Dahili ALB ve genel DNS adı: gerçekten açıkta mı?

Dahili bir yük dengeleyicisine karşı genel bir DNS sorgusu çalıştırın; özel bir adres geri gelebilir ve bu, kaydın ne için olduğunu kontrol edene kadar yanlış yapılandırma gibi görünür. AWS, dahili yük dengeleyici adlarının herkese açık şekilde çözülebileceğini, ancak düğümlerinin yalnızca özel adresler tuttuğunu belgeler. Çözümleyici hizmetin nerede olduğunu yanıtladı; bir yol oluşturmadı, güvenlik grubu açmadı ve kimseyi doğrulamadı. Bu yanıtın sorun olup olmadığı, sırayla kontrol edebileceğiniz gerçeklere bağlıdır.

Birinci adım: IP'yi değil şemayı okuyun

Şema alanı, yük dengeleyicinin kendi sınırı hakkındaki kendi beyanıdır. aws elbv2 describe-load-balancers --names app-internal, internal veya internet-facing değerinde bir Scheme döndürür; ayrıca IPv4 veya çift yığın için adres türü verir. İnternete bakan bir yük dengeleyici yine de özel hedeflere yönlendirebilir, bu nedenle özel arka uç adreslerini görmek ön uç hakkında hiçbir şey kanıtlamaz.

Başka bir şeye bakmadan önce şemayı yazın, çünkü sonraki her değerlendirme ona bağlıdır. Hangi kontrollerin var olduğunu da söyler: güvenlik grupları ve dinleyici kurallarından o yük dengeleyici türünün özellik kümesine kadar. Eski bir konsol ekran görüntüsünden kopyalanan şema, hiç not olmamasından daha kötüdür. API'den yeniden okuyun ve değeri bilete yapıştırın.

İkinci adım: adın neye çözüldüğüne bakın

VPC dışından dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com ile sorgulayın ve yanıtların 10.0.0.0/8, 172.16.0.0/12 veya 192.168.0.0/16 içinde olup olmadığını not edin. Genel çözümleyiciden gelen özel yanıt, dahili yük dengeleyici adı için beklenen davranıştır; adresin internetten yönlendirilebilir olduğunun kanıtı değildir.

Aynı adı VPC içinden çözün ve karşılaştırın. İki yanıt farklıysa split-horizon adlandırma görüyorsunuz ve bu fark tasarım ayrıntısıdır, sızıntı değildir.

Üçüncü adım: ona ulaşabilecek yolları listeleyin

Özel bir adres, yol ve güvenlik kuralı olan her yerden erişilebilir. Bunları bilinçli olarak listeleyin: siteden siteye VPN, istemci VPN, VPC eşlemesi, transit gateway bağlantıları, Direct Connect ve VPC içindeki herhangi bir proxy veya bastion. Biri amaçlanan yoldur, geri kalanı bir saldırganın arayacağı yollardır.

Ardından her yoldaki kontrolleri inceleyin: yük dengeleyicideki güvenlik grupları, alt ağlardaki ağ ACL'leri ve yolu var eden yönlendirme. Bildirilen açıkta kalmış dahili hizmet vakalarının çoğu burada çözülür; ya istenmeyen bir eşleme vardı ya da yol amaçlanmıştı ve uygulamada kimlik doğrulama yoktu.

Dördüncü adım: dinleyiciyi ve uygulamayı ayrı ayrı test edin

Hizmete ulaşmaması gereken bir ağdan bağlanmayı deneyin ve ulaşamadığınızı doğrulayın. Sonra ulaşması gerekenden deneyin ve bir dinleyiciye ulaştığınızı doğrulayın. Bu iki sonuç ağ erişilebilirliğini uygulama davranışından ayırır ve açıkta kalma sorusu için önemli olan tek kanıt bunlardır.

Erişilebilir bir dinleyici, erişilebilir bir uygulamayla aynı şey değildir. TLS sertifikasını ve protokol politikasını, ardından uygulamanın kendi kimlik doğrulamasını ve yetkilendirmesini kontrol edin. Kurumsal VPN'de herhangi bir arayanı kabul eden dahili bir araç, o VPN'deki her ele geçirilmiş dizüstü bilgisayara açıktır; bu, internete bakan birinden farklı bir risktir ama yine de risktir.

Kontrollerin türe göre değiştiğini unutmayın. Uygulama katmanı güvenlik duvarları bir yük dengeleyici ailesine bağlanır, diğerine bağlanmaz; bu nedenle eşitlik varsaymak yerine önünüzdeki şema ve tür için gerçekte neyin mevcut olduğunu doğrulayın.

Beşinci adım: adın kendisinin önemli olup olmadığına karar verin

Genel çözülebilirlik bir hizmet adını, bir bölgeyi ve bir adres aralığını açığa çıkarabilir. Bunu politik yanıtı olan bir bilgi ifşası sorusu olarak ele alın, otomatik bir olay olarak değil: hassas iş terimlerini kaynak adlarının dışında tutun ve adlandırma kuralı istediğinizden fazlasını açığa çıkarıyorsa ifşayı risk kaydınıza not edin.

Kuruluş özel bir adlandırma deneyimi istiyorsa, özel bir barındırılan bölge yalnızca ilişkili VPC'ler içinde çözülen bir takma ad sunabilir. Bu, kullanıcıların gördüğü adı değiştirir; sağlayıcının oluşturduğu adı gizli yapmaz ve hiçbir ağ yolunu kaldırmaz.

Yanıtı gizlemek için adresleri sabitlemeye çalışmayın. Yük dengeleyici adresleri değişir, sabitleme TLS doğrulama alışkanlıklarını bozar ve gerçekten ihtiyacınız olan kontrol, bağlantıyı kimin kurabileceği ve uygulamanın onlardan ne istediğidir. Dört gerçeği kontrol edin, yazın ve soru artık belirsiz olmaktan çıkar.