Veritabanı bağlantı noktaları internete açık mı kontrol edin

Maruziyet neden önemli

Veritabanları ve önbellekler, yabancıların değil kendi uygulamanızın erişmesi için tasarlanır. Redis, varsayılan kurulumlarda sıklıkla parolasız çalışır ve erişilebilir bir MySQL ya da PostgreSQL portu parola tahminine davet eder. Bu portları genel internetin dışında tutmak temel bir önlemdir.

Her sonucun anlamı

Açık bir port, veritabanının korumasız olduğu anlamına gelmez. Kimlik doğrulama ve ana bilgisayar kuralları girişi yine de reddedebilir. Servisin erişilebilir olduğu ve daha yakından incelenmesi gerektiği anlamına gelir.

Yaygın düzeltmeler

1. Veritabanını localhost ya da özel bir ağ adresine bağlayın.
2. Portu yalnızca uygulama sunucularınızdan kabul eden bir güvenlik duvarı kuralı ekleyin.
3. Bulut sunucuları için yalnızca ana bilgisayar güvenlik duvarını değil, güvenlik grubunu ve ağ ACL kurallarını da gözden geçirin.
4. Portun artık görünmediğini doğrulamak için yeniden tarayın.

Bu kontrolün sınırları

Yalnızca üç varsayılan port test edilir. Özel bir portta çalışan veritabanı tespit edilmez. Kapalı, filtrelenmiş ve erişilemeyen portlar aynı boş sonucu verir, bu yüzden temiz bir tarama yalnızca bu portların buradan bağlantı kabul etmediği anlamına gelir, başka bir şey değil. Yalnızca sahibi olduğunuz ya da yönettiğiniz sunucuları tarayın.

Maruziyet bilerek yapıldığında

Bazı kurulumlar veritabanını bilerek dışarı açar. Örneğin izin verilen adreslerin listesinden bağlantı kabul eden yönetilen bir servis ya da diğer bölgelerin bağlandığı bir kopya sunucu böyledir. Sizin durumunuz buysa bu taramada açık bir port beklenen bir durumdur. Sorulması gereken soru, izin listesinin erişimi gerçekten sınırlayıp sınırlamadığıdır. Bunu, portun o listenin dışındaki adreslerden istediğiniz gibi davrandığını doğrulayarak kontrol edebilirsiniz.

Maruziyetin istenmediğini düşünüyorsanız, açık bir veritabanı portunu bugün düzeltilmesi gereken bir bulgu olarak ele alın, ardından veritabanı günlüklerinde tanımadığınız adreslerden gelen bağlantı denemelerine bakın.