Відкритий мережевий доступ у хмарі

Що таке Відкритий мережевий доступ у хмарі?

Група безпеки — це брандмауер, і порт бази даних, відкритий для 0.0.0.0/0, означає саме те, що сказано. Застосунок такого трафіку не бачить, тож автентифікація, авторизація, обмеження частоти запитів і журналювання не працюють. Ви скануєте продакшн-хост ззовні, знаходите порт, що відповідає, підключаєтеся з обліковими даними й читаєте з таблиці персональні дані. Потім переписуєте вхідне правило так, щоб воно пускало лише діапазон CIDR підмережі застосунків, доводите це тим самим пробним запитом й замінюєте облікові дані, бо цей секрет тепер скомпрометований.

Що ви дізнаєтесь у Відкритий мережевий доступ у хмарі

• Усвідомлюйте, що відкритий порт бази даних оминає всі засоби контролю, які забезпечив би застосунок, бо застосунку на шляху немає.
• Обмежуйте правила груп безпеки відомими діапазонами, щоб сканування всього інтернету узагалі не бачило ресурсу.
• Вважайте облікові дані, використані через ненадійний канал, скомпрометованими. Закриття порту цього не скасовує, тож замініть їх.
• Доводьте виправлення тим самим зовнішнім пробним запитом: тайм-аут означає, що пакет більше не доходить до процесу, який слухає порт.

Відкритий мережевий доступ у хмарі — Кроки навчання

1. Пошук відкритих портів

   Боб не обирає компанії, він обирає відкриті порти. Він запускає сканер по публічних діапазонах адрес хмарного провайдера й шукає одне: порт бази даних чи адміністрування, що відповідає з інтернету. Сьогодні відповідає хост у діапазоні Halbrint.

2. Єдиною перешкодою був брандмауер

   Відкритий порт — це запрошення, а не злам. База даних усе ще вимагає пароль. Але команди, які вважають, що ззовні до бази не дістатися, часто лишають слабкий або типовий пароль застосунку, бо «в інтернеті її навіть не видно». Саме це припущення і є вразливістю. Група безпеки була єдиним заходом захисту, і вона відчинена навстіж.

3. Пряме підключення до бази даних

   Боб націлює клієнт бази даних на відкритий порт і пробує пароль із тих, що зазвичай лишають у таких конфігураціях. На шляху немає ні застосунку, ні API, ні журналу аудиту — лише Postgres і пароль.

4. Кожен учень на кожному маршруті

   Боб усередині. Він читає таблицю, на якій тримається логістика: діти, яких перевозить Halbrint, де вони живуть і кому телефонувати.

5. Який захід захисту не спрацював?

6. Зовнішній монітор повідомляє про відкритий порт

   Halbrint запускає зовнішнє сканування поверхні атаки. Уночі воно виявило продакшн-базу даних, яка відповідає з інтернету, і сповіщення надійшло до папки «Вхідні» Аліси.

7. Відкрийте групи безпеки

   Аліса відкриває хмарну консоль на групах безпеки VPC продакшн-облікового запису. Брандмауер бази даних — це таблиця правил, і один рядок у ній вирішує, хто у світі може дістатися порту.

8. Знайдіть правило, відчинене навстіж

   У групі безпеки бази даних є одне вхідне правило, яке має значення, — саме те, що знайшов сканер.

9. 0.0.0.0/0 — це весь інтернет

   Ось воно, серед вхідних правил: Postgres на 5432, дозволений з 0.0.0.0/0.

10. Звузьте правило до підмережі застосунків

    Аліса переписує вхідне правило так, щоб до 5432 можна було дістатися лише з підмережі рівня застосунків — єдиного набору хостів, яким справді потрібна база. Для публічного інтернету шлях до порту зникає повністю.