VPN komertzial batek 5432 ataka blokeatzen al du? Alderatu zure aukerak

Aplikazioak bulegotik hitz egiten zuen bere datu-basearekin egunero. Gero norbaitek VPN bezero komertziala aktibatu zuen ordenagailu berean, eta konexioa eskuko agurraren ondoren berrezartzen hasi zen. Aplikazioan ezer ez zen aldatu, tunelak osasuntsu dagoela dio, eta zuk kontrolatzen duzun suebakiak ez du blokeo-arauik. Aldatu zena irteera-bidea da: hornitzailearen zerbitzariak partekatutako trafiko handiko mutur puntuak dira, eta hornitzaileek irteerako atakak iragazten dituzte abusuak murrizteko. Datu-baseen eta posta bidaltzearen atakek hartzen dute horren zatirik handiena, ataka horiek erakartzen baitituzte eskaneatzeak eta spam-a helbide multzo anonimo batetik.

Bost minutuko proba, iragazketa beste guztitik bereizten duena

Makinako beretik, probatu irekita egon behar duen ataka bat eta hutsegiten duen ataka, ostalari berean, tunela piztuta eta gero itzalita. Erabili komando bera bietan, aldagai bakarra tunela izan dadin:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Lau emaitzek ia kasu guztiak estaltzen dituzte. 443-k funtzionatzen badu eta 5432-k hutsegiten badu tunela piztuta soilik, irteera-bideko ataka-iragazketa ikusten ari zara. Biak hutsegiten badute tunela piztuta eta biak funtzionatzen badute hura gabe, arazoa bideratzea edo DNS-a da, ez ataka-politika. Bi atakak konektatzen badira baina aplikazioak hutsegiten badu, akatsa autentifikazioan edo TLS-an dago, ez irisgarritasunean. Eta hornitzailearen zerbitzari-kokapen bakarra hutsegiten badu, zerbitzari bakoitzeko politika da, beraz, probatu beste kokapen bat edozein konfigurazio ukitu aurretik.

Lehen aukera: tunel zatitua datu-basearen azpisarearentzat

Ordenagailuak VPN komertziala beste helburu batzuetarako soilik behar badu, baztertu datu-basearen helbide-tartea tunelatik, trafikoak inoiz irteera partekatuan sartu ez dadin. Hau da aukerarik garbiena bi bideek benetan topo egin behar ez dutenean, eta ez du ezer kostatzen dokumenta dezakezun bideratze-arau bat baino haratago. Konpromisoa zera da: tunel zatituak bigarren politika-azalera bat sartzen du: tunelatik baztertzen dena nahita egin behar da, ez geroago norbaitek gehitutako azpisare baten efektu sekundarioa.

Funtzionatzeari uzten dio datu-basea VPN-a iritsi behar litzatekeen sarearen barruan bizi den unean, beraz, egiaztatu hori horretara konprometitu aurretik.

Bigarren aukera: zure mutur puntua, zure irteera

VPS batean VPN mutur puntu txiki bat exekutatzeak irteera-politikaren kontrola ematen dizu, eta ez da partekatutako multzorik esku hartzen. Hau da bezero komertzialarekin zintzotasunez alderatzea merezi duen aukera: iturri-helbide aurreikusgarria irabazten duzu eta hornitzailearen arrasto globala eta erosotasuna galtzen dituzu. Datu-baseen eta postaren atakak egun osoan behar dituen talde batean, konpromisoa mutur puntua edukitzearen alde egiten du normalean, hutsegiteko modua zure konfigurazio okerra bihurtzen baita, ez beste norbaitekiko abusu-politika.

Alderatu biak iturri-helbidearen egonkortasunaren arabera, zure trafikoak irakur ditzakeenaren arabera, eta mutur puntuaren hornitzaileak bere iragazketa aldatzen duen egunean gertatzen denaren arabera.

Hirugarren aukera: atera ordenagailua bidetik

CI lan batek, programatutako edukiontzi batek edo baimendutako sarearen barruko bastioi ostalari batek ez du gizaki baten tunel-egoeraren mende egiten. Iritsi datu-basera SSH tunelaren bidez jada baimenduta dagoen ostalari batetik, eta ordenagailuak ez du inoiz atakarekin zuzenean hitz egiten. Hau da hainbat pertsonek murrizketa bera jotzen dutenean eskalatzen duen aukera, eta arazoa saihestu beharrean kentzen duena ere bada.

Aurrez lan gehiago eskatzen du tunel zatituaren arauak baino, eta oraintxe bertan saio interaktiboa behar duen pertsona bakarrari ez dio laguntzen.

Zergatik den hornitzailearen helbidea baimenduen zerrendan jartzea konparazio okerra

Hornitzailearen irteera-helbidea datu-basearen baimenduen zerrendan gehitzeak funtzionatzen du, eta aldi berean helbide hori une horretan partekatzen duen beste harpidetu guztiei ere ematen die sarbidea. Modu estuan emandako aplikazio-kontu baten atzean dagoen irakurketa-soileko errepika batentzat, esposizioa egun batez jasangarria izan liteke. Idazgarria den edozertarako ez da izena merezi duen konpromisoa, eta irteera-helbide birakariek okerrera egiten dute: zerbitzari-aldaketa bakoitzak araua hausten du, eta mantentze-lanek CIDR sarrera zabalak erakartzen dituzte, baimenduen zerrendaren helburua zapuztuz.

Helbide dedikatuak edo estatikoak, hornitzaileak saltzen dituen tokian, honen eskalatzen duen bertsio bakarra dira. Lotu baimenduen zerrenda zuri bakarrik egiten dizun helbide batera, edo ez lotu batere.

Edonola ere, idatzi bidea eta arrazoia. Hurrengo pertsonak berrezartzen ari den konexio bera aurkituko du eta aplikazioa errukatzen hasiko da.