ALB i brendshëm me emër DNS publik: është vërtet i ekspozuar?

Ekzekutoni një kërkesë DNS publike kundër një balancuesi ngarkese të brendshëm dhe mund të merrni një adresë private, që duket si konfigurim i gabuar derisa të kontrolloni për çfarë është regjistrimi. AWS dokumenton se emrat e balancuesve të brendshëm mund të jenë publikisht të zgjidhshëm ndërsa nyjet e tyre mbajnë vetëm adresa private. Zgjidhësi u përgjigj ku është shërbimi; ai nuk krijoi një rrugë, nuk hapi një grup sigurie dhe nuk vërtetoi askënd. Nëse ajo përgjigje është problem varet nga fakte që mund të kontrolloni me radhë.

Hapi i parë: lexoni skemën, jo IP-në

Fusha e skemës është deklarata e vetë balancuesit për kufirin e tij. aws elbv2 describe-load-balancers --names app-internal kthen një Scheme me vlerën internal ose internet-facing, plus një lloj adrese për IPv4 ose stivë të dyfishtë. Një balancues i kthyer nga interneti mund të përcjellë gjithsesi te objektiva privatë, prandaj shikimi i adresave private të backend-it nuk provon asgjë për pjesën e përparme.

Shkruani skemën përpara se të shikoni çdo gjë tjetër, sepse çdo gjykim i mëvonshëm varet prej saj. Ajo tregon edhe cilat kontrolla ekzistojnë, nga grupet e sigurisë dhe rregullat e dëgjuesit deri te grupi i veçorive të atij lloji balancuesi. Një skemë e kopjuar nga një pamje e vjetër e konsolës është më e keqe se asnjë shënim. Lexojeni përsëri nga API dhe ngjisni vlerën në tiketë.

Hapi i dytë: shihni se ku zgjidhet emri

Pyetni nga jashtë VPC me dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com dhe vini re nëse përgjigjet janë në 10.0.0.0/8, 172.16.0.0/12 ose 192.168.0.0/16. Një përgjigje private nga një zgjidhës publik është sjellja e pritur për një emër balancuesi të brendshëm; nuk është provë që adresa është e rrugëtueshme nga interneti.

Zgjidhni të njëjtin emër nga brenda VPC dhe krahasoni. Nëse dy përgjigjet ndryshojnë, po shihni emërtim split-horizon, dhe ai ndryshim është detaj dizajni, jo rrjedhje.

Hapi i tretë: numëroni shtigjet që mund ta arrijnë

Një adresë private është e arritshme kudo ku ekziston një rrugë dhe një rregull sigurie. Numërojini me qëllim: VPN nga vendi në vend, VPN klienti, VPC peering, lidhje transit gateway, Direct Connect dhe çdo proxy ose bastion brenda VPC. Njëra prej tyre është shtegu i synuar, dhe të tjerat janë ato që do të kërkonte një sulmues.

Pastaj kontrolloni kontrollat në çdo shteg: grupet e sigurisë në balancues, ACL-të e rrjetit në nënrrjeta dhe rrugëtimi që e krijon shtegun fare. Shumica e rasteve të raportuara të shërbimit të brendshëm të ekspozuar zgjidhen këtu, ose sepse ekzistonte një peering i paqëllimtë ose sepse shtegu ishte i qëllimtë dhe aplikacioni nuk kishte vërtetim.

Hapi i katërt: provoni dëgjuesin dhe aplikacionin veçmas

Provoni të lidheni nga një rrjet që nuk duhet ta arrijë shërbimin dhe konfirmoni se nuk mundeni. Pastaj provoni nga një që duhet, dhe konfirmoni se arrini një dëgjues. Këto dy rezultate ndajnë arritshmërinë e rrjetit nga sjellja e aplikacionit, dhe janë prova e vetme që ka rëndësi për çështjen e ekspozimit.

Një dëgjues i arritshëm nuk është i njëjtë me një aplikacion të aksesueshëm. Kontrolloni certifikatën TLS dhe politikën e protokollit, pastaj vërtetimin dhe autorizimin e vetë aplikacionit. Një mjet i brendshëm që pranon çdo thirrës në VPN-në e korporatës është i ekspozuar ndaj çdo laptopi të komprometuar në atë VPN, që është një rrezik tjetër nga një i kthyer nga interneti, por gjithsesi rrezik.

Mbani mend se kontrollat ndryshojnë sipas llojit. Muret e zjarrit të shtresës së aplikacionit lidhen me një familje balancuesish dhe jo me tjetrën, prandaj konfirmoni çfarë është në të vërtetë e disponueshme për skemën dhe llojin përpara jush në vend që të supozoni barazi.

Hapi i pestë: vendosni nëse vetë emri ka rëndësi

Zgjidhshmëria publike mund të zbulojë një emër shërbimi, një rajon dhe një interval adresash. Trajtojeni atë si një çështje zbulimi informacioni me përgjigje politike, jo si incident automatik: mbani termat e biznesit të ndjeshëm jashtë emrave të burimeve dhe shënoni zbulimin në regjistrin tuaj të rrezikut nëse konventa e emërtimit zbulon më shumë sesa dëshironi.

Nëse organizata dëshiron një përvojë emërtimi privat, një zonë e hostuar private mund të shërbejë një pseudonim që zgjidhet vetëm brenda VPC-ve të lidhura. Kjo ndryshon emrin që shohin përdoruesit; nuk e bën sekret emrin e gjeneruar nga ofruesi dhe nuk heq asnjë shteg rrjeti.

Mos u përpiqni t'i fiksoni adresat për të fshehur përgjigjen. Adresat e balancuesit ndryshojnë, fiksimi prish zakonet e validimit TLS, dhe kontrolli që ju nevojitet vërtet është kush mund të vendosë lidhjen dhe çfarë kërkon aplikacioni prej tyre. Kontrolloni katër faktet, shkruajini, dhe pyetja nuk është më e paqartë.