Відкритий мережевий доступ у хмарі

Що таке Відкритий мережевий доступ у хмарі?

Група безпеки — це брандмауер, і порт бази даних, відкритий для 0.0.0.0/0, означає саме те, що сказано. Застосунок ніколи не бачить цього трафіку, тож автентифікація, авторизація, обмеження частоти запитів і логування не працюють. Ви проскануєте продакшн-хост ззовні, знайдете порт, що відповідає, підключитеся, ввівши облікові дані, і прочитаєте з таблиці записи з персональними даними. Потім перепишете вхідне правило так, щоб дозволити лише діапазон CIDR підмережі застосунків, доведете це тим самим пробним запитом і замінете облікові дані, бо цей секрет тепер розкритий.

Що ви дізнаєтесь у Відкритий мережевий доступ у хмарі

• Пам'ятайте: відкритий порт бази даних обходить усі засоби захисту, які застосував би застосунок, адже застосунку на шляху немає.
• Обмежуйте правила груп безпеки відомими діапазонами, щоб сканування всього інтернету взагалі не бачило ресурсу.
• Пам'ятайте: облікові дані, що пройшли ненадійним шляхом, вважаються розкритими. Закриття порту цього не скасовує, тож замініть їх.
• Доводьте це тим самим зовнішнім пробним запитом: тайм-аут означає, що пакет більше не доходить до жодної служби, яка слухає порт.

Відкритий мережевий доступ у хмарі — Кроки навчання

1. Пошук відкритих портів

   Боб націлюється не на компанії, а на відкриті порти. Він проганяє сканер публічними діапазонами адрес хмарного провайдера й шукає одне: порт бази даних або адміністрування, що відповідає з інтернету. Сьогодні відповідає хост із діапазону Halbrint.

2. На шляху стояв лише брандмауер

   Відкритий порт — це запрошення, а не злам. База даних усе ще вимагає входу. Але команди, які вважають, що до бази ззовні не дістатися, нерідко лишають для неї слабкий або типовий пароль застосунку, адже «в інтернеті її ніхто навіть не бачить». Це припущення і є вразливістю. Група безпеки була єдиним заходом захисту, і вона відкрита для всіх.

3. Пряме підключення до бази даних

   Боб спрямовує клієнт бази даних на відкритий порт і пробує облікові дані, які такі системи зазвичай лишають слабкими чи типовими. На шляху немає ні застосунку, ні API, ні журналу аудиту — лише Postgres і пароль.

4. Кожен учень на кожному маршруті

   Боб усередині. Він читає таблицю, на якій тримається логістика: діти, яких перевозить Halbrint, де вони живуть і кому телефонувати.

5. Який захід захисту не спрацював?

6. Зовнішній монітор сигналізує про відкритий порт

   Halbrint запускає зовнішнє сканування поверхні атаки. Уночі воно виявило продакшн-базу даних, що відповідає з інтернету, і сповіщення потрапило до поштової скриньки Аліси.

7. Відкрийте групи безпеки

   Аліса відкриває в хмарній консолі групи безпеки VPC продакшн-облікового запису. Брандмауер бази даних — це одна таблиця правил, і один рядок у ній вирішує, хто в усьому світі може дістатися порту.

8. Знайдіть правило, відчинене навстіж

   У групі безпеки бази даних є лише одне вхідне правило, що має значення: його й знайшов сканер.

9. 0.0.0.0/0 — це весь інтернет

   Ось воно, у вхідних правилах: Postgres на 5432 доступний з 0.0.0.0/0.

10. Обмежте правило підмережею застосунків

    Аліса переписує вхідне правило, щоб до 5432 можна було дістатися лише з підмережі рівня застосунків — єдиного набору хостів, яким справді потрібна база даних. Публічний інтернет повністю втрачає маршрут до порту.