Хакердсан веб гарц юу хүртэл хүрч чадах вэ?
Веб гарц нь зочин юу нээхийг хязгаарладаг бөгөөд хакердсан хост хаана холбогдож чадахыг биш. Хоёр хяналт, эрх мэдлийн хүснэгт, хүрэх боломжийг хэмжих командууд.
Гарцын хост нь гэрчилгээ хүчинтэй байхад нь хакердсан гэж үзье. Зочны ямар хуудсыг хүсэх боломжтойг зохицуулсан бүх дүрэм хүчинтэй хэвээр байх бөгөөд эдгээр дүрмийн аль нь ч халдагчийн одоо тэр хостос мэдээллийн сангийн дэд сүлжээ рүү нээж буй холболтыг хязгаарлахгүй. Энэ цоорхой нь зөвхөн веб нэвтрэх цэг нь сегментчилсэн сүлжээтэй ижил мэдэгдэл биш гэдгийг харуулж байна. Хоёр мэдэгдэлд өөр өөр эхлэх цэгээс тусдаа хяналт шаардлагатай бөгөөд тэдгээрийн аль нэгийг нь ч шударгаар хэлэх боломжгүй.
Хоёр мэдэгдэл, тэдгээрийн зөвхөн нэг нь зочноос эхэлдэг
Эхний мэдэгдэл хүний тухай: хөтөч, хүчинтэй сесс бүхий зочин нэг аппликейшн нээж чадна, өөр юу ч биш. Зөвхөн веб нэвтрэх цэг тэр мэдэгдэлд сайн хариулдаг, учир нь зочин зам биш хуудас авдаг. Тэр хариулт нь үнэ цэнэтэй бөгөөд энэ нь ихэнх диаграммын тэмдэглэдэг цорын ганц мэдэгдэл юм.
Хоёр дахь мэдэгдэл бүрэлдэхүүний тухай: гарц эсвэл түүний ард байгаа аппликейшны процесс өөр хэн нэгний хяналтад байна гэж үздэг. Энэ таамаглалаас асуулт аль URL зөвшөөрөгдсөнөөс процесс аль хүрэх газар, таних тэмдэгт хүрч чадах вэ гэдэг рүү өөрчлөгддөг.
Хоёр мэдэгдэл өөр эзэнтэй, өөр нотолгоо гаргадаг, бие даан бүтэлгүйтдэг. Таних тэмдгийн баг эхнийхийг сессийн туршилтаар харуулж чадна; хоёр дахь нь сүлжээний бодлого, үйлчилгээний бүртгэлийн хяналт, хостын хяналт шаарддаг. Зочны хагасыг л тэмдэглэдэг загвар хяналтын слайд дээр бүрэн, ослын үед нимгэн харагддаг, учир нь хакердсаны дараа чухал хяналтууд хэзээ ч хүрээнд байгаагүй. Аль хяналт аль мэдэгдлийг дэмждэг гэдгийг нэрлээрэй, эс бөгөөс нэг гарцын дүрэм хоёуланд нь тооцогдоно.
Боловсруулсан зардлын үйлчилгээ, түүний ялагдах хоёр зам
Зардлын үйлчилгээг авч үзье: 10.60.4.10 дахь нийтийн гарц ажилтнуудыг баталгаажуулж, батлагдсан хүсэлтүүдийг 8443 порт дахь аппликейшны сонсогч руу дамжуулдаг бөгөөд тэр аппликейшн expenses_app дүрээр 10.60.4.20:5432 дахь нэг PostgreSQL сонсогчид хүрдэг. Ажилтнууд ерөнхий дотоод хандалт авах ёсгүй. Хэвийн ажиллагаанд загвар нь мэдээллийн сангийн сонсогчийг хаана ч нийтлэхгүйгээр аппликейшнд тусгайлсан нэвтрэх боломжийг үнэхээр олгодог. Хаягууд чухал, учир нь энэ өгүүллийн дараах бүх шалгалт тэдгээрийг нэрлэдэг.
Одоо гарцыг итгэмжлэгдсэн олонлогоос хас. 10.60.4.10-ийн процесс халдагчид хамаарах болсны дараа ямар хүрэх газарт хүрч чадах вэ? Зочдыг хязгаарласан URL шүүлтүүр нь гарцын хост мэдээллийн сангийн дэд сүлжээ рүү нээж буй холболтын талаар юу ч хэлдэггүй.
Харин аппликейшны процессыг хас, тэгвэл эрх мэдэл хэлбэрээ өөрчилнө: expenses_app дүр, тэр сервер хүрч чадах үйлчилгээнүүд, тэр бүртгэл уншиж чадах файлууд. Хоёр тохиолдолд урд хаалга зөвхөн веб хэвээр байж болох бөгөөд арын хэсгийн хил байхгүй. Тиймээс урд хаалган дээрх шошго хоёр асуултын аль нэгэнд нь хариулт биш.
