Cloud-Netzwerk-Exposition

Was ist Cloud-Netzwerk-Exposition?

Eine Sicherheitsgruppe wirkt als Firewall. Ein Datenbankport, der für 0.0.0.0/0 geöffnet ist, ist tatsächlich von überall erreichbar. Die Anwendung sieht diesen Datenverkehr nie, sodass ihre Authentifizierung, Autorisierung, Zugriffsbegrenzung und Protokollierung nicht greifen. Sie scannen einen Produktionshost von außen, finden den offenen Port, melden sich mit Zugangsdaten an und lesen personenbezogene Datensätze. Danach begrenzen Sie die Eingangsregel auf den CIDR-Bereich des App-Subnetzes, prüfen den Erfolg mit demselben externen Verbindungsversuch und erneuern die nun kompromittierten Zugangsdaten.

Was Sie lernen in Cloud-Netzwerk-Exposition

• Ein offener Datenbankport umgeht alle Kontrollen der Anwendung, weil sie an der Verbindung nicht beteiligt ist.
• Beschränken Sie Sicherheitsgruppenregeln auf bekannte Bereiche, sodass bei einem internetweiten Scan die Ressource überhaupt nicht erkannt wird.
• Zugangsdaten, die über einen nicht vertrauenswürdigen Weg verwendet wurden, müssen als offengelegt gelten. Das Schließen des Ports macht dies nicht rückgängig. Erneuern Sie die Zugangsdaten.
• Prüfen Sie mit demselben externen Verbindungsversuch: Eine Zeitüberschreitung zeigt, dass das Paket den Dienst nicht mehr erreicht.

Cloud-Netzwerk-Exposition — Trainingsschritte

1. Suche nach offenen Ports

   Bob sucht nicht nach bestimmten Unternehmen, sondern nach offenen Ports. Er scannt die öffentlichen Adressbereiche eines Cloud-Anbieters und sucht nach Datenbank- oder Verwaltungsports, die aus dem Internet erreichbar sind. Heute antwortet ein Host in Halbrints Adressbereich.

2. Nur die Firewall war im Weg

   Ein offener Port ist eine Einladung, noch kein Einbruch. Für die Datenbank braucht Bob weiterhin Zugangsdaten. Wenn Teams jedoch annehmen, dass niemand von außen eine Datenbank erreichen kann, belassen sie manchmal ein schwaches oder voreingestelltes Anwendungspasswort – nach dem Motto: „Aus dem Internet ist sie ohnehin nicht sichtbar.“ Genau diese Annahme ist die Schwachstelle. Die Sicherheitsgruppe sollte den Zugriff begrenzen, ist aber weit offen.

3. Direkte Verbindung zur Datenbank

   Bob richtet einen Datenbankclient auf den offenen Port und versucht es mit Zugangsdaten, wie sie bei solchen Installationen oft zurückbleiben. Auf dem Weg liegen weder Anwendung noch API oder deren Audit-Protokoll – nur Postgres und ein Passwort.

4. Jeder Schüler auf jeder Route

   Bob ist angemeldet. Er liest die Tabelle, auf der die Transportplanung beruht: welche Kinder Halbrint befördert, wo sie wohnen und wen man anrufen kann.

5. Welche Kontrolle ist fehlgeschlagen?

6. Ein externer Monitor markiert den Port

   Halbrint lässt seine öffentlich erreichbaren Systeme extern scannen. Über Nacht meldete der Dienst eine Produktionsdatenbank, die aus dem Internet antwortete. Die Warnung landete in Alices Posteingang.

7. Sicherheitsgruppen öffnen

   Alice öffnet in der Cloud-Konsole die VPC-Sicherheitsgruppen des Produktionskontos. Die Firewall der Datenbank besteht aus einer Regeltabelle. Eine einzige Zeile entscheidet, aus welchen Netzen Port 5432 erreichbar ist.

8. Die weit offene Regel finden

   In der Sicherheitsgruppe der Datenbank gibt es eine entscheidende Regel für eingehenden Datenverkehr: genau die, die der Scanner erkannt hat.

9. 0.0.0.0/0 ist das gesamte Internet

   In den Regeln für eingehenden Datenverkehr steht es: Postgres auf Port 5432 ist für 0.0.0.0/0 freigegeben.

10. Die Regel auf das App-Subnetz beschränken

    Alice ändert die Regel für eingehenden Datenverkehr. Port 5432 ist danach nur noch aus dem Subnetz der Anwendung erreichbar – von den Hosts, die die Datenbank tatsächlich benötigen. Aus dem öffentlichen Internet ist der Port nicht mehr erreichbar.