ALB ya ndani na jina la DNS la umma: je, kweli imefichuliwa?

Endesha utafutaji wa DNS wa umma dhidi ya kibalansi cha mzigo cha ndani na unaweza kupata anwani ya kibinafsi, ambayo inaonekana kama usanidi mbaya hadi ukague rekodi ni ya nini. AWS inaandika kwamba majina ya vibalansi vya ndani yanaweza kutatuliwa hadharani wakati nodi zao zina anwani za kibinafsi tu. Kitatuzi kilijibu wapi huduma iko; hakikuunda njia, hakikufungua kikundi cha usalama na hakikuthibitisha mtu yeyote. Ikiwa jibu hilo ni tatizo inategemea ukweli ambao unaweza kukagua kwa mpangilio.

Hatua ya kwanza: soma mpangilio, si IP

Sehemu ya mpangilio ni tamko la kibalansi yenyewe kuhusu mpaka wake. aws elbv2 describe-load-balancers --names app-internal hurudisha Scheme yenye thamani ya internal au internet-facing, pamoja na aina ya anwani kwa IPv4 au tabaka mbili. Kibalansi kinachoelekea intaneti bado kinaweza kusambaza kwa malengo ya kibinafsi, kwa hivyo kuona anwani za nyuma za kibinafsi hakuthibitishi chochote kuhusu upande wa mbele.

Andika mpangilio kabla ya kuangalia kitu kingine chochote, kwa sababu kila hukumu ya baadaye inategemea huo. Pia inasema ni vidhibiti gani vipo, kutoka vikundi vya usalama na kanuni za msikilizaji hadi seti ya vipengele vya aina hiyo ya kibalansi. Mpangilio ulionakiliwa kutoka picha ya skrini ya konsoli ya zamani ni mbaya zaidi kuliko hakuna kidokezo. Soma tena kutoka API na ubandike thamani kwenye tiketi.

Hatua ya pili: angalia jina linatatuliwa kwenda wapi

Uliza kutoka nje ya VPC kwa dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com na uangalie kama majibu yako ndani ya 10.0.0.0/8, 172.16.0.0/12 au 192.168.0.0/16. Jibu la kibinafsi kutoka kwa kitatuzi cha umma ni tabia inayotarajiwa kwa jina la kibalansi cha ndani; si ushahidi kwamba anwani inaweza kupitishwa kutoka intaneti.

Tatua jina lile lile kutoka ndani ya VPC na linganisha. Ikiwa majibu mawili yanatofautiana, unaona uwekaji majina wa split-horizon, na tofauti hiyo ni maelezo ya muundo, si uvujaji.

Hatua ya tatu: orodhesha njia zinazoweza kuifikia

Anwani ya kibinafsi inafikiwa popote njia na kanuni ya usalama zipo. Ziorodheshe kwa makusudi: VPN ya tovuti-hadi-tovuti, VPN ya mteja, peering ya VPC, viungo vya transit gateway, Direct Connect na proksi au bastion yoyote ndani ya VPC. Moja yao ni njia iliyokusudiwa, na zilizobaki ni zile ambazo mshambuliaji angezitafuta.

Kisha kagua vidhibiti kwenye kila njia: vikundi vya usalama kwenye kibalansi, ACL za mtandao kwenye subneti na uelekezaji unaofanya njia iwepo kabisa. Kesi nyingi zilizoripotiwa za huduma ya ndani iliyofichuliwa hutatuliwa hapa, ama kulikuwa na peering isiyokusudiwa au njia ilikusudiwa na programu haikuwa na uthibitishaji.

Hatua ya nne: jaribu msikilizaji na programu kwa nje tofauti

Jaribu kuunganisha kutoka mtandao ambao haupaswi kufikia huduma na uthibitishe kwamba huwezi. Kisha jaribu kutoka ule unaopaswa, na uthibitishe kwamba unafikia msikilizaji. Matokeo hayo mawili yanatenganisha ufikivu wa mtandao na tabia ya programu, na ndiyo ushahidi pekee unaojalisha kwa swali la ufichuzi.

Msikilizaji anayefikiwa si sawa na programu inayofikiwa. Kagua cheti cha TLS na sera ya itifaki, kisha uthibitishaji na idhini ya programu yenyewe. Zana ya ndani inayokubali mpigaji yeyote kwenye VPN ya kampuni imefichuliwa kwa kila kompyuta ya mkononi iliyoathirika kwenye VPN hiyo, ambayo ni hatari tofauti na ile inayoelekea intaneti lakini bado ni hatari.

Kumbuka kwamba vidhibiti vinatofautiana kwa aina. Firewall za tabaka la programu hushikamana na familia moja ya vibalansi na si nyingine, kwa hivyo uthibitishe kile kinachopatikana kwa kweli kwa mpangilio na aina iliyo mbele yako badala ya kudhani usawa.

Hatua ya tano: amua kama jina lenyewe ni muhimu

Utatuzi wa umma unaweza kufichua jina la huduma, eneo na kiwango cha anwani. Ichukulie kama swali la ufichuzi wa taarifa lenye jibu la sera, si tukio la kiotomatiki: weka maneno nyeti ya biashara nje ya majina ya rasilimali, na andika ufichuzi kwenye rekodi yako ya hatari ikiwa kanuni ya uwekaji majina inafichua zaidi ya unavyotaka.

Ikiwa shirika linataka uzoefu wa uwekaji majina wa kibinafsi, eneo la mwenyeji la kibinafsi linaweza kutoa jina lingine linalotatuliwa tu ndani ya VPC zinazohusiana. Hilo linabadilisha jina ambalo watumiaji wanaona; halifanyi jina lililozalishwa na mtoa huduma kuwa siri na haliondoi njia yoyote ya mtandao.

Usijaribu kubandika anwani ili kuficha jibu. Anwani za kibalansi hubadilika, kubandika huvunja tabia za uthibitishaji wa TLS, na kidhibiti unachohitaji kwa kweli ni nani anaweza kuanzisha muunganisho na programu inachodai kutoka kwao. Kagua ukweli nne, andika, na swali haliwi na utata tena.