ALB intern b'isem DNS pubbliku: huwa verament espost?

Mexxi tfittxija DNS pubblika kontra load balancer intern u tista' tirċievi indirizz privat lura, li jidher bħal konfigurazzjoni ħażina sakemm tiċċekkja għal xiex inhu r-rekord. AWS tiddokumenta li ismijiet ta' load balancers interni jistgħu jkunu resolvibbli pubblikament filwaqt li n-nodi tagħhom iżommu biss indirizzi privati. Ir-resolver wieġeb fejn huwa s-servizz; ma ħoloq ebda rotta, ma fetaħ ebda grupp ta' sigurtà u ma awtentika lil ħadd. Jekk dik it-tweġiba hijiex problema tiddependi fuq fatti li tista' tiċċekkja fl-ordni.

L-ewwel pass: aqra l-iskema, mhux l-IP

Il-qasam tal-iskema huwa d-dikjarazzjoni tal-load balancer stess dwar il-konfini tiegħu. aws elbv2 describe-load-balancers --names app-internal jirritorna Scheme b'valur internal jew internet-facing, flimkien ma' tip ta' indirizz għal IPv4 jew stack doppju. Load balancer li jħares lejn l-internet xorta jista' jgħaddi lejn miri privati, għalhekk li tara indirizzi backend privati ma jipprova xejn dwar il-parti ta' quddiem.

Ikteb l-iskema qabel ma tħares lejn xi ħaġa oħra, għax kull ġudizzju aktar tard jiddependi minnha. Tgħid ukoll liema kontrolli jeżistu, mill-gruppi ta' sigurtà u r-regoli tal-listener sal-sett ta' karatteristiċi ta' dak it-tip ta' load balancer. Skema kkopjata minn screenshot antik tal-console hija agħar minn ebda nota. Aqraha mill-ġdid mill-API u waħħal il-valur fit-ticket.

It-tieni pass: ara fiex jiġi resolvat l-isem

Staqsi minn barra l-VPC b'dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com u innota jekk it-tweġibiet humiex f'10.0.0.0/8, 172.16.0.0/12 jew 192.168.0.0/16. Tweġiba privata minn resolver pubbliku hija l-imġiba mistennija għal isem ta' load balancer intern; mhix prova li l-indirizz huwa routabbli mill-internet.

Irresolvi l-istess isem minn ġewwa l-VPC u qabbel. Jekk iż-żewġ tweġibiet huma differenti, qed tara ismijiet split-horizon, u dik id-differenza hija dettall tad-disinn, mhux tnixxija.

It-tielet pass: elenka l-mogħdijiet li jistgħu jilħquh

Indirizz privat jista' jintlaħaq minn kull fejn teżisti rotta u regola ta' sigurtà. Elenchhom b'mod intenzjonat: VPN minn sit għal sit, VPN tal-klijent, peering tal-VPC, konnessjonijiet ta' transit gateway, Direct Connect u kwalunkwe proxy jew bastion ġewwa l-VPC. Wieħed minnhom huwa l-mogħdija maħsuba, u l-oħrajn huma dawk li jfittex attakkant.

Imbagħad iċċekkja l-kontrolli fuq kull mogħdija: gruppi ta' sigurtà fuq il-load balancer, ACL tan-netwerk fuq is-subnets u r-routing li jagħmel il-mogħdija teżisti. Il-biċċa l-kbira tal-każijiet irrappurtati ta' servizz intern espost jiġu solvuti hawn, jew għax kien hemm peering mhux maħsub jew għax il-mogħdija kienet maħsuba u l-applikazzjoni ma kellhiex awtentikazzjoni.

Ir-raba' pass: ittestja l-listener u l-applikazzjoni separatament

Ipprova tgħaqqad minn netwerk li m'għandux jilħaq is-servizz u kkonferma li ma tistax. Imbagħad ipprova minn wieħed li għandu, u kkonferma li tilħaq listener. Dawn iż-żewġ riżultati jifirdu l-aċċessibilità tan-netwerk mill-imġiba tal-applikazzjoni, u huma l-unika prova li tgħodd għall-mistoqsija tal-espożizzjoni.

Listener li jintlaħaq mhuwiex l-istess bħal applikazzjoni aċċessibbli. Iċċekkja ċ-ċertifikat TLS u l-politika tal-protokoll, imbagħad l-awtentikazzjoni u l-awtorizzazzjoni tal-applikazzjoni stess. Għodda interna li taċċetta kwalunkwe sejjieħ fuq il-VPN korporattiva hija esposta għal kull laptop kompromess fuq dik il-VPN, li hija riskju differenti minn wieħed li jħares lejn l-internet imma xorta riskju.

Ftakar li l-kontrolli jvarjaw skont it-tip. Firewalls tal-livell tal-applikazzjoni jehlu ma' familja waħda ta' load balancers u mhux mal-oħra, għalhekk ikkonferma x'inhu verament disponibbli għall-iskema u t-tip quddiemek minflok ma tassumi ugwaljanza.

Il-ħames pass: iddeċiedi jekk l-isem innifsu għandux importanza

Ir-resolvibilità pubblika tista' turi isem ta' servizz, reġjun u firxa ta' indirizzi. Ittrattaha bħala mistoqsija ta' żvelar ta' informazzjoni b'tweġiba ta' politika, mhux bħala inċident awtomatiku: żomm termini kummerċjali sensittivi barra mill-ismijiet tar-riżorsi, u nnota l-iżvelar fir-reġistru tar-riskji tiegħek jekk il-konvenzjoni tal-ismijiet turi aktar milli trid.

Jekk l-organizzazzjoni trid esperjenza ta' ismijiet privata, żona ospitata privata tista' sservi alias li jiġi resolvat biss fil-VPC assoċjati. Dan jibdel l-isem li jraw l-utenti; ma jagħmilx l-isem iġġenerat mill-fornitur sigriet u ma jneħħi ebda mogħdija tan-netwerk.

Tippruvax tippinja l-indirizzi biex taħbi t-tweġiba. L-indirizzi tal-load balancer jinbidlu, il-pinjar jaqsam id-drawwiet tal-validazzjoni TLS, u l-kontroll li verament għandek bżonn huwa min jista' jistabbilixxi l-konnessjoni u x'inhu jitlob l-applikazzjoni minnhom. Iċċekkja l-erba' fatti, iktebhom, u l-mistoqsija ma tibqax ambigwa.