Interný ALB s verejným DNS menom: je naozaj vystavený?

Spustite verejnú DNS požiadavku na interný nástroj na vyrovnávanie záťaže a môžete dostať späť súkromnú adresu, čo vyzerá ako chybná konfigurácia, kým nepreveríte, na čo záznam slúži. AWS dokumentuje, že mená interných nástrojov môžu byť verejne rozlíšiteľné, hoci ich uzly držia len súkromné adresy. Resolver odpovedal, kde sa služba nachádza; nevytvoril trasu, neotvoril bezpečnostnú skupinu ani nikoho neautentizoval. Či je táto odpoveď problém, závisí od faktov, ktoré môžete preveriť po poradí.

Krok prvý: čítajte schému, nie IP

Pole schémy je vlastné tvrdenie nástroja o jeho hranici. aws elbv2 describe-load-balancers --names app-internal vracia Scheme s hodnotou internal alebo internet-facing, plus typ adresy pre IPv4 alebo duálny zásobník. Nástroj obrátený do internetu môže stále preposielať na súkromné ciele, takže pohľad na súkromné adresy backendu nič nedokazuje o prednej časti.

Zapíšte schému, skôr než sa pozriete na čokoľvek iné, pretože od nej závisí každé ďalšie posúdenie. Hovorí aj o tom, aké kontroly existujú, od bezpečnostných skupín a pravidiel listenera po sadu funkcií daného typu nástroja. Schéma skopírovaná zo starého snímku konzoly je horšia ako žiadna poznámka. Prečítajte ju znova z API a vložte hodnotu do tiketu.

Krok druhý: pozrite sa, na čo sa meno prekladá

Pýtajte sa zvonku VPC pomocou dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com a poznamenajte, či odpovede ležia v 10.0.0.0/8, 172.16.0.0/12 alebo 192.168.0.0/16. Súkromná odpoveď z verejného resolvera je očakávané správanie pre meno interného nástroja; nie je dôkazom, že adresa je smerovateľná z internetu.

Vyriešte to isté meno zvnútra VPC a porovnajte. Ak sa obe odpovede líšia, vidíte split-horizon pomenovanie a tento rozdiel je detail návrhu, nie únik.

Krok tretí: vymenujte cesty, ktoré sa k nemu môžu dostať

Súkromná adresa je dostupná všade, kde existuje trasa a bezpečnostné pravidlo. Vymenujte ich zámerne: VPN medzi lokalitami, klientska VPN, VPC peering, pripojenia transit gateway, Direct Connect a akýkoľvek proxy alebo bastion vo VPC. Jedna z nich je zamýšľaná cesta a ostatné sú tie, ktoré by hľadal útočník.

Potom skontrolujte kontroly na každej ceste: bezpečnostné skupiny na nástroji, sieťové ACL na podsietiach a smerovanie, ktoré cestu vôbec vytvára. Väčšina hlásených prípadov vystavenej internej služby sa rieši tu: buď existoval nezamýšľaný peering, alebo bola cesta zamýšľaná a aplikácia nemala autentizáciu.

Krok štvrtý: testujte listener a aplikáciu oddelene

Skúste sa pripojiť zo siete, ktorá by k službe nemala dosiahnuť, a potvrďte, že nemôžete. Potom skúste z tej, ktorá by mala, a potvrďte, že dosiahnete listener. Tieto dva výsledky oddeľujú sieťovú dostupnosť od správania aplikácie a sú jediným dôkazom, ktorý pri otázke vystavenia záleží.

Dostupný listener nie je to isté ako prístupná aplikácia. Skontrolujte TLS certifikát a politiku protokolu, potom vlastnú autentizáciu a autorizáciu aplikácie. Interný nástroj, ktorý prijíma každého volajúceho na firemnej VPN, je vystavený každému kompromitovanému notebooku na tejto VPN, čo je iné riziko ako internetové vystavenie, ale stále riziko.

Pamätajte, že kontroly sa líšia podľa typu. Firewally aplikačnej vrstvy sa pripájajú k jednej rodine nástrojov a nie k druhej, preto si potvrďte, čo je pre schému a typ pred vami skutočne dostupné, namiesto predpokladu rovnosti.

Krok piaty: rozhodnite, či záleží na samotnom mene

Verejná rozlíšiteľnosť môže prezradiť meno služby, región a rozsah adries. Berte to ako otázku úniku informácií s politickou odpoveďou, nie ako automatický incident: držte citlivé obchodné termíny mimo názvov prostriedkov a poznamenajte prezradenie do registra rizík, ak konvencia pomenovania odhaľuje viac, než chcete.

Ak organizácia chce súkromné pomenovanie, súkromná hostovaná zóna môže slúžiť alias, ktorý sa rozlišuje len v pridružených VPC. To mení meno, ktoré používatelia vidia; nerobí meno generované poskytovateľom tajným a neodstraňuje žiadnu sieťovú cestu.

Nesnažte sa adresy pripínať, aby ste odpoveď skryli. Adresy nástroja sa menia, pripínanie kazí návyky validácie TLS a kontrola, ktorú skutočne potrebujete, je kto môže nadviazať spojenie a čo po ňom aplikácia vyžaduje. Preverte štyri fakty, zapíšte ich a otázka prestane byť nejednoznačná.