Shodan odwołuje się do publicznie dostępnych maszyn, które działają w ten sposób:

Po prostu tego nie rób.

Edytuj: analogia jest istotna! Shodan łączy się z maszynami i prosi o ich „baner”, publicznie dostępny tekst, który może po prostu powiedzieć: „aby wejść, użyj domyślnego hasła: 1234”. Możesz chcieć uniknąć pukania do drzwi przez proste rozwiązanie polegające na zainstalowaniu gigantycznej kałamarnicy jako strażnika przed drzwiami (metaforycznie, zapora ogniowa), ale tak naprawdę znacznie bezpieczniej byłoby skonfigurować hasło inne niż domyślne.

Projekt Shodan jest całkiem fajny, ale w jego rdzeniu nie jest czymś więcej niż dużą bazą danych honkin nmap. Projekt obejmuje skanery, które rutynowo skanują Internet i publikują wyniki w bazie danych. Ta baza danych jest tym, czego szukasz. Ponieważ używają standardowych procedur wykrywania, zabezpieczenia, które zastosowałbyś dla normalnego skanowania, powinny cię tutaj chronić.

1. Skonfiguruj odpowiednio swoje zapory. - Oznacza to, że w przypadku wszelkich świadczonych usług ogranicz je tak bardzo, jak to możliwe. Jeśli masz tylko 5 osób zajmujących się marketingiem przy użyciu Twojej aplikacji internetowej, nie ma potrzeby, aby cały świat z niej korzystał. Dowiedz się, jakie zastosowania ma marketing przestrzeni adresowej i otwórz ją tylko dla nich. (Możesz także zezwolić na rozwiązania zdalnego dostępu, ale to zależy od Ciebie).
2. Wyczyść swoje banery. - Wiele banerów domyślnie zawiera mnóstwo informacji. Na przykład, domyślnie serwer httpd Apache powie ci, jaka to jest wersja, na jakim systemie operacyjnym działa, jakie moduły ma włączone itd. To jest naprawdę niepotrzebne. Serwer httpd serwera Apache ma ustawienia konfiguracyjne, aby podawać mniej informacji, ale szczegóły będą zależeć od hostowanej usługi.
3. Zapory sieciowe powinny po cichu blokować. Domyślnie wiele zapór wysyła adresy docelowe ICMP, które są zabronione administracyjnie, gdy odrzucają pakiety. Dzięki temu skaner będzie wiedział, że coś istnieje na tym porcie, po prostu nie można go uderzyć. Włączenie trybu ukrytego, cichego lub dowolnego innego trybu powoduje, że połączenia po prostu przekroczą limit czasu po zakończeniu skanera. Dla nich będzie to wyglądało na to, że host w ogóle nie istnieje.

W przypadku większości użytkowników domowych jedynym urządzeniem podłączonym do Internetu jest router.

Jak więc zabezpieczyć router przed takimi rzeczami jak Shodan?

• Po pierwsze, zmień domyślne hasło . Każdy uzbrojony w narzędzie do skanowania adresów IP (wypróbowałem Angry IP Scanner) może Cię znaleźć, jeśli wprowadzi odpowiedni zakres adresów IP i włamie się za pomocą standardowego loginu admin / admin . Co mogą zrobić, jeśli mają ten dostęp?
  • Mogą uzyskać hasło do Twojego połączenia szerokopasmowego (aw niektórych przypadkach zacząć kraść przepustowość)
  • Mogą skonfigurować przekierowanie portów i uzyskać na twoje komputery / urządzenia.
  • Mogą zmienić twój serwer DNS i przekierować przeglądanie do swoich złośliwych klonów stron internetowych. Dopóki witryna nie korzysta z SSL, nie będziesz w stanie wiedzieć, że tak się dzieje. Zwróć uwagę, że SSL w witrynie może nie wystarczyć - większość ludzi nie zauważyłaby, gdyby były obsługiwane wersje http ich ulubionych witryn https.
  • Mogą po prostu zepsuć router.
• Inną rzeczą do zrobienia jest wyłączenie zdalnego zarządzania ( przykład dla routerów Linksys). Powoduje to ukrycie stron konfiguracyjnych routera przed światem zewnętrznym, więc ludzie nie mogą się do nich dostać, nawet jeśli spróbują brutalnego wymuszenia. (Ponadto nie pojawi się podczas skanowania adresu IP, chyba że masz przekierowanie portów). Zauważ, że są przypadki, w których chciałbyś, aby ta opcja była włączona - zostawiłem ją włączoną przez krótki czas podczas testowania rzeczy. Ale zazwyczaj nie ma nic złego w tym.
• Sprawdź reguły przekierowania portów. Nawet jeśli naprawisz powyższe dwa, przekierowany port przekłada się na bezpośrednie połączenie z komputerem. W większości przypadków nie powinieneś mieć żadnych przekierowanych portów. Jeśli jesteś graczem, możesz mieć kilka portów specyficznych dla gier. (Zazwyczaj porty są tak dobrane, aby nie zakłócały niektórych innych usług). Upewnij się, że nic nie przekazuje dalej do portów 21,22,3389. Jeśli tak, upewnij się, że hasła ssh / ftp / zdalnego pulpitu są bezpieczne (lub ssh / ftp / rdp są wyłączone). Prawdopodobnie istnieją inne porty, które zapewniają łatwy sposób przejęcia maszyny, ale nie mogę wymyślić żadnego OTOH.

