💍 🚶 👃🏾 Comment configurer Elasticsearch pour qu'il n'y ait pas de fuites 🤸🏾 👩🏿‍🏭 🎮

Au cours de la dernière année, il y a eu de nombreuses fuites dans les bases de données Elasticsearch ( ici , ici et là ). Dans de nombreux cas, des données personnelles ont été stockées dans la base