Хажуу тал бүрийн бодит эрх мэдлийг зурагла
Төлөвлөсөн зөвшөөрөл гэж бичсэн гэрээ загварыг танд буцааж давтдаг. Үүнийг эзэмшиж буй эрх мэдэл, илүүдлийг няцаах шалгалт, тэр шалгалтын эзэн гэж бичвэл мөр бүр шалгагдахуйц болно. Энэ хүснэгт дээрх жишээний санал бөгөөд бүтээгдэхүүний мэдэгдэл биш:
| Component | Authority it actually holds | Check that proves the denial | Owner of the check |
|---|---|---|---|
| Identity provider | Issues assertions and session cookies, and holds no network path of its own | A request to the application URL without a session is redirected to the login page | Identity team |
| Public gateway host | TCP reachability to whatever its routing table and egress rules permit | An egress rule drops 10.60.4.20:5432 and the probe reports the port filtered | Network platform team |
| Application role | SQL privileges granted to expenses_app inside the expenses database | A privilege query shows no ownership or create right on any other schema | Application team |
| Database listener | Accepts connections only from the source ranges named in its host-based rules | A connection from an unlisted address is refused before authentication | Database administrator |
| Management path | Administrative access reserved for patching, monitoring and recovery | A staff workstation cannot reach the administrative port or jump through it | Platform owner |
Өмчлөл эрх мэдлийг дагадаг. Таних тэмдгийн баг мэдэгдлүүдийг, сүлжээний платформын баг замуудыг, аппликейшны баг мэдээллийн сангийн дүрийг, мэдээллийн сангийн администратор сонсогч болон түүний хостод суурилсан дүрмийг, платформын эзэн удирдлагын хавтгайг эзэмшинэ. Эзэнгүй татгалзал бол баримт бичгийн өгүүлбэр, хяналт биш.
Хуваалт нь давхар тооцоог ч сэргийлнэ. Портын хязгаарлалт хүснэгтийн эрхийг илэрхийлж чадахгүй, мэдээллийн сангийн дүр нь хост хамааралгүй дэд сүлжээ рүү сокет нээхийг хориглож чадахгүй.
Гарц юунд хүрч чадахыг мэдэгдэхийн оронд тоол
Хилийн мэдэгдэл нь түүний ард байгаа тооллогоос илүү сайн биш. Гарцын хост дээр гурван команд нь замын сонголт, амьд шалгалт, гарах бодлогыг хамарна:
ip route get 10.60.4.20
nc -zv 10.60.4.20 5432
sudo nft list chain inet filter outputГаралтыг тэр дарааллаар уншина уу. Зам нь 10.60.4.20 тэр хостос огт сонгогддог эсэхийг хэлнэ; шалгалт нь сонсогч хариулж байгаа эсэхийг хэлнэ; дүрмийн жагсаалт нь бодлого пакетыг зогсоож байгаа эсэх, эсвэл түүний замд хэзээ ч юу ч байгаагүй эсэхийг харуулна.
Аппликейшны хостос тооллогыг давтана. Тэндээс мэдээллийн сангийн тал нь аппликейшны дүрээр ажиллуулсан нэг асуулга:
psql -h 10.60.4.20 -U expenses_app -d expenses -c 'select rolname, rolsuper, rolcreatedb from pg_roles'Өөр схем уншиж чадахгүй дүрийн дор амжилттай холболт нь эзний дүрийн дор амжилттай холболтоос өөр үр дүн. Зөвхөн хоёр дахь нь олдвор.
Татгалзлуудыг бүртгэж, дараа нь хяналтад огноо тавь
Хүлээн авалтыг зорилго биш үр дүн гэж бичдэг: ажилтны сесс сонсогчид хүрч чадахгүй, гарцын хост хамааралгүй дэд сүлжээнд хүрч чадахгүй, аппликейшны дүр мэдээллийн сан үүсгэж чадахгүй. Тус бүр нь нэрлэсэн эзэн, огноотой тусдаа шалгалт.
Хяналт, засвар, сэргээлтийг тэдэнд зориулсан удирдлагын замаар хүртээмжтэй байлга. Эзнээ ч блоклосон хил нь тасалдал болдог бөгөөд тэр тасалдалд өгдөг ердийн эхний хариу нь дүрмийг дахин өргөтгөх явдал юм. CISA-ийн периметрийн зааварчилгаа нь дотоод сүлжээний хоорондын урсгалыг оруулаад, зөвтгөгдсөн порт, протоколоор орж гарах хандалтыг хязгаарлахыг шаарддаг бөгөөд энэ нь ихэнх диаграммаас орхигддог, арын хэсгээс эхэлдэг чиглэл юм.
Хяналтад огноо тавьж, эзнийг нь нэрлэ. Гарцын дүрс, чиглүүлэлтийн хүснэгт эсвэл аппликейшны дүрд ямар нэг өөрчлөлт орсны дараа тооллого, эрхийн асуулгыг дахин ажиллуул.