Na komputerze sprawdź zaporę. Postaraj się, aby było tak restrykcyjne, jak to tylko możliwe, bez niszczenia rzeczy.

Zauważ, że aby zatrzymać Shodan specjalnie dla systemu domowego, potrzebujesz tylko punktu 1 lub 2. Jednak wymieniłem resztę, ponieważ Shodan może łatwo poprawić się, aby dalej analizować połączenia routerów.

Krótka odpowiedź jest taka, że ​​jeśli świadczysz publicznie dostępną usługę (np. w ogólnym Internecie), Twoja usługa musi być dostępna i dlatego wyszukiwarki takie jak shodan mogą ją znaleźć, a wszystkie shodan robią to, aby indeksować publicznie dostępne Informacja.

Co możesz zrobić, to zminimalizować informacje znalezione przez shodan, usuwając banery z dostępnych usług, a także zapewniając usunięcie takich rzeczy, jak domyślne dane uwierzytelniające (standardowa dobra praktyka bezpieczeństwa).

Również jeśli usługa, którą masz uruchomioną, nie musi być dostępna w całym Internecie (tj. tylko niektóre osoby muszą mieć do niej dostęp), używanie zapór ogniowych do ograniczania źródłowych adresów IP, które mogą dotrzeć do usługi, jest również skuteczną ochroną przed wykryciem przez rzeczy takie jak Shodan.

Jeszcze jedna teoretyczna ochrona (którą powiedziałbym, że jest złym podejściem, ale ze względu na kompletność wspomnę) polega na tym, że gdybyś mógł znaleźć zakresy adresów IP używane przez shodan, spróbuj go konkretnie zablokować.

Ryzyko, które sprawia, że ​​shodan wydaje się „przerażające” polega na tym, że istnieje ogromna liczba systemów, które zostały umieszczone w Internecie z ustawieniami domyślnymi i bardzo niewiele uwagi poświęcono bezpieczeństwu. Niestety, ludzie, którzy umieszczają systemy w Internecie w tym stanie, prawdopodobnie nie będą wystarczająco świadomi bezpieczeństwa, aby podjąć działania, takie jak blokowanie shodan ...

Jeszcze jedna rzecz, o której należy wspomnieć, to fakt, że nawet blokowanie rzeczy takich jak shodan nie pomóc w walce z takimi rzeczami, jak projekt Internet Census, który miał miejsce w zeszłym roku. To wykorzystywało dużą liczbę zainfekowanych systemów do skanowania całego Internetu. Wynik projektu jest dostępny jako torrent i byłbym skłonny założyć się, że wielu badaczy i napastników przegląda obecnie dane w poszukiwaniu rzeczy do ataku (które prawdopodobnie znajdą)

wyszukiwarka, która może znajdować i zezwalać na dostęp do niezabezpieczonych urządzeń połączonych z Internetem.

Prawdziwym pytaniem w Shodan jest, dlaczego te urządzenia są przede wszystkim skierowane do Internetu . To nie usprawiedliwia potrzeby zmiany domyślnych informacji konfiguracyjnych, ale pozostawienie drukarki ogólnodostępnej jest po prostu głupie.

Istnieje środek bezpieczeństwa, którego możesz użyć przeciwko temu rodzajowi rzeczy - VPN dla pracowników zdalnych i zapora ogniowa. Jest to zasób korporacyjny, więc wymagaj od użytkowników rzeczywistego łączenia się z siecią firmową ze wszystkimi wynikającymi z tego ograniczeniami. Jeśli tego nie zrobisz, nie masz pojęcia, kto loguje się do urządzenia w Twojej sieci. Umieść urządzenie za zaporą sieciową i poproś użytkowników o zalogowanie się.

Następnie, na niepowodzenie numer dwa - jest to dość oczywiste - zmień te ustawienia domyślne. Większość organizacji ma jakieś zasady zarządzania zasobami, które powinny obejmować zarządzanie poświadczeniami logowania do nich, zwłaszcza jeśli mają być w sieci. Urządzenie powinno być bezpiecznie skonfigurowane.

Jeśli nie jest możliwe bezpieczne skonfigurowanie urządzenia z powodu jakiegoś błędu wprowadzonego przez producenta, silnik robi nam przysługę, ujawniając go - to wywrze presję na te firmy, aby naprawić ich problemy.

Wreszcie możesz (i moim zdaniem) ukryć informacje z serwerów, np. Ciągi wersji Apache. To nie usprawiedliwia ani nie zastępuje prawidłowej konfiguracji zabezpieczeń i pilnie aktualizowanego oprogramowania, ale nie ma też powodu, aby mówić atakującemu wszystko o swoim systemie.

Jeśli masz usługi, które chcesz ujawnić sobie za pośrednictwem publicznego adresu IP, ale chcesz je ukryć przed resztą świata, możesz użyć funkcji pukania portów, aby ukryć urządzenia przed ogólnym portem skanuje, jednocześnie udostępniając je komuś, kto wie, jak zapukać, bez połączenia VPN. Mam kilka domowych kamer internetowych, do których czasami chcę mieć dostęp z pracy, ale zapora sieciowa w pracy nie pozwala mi zainicjować połączenia VPN z moją zaporą domową.

Dlatego „pukam” 3 porty na mojej domowej zaporze sieciowej i umożliwia połączenia z pukającego adresu IP do kamer.

Pukanie do portów jest dość słabym zabezpieczeniem ze strony kogoś, kto jest zdeterminowany, aby włamać się do Twojej sieci, ponieważ pukania można łatwo wykryć (uderzenia są w rzeczywistości hasłem wysyłanym zwykłym tekstem), ale brutalne forsowanie portów jest prawie niemożliwe, nawet jeśli atakujący wiedział, że używane jest pukanie do portów - 3 losowe porty dają około 48-bitową entropię hasła, więc jest całkiem bezpieczna przed przypadkowy haker. Sieć VPN byłaby bezpieczniejsza, ponieważ szyfruje wszystko.

Ponadto, ponieważ działa na poziomie IP, po odblokowaniu portów z mojego służbowego adresu IP każdy w pracy może uzyskać do nich dostęp, ponieważ wszyscy mają do nich dostęp ten sam adres IP. (są to zewnętrzne kamery w DMZ, których zwykle używam do sprawdzania psa, więc nie martwię się zbytnio, że ktoś w pracy je zobaczy, ale tak naprawdę nie chcę, aby zobaczył ich cały świat)

Więcej informacji o zaletach / wadach portknockingu znajdziesz tutaj:

• Pukanie do portów - czy to dobry pomysł? [Stackexchange]

Komentator zauważył, że 48 bitów entropii to niewiele, co jest prawdą w przypadku czegoś takiego jak hasło, gdzie jeśli atakujący może uzyskać hash, może wykonać atak offline i testować miliony lub biliony kombinacji na sekundę. Jednakże, ponieważ każdy atak brutalnej siły polegający na stukaniu portów jest ograniczony opóźnieniami sieci i ograniczeniami przepustowości, 48 bitów to wciąż sporo entropii. Aby skutecznie wymusić hasło, trzeba by średnio N / 2 zgadywać, gdzie w tym przypadku N = 2 ^ 48, więc N / 2 = 2 ^ 47

Każde zgadnięcie oznacza wysłanie 3 syn pakiety do pukania do 3 portów, więc zakładając 60 bajtów na pakiet SYN, musiałbyś wysłać 2 ^ 47 * 3 * 60 = 2,5 x 10 ^ 16 bajtów lub 22 petabajty.

Korzystając z mojego domowego połączenia internetowego 15mbit, wysłanie takiej ilości danych zajęłoby 510 lat.

I to ignoruje opóźnienie sieci, gdybyś mógł wysłać pukanie i natychmiast przetestować pukanie z opóźnieniem 1 ms (typowe opóźnienie ping w świecie rzeczywistym z mojej sieci domowej do pierwszego przeskoku z sieci mojego dostawcy usług internetowych wynosi 13 ms), brutalne wymuszenie zajmie 2 ^ 47 ms, czyli 4000 lat.

I oczywiście, wszystko to zakłada, że ​​możesz zgadywać bez ograniczeń, zanim demon port knock cię zignoruje lub zanim zauważyłem, że coś pochłania całą moją przepustowość przychodzącą (mój dostawca internetu z pewnością by to zauważył i dusiłby mnie)

I ignoruje również to, że wiedza o tym, czy udało Ci się uderzyć, sama dodaje entropię, jeśli nie wiesz, który port sprawdzić - moje kamery nasłuchują na niektórych nieoczywistych portach, więc dodaje kolejne 16 bitów entropii .

Tak więc, jak powiedziałem, pukanie do portów jest słabym zabezpieczeniem, ponieważ tak łatwo je wąchać, ale nie jest łatwo wymuszone.

Po prostu upewnij się, że Twoje urządzenia są bezpieczne i nie reklamuj ich obecności, jeśli nie jest to konieczne. Możesz skorzystać z usług takich jak ShieldsUp firmy Gibson Research, aby łatwo sprawdzić, czy masz porty w połączeniu sieciowym, które odpowiadają na usługi z publicznego internetu.

Jeśli masz cokolwiek, co pokazuje, że tak nie jest nie trzeba, wyłącz usługę i zablokuj port na routerze. Jeśli potrzebujesz usługi, upewnij się, że jest ona odpowiednio zabezpieczona, aby nie można jej było łatwo nadużyć. Niewiele można zrobić z faktem, że usługi dostępne publicznie, które muszą odpowiadać na żądania, będą wykrywane przez skanowanie portów. Próba uniknięcia tego jest trochę podobna do próby uniknięcia kogoś, kto wie, gdzie jest Twój sklep, kiedy może po prostu przejechać ulicą i spojrzeć na znak.

Możesz spróbować zdjąć znak (usuń banery , zmień domyślne porty itp.), aby utrudnić komuś rozpoznanie, co robi sklep (czym jest usługa), ale tak naprawdę nie możesz ukryć faktu, że na parceli znajduje się budynek (usługa na porcie ).

Najlepsza ochrona, jaką można kiedykolwiek zaoferować w celu ochrony przed skanami shodan, jest taka sama, jak w przypadku innych skanów.

• Prawidłowo skonfiguruj oprogramowanie, system HIPS i zaporę ogniową.
• Zbuduj swoje serwery tak, aby działały w kontenerach (np. Bsd jails / linux container / windows sandboxie).
• Upewnij się, że na serwerze nie działają żadne podatne na ataki wersje oprogramowania.
• Limit szybkości niewłaściwe połączenia (tj. połączenia inicjowane przez człowieka, które pojawiają się w małym oknie)
• Wyeliminuj wszelkie banery serwera oferowane przez Twoje oprogramowanie.
• Wreszcie, Null Przekieruje wszystkie nadużywane adresy IP. Mianowicie te z shodan i inne wymienione na listach RBL.

Oczywistą odpowiedzią jest pierwszy, aktualny pakiet zabezpieczeń i dobrze skonfigurowane oprogramowanie z najnowszymi poprawkami bezpieczeństwa. Chociaż w dzisiejszych czasach jest to powszechna norma, nie różni się niczym od zwykłego rzucania wilkom swojego systemu z pochodnią. Wszystkie zabezpieczenia (w historii świata rzeczywistego i wirtualnego) są zbudowane na warstwach.

Jeśli zbudujesz swój system tak, aby działał w środowisku piaskownicy, to jeśli coś pójdzie nie tak, możesz przywrócić działającą wersję wcześniejszą. do problemu i przeanalizuj, co poszło nie tak. Ma to również tę dodatkową zaletę, że jest zwinnym serwerem, w którym jeśli błąd zostanie wprowadzony z jakiegokolwiek powodu, złośliwego lub nie, możesz po prostu wrócić do działającej wersji w kilka chwil i nie mieć przestojów.

Po prostu ograniczanie i eliminowanie banerów i wszelkich innych cech identyfikujących utrudnia wyliczenie serwerów lub zebranie informacji, co jest pierwszym krokiem w penetracji.

Wreszcie zerowe trasowanie i użycie list RBL pomaga odgrodzić dobrze znane nieuczciwe adresy IP, takie jak znane węzły złośliwego oprogramowania / botnetu, nieuczciwi / złośliwi użytkownicy i witryny hakerskie jako usługa, takie jak shodan.

Jeśli będziesz przestrzegać tych zasad, internet nie jest strasznym miejscem już, ponieważ pokonałeś już „barbarzyńców”, zanim jeszcze założyli strony na twoim serwerze.