोड / विश्लेषण के लिए एनालाइज़र आउटपुट लिखा जाएगा। suspicious_signatures.alerts.txt। प्लगइन हजारों सूचनाएं भेजेगा, जो कि अपेक्षित है, क्योंकि ये लॉग ZAP भेद्यता स्कैनर द्वारा उत्पन्न होते हैं। इस दृष्टिकोण को सफल माना जा सकता है, लेकिन इसमें ऐसी खामियां हैं, जिन पर आपको विचार करना चाहिए।

• नियमित अभिव्यक्तियाँ लिखना कठिन है, और पढ़ना भी कठिन । आप ऐसी गलतियाँ करेंगे जिनकी जाँच करना आसान नहीं है और जिसके लिए दर्दनाक डिबगिंग के घंटों की आवश्यकता होगी। इस विश्लेषक में केवल चार नियमित अभिव्यक्ति हैं, लेकिन कोड के इस हिस्से को पढ़ना पहले से ही मुश्किल है। कोई फर्क नहीं पड़ता कि उपकरण कितना शक्तिशाली और आकर्षक हो सकता है नियमित अभिव्यक्ति, मैं उनके साथ लगातार काम करने की सिफारिश नहीं करूंगा।
• इस दृष्टिकोण के साथ, बहुत सारी सूचनाएं उत्पन्न होती हैं । इंटरनेट के लिए खुले वेब एप्लिकेशन बहुत सारे असामान्य ट्रैफ़िक प्राप्त करते हैं, दुर्भावनापूर्ण और बहुत कुछ नहीं। प्रत्येक असामान्य संकेत के लिए सूचनाएं उत्पन्न करना किसी भी सुरक्षा टीम को कई हफ्तों तक पागल बना देगा, भले ही झूठी सकारात्मकता की दर कम हो। असामान्य यातायात इंटरनेट पर चलने वाली सेवाओं के लिए एक प्राकृतिक घटना है।

आप गणितीय दृष्टिकोण को लागू करके और विसंगतियों का थोड़ा कम सही पता लगाने के लिए इस संपूर्ण प्रणाली को बनाकर इन दोनों समस्याओं को ठीक कर सकते हैं। अगले भाग में, हम देखेंगे कि नोटिफिकेशन भेजने के लिए सांख्यिकीय तरीकों का उपयोग कैसे करें जब एक थ्रेसहोल्ड को विसंगति का पता लगाने वाले लॉजिक से शोर को कम करने के तरीके के रूप में दूर किया जाए।

लेखक के बारे में

लेखन के समय, जुलिएन व्हील्सेन फ़ायरफ़ॉक्स, मोज़िला में संचालन सुरक्षा टीम का प्रबंधन कर रहा है। वह वेब सेवाओं की सुरक्षा रणनीति बनाने, कार्यान्वित करने और उसे संचालित करने के लिए जिम्मेदार है, जो हर दिन लाखों फ़ायरफ़ॉक्स उपयोगकर्ताओं के साथ बातचीत करता है। 2000 के दशक की शुरुआत में जूलियन ने नेटवर्क सेवाओं की सुरक्षा पर ध्यान केंद्रित किया। उन्होंने लिनक्स में सिस्टम प्रशासक के रूप में काम करना शुरू किया और 2007 में सूचना सुरक्षा में मास्टर डिग्री प्राप्त की।

»पुस्तक की अधिक जानकारी प्रकाशक की वेबसाइट पर पाई जा सकती है
» सामग्री
» अंश

फेरीवालों के लिए 25% की छूट - DevOps

पुस्तक के पेपर संस्करण के भुगतान पर, एक इलेक्ट्रॉनिक पुस्तक ई-मेल द्वारा भेजी जाती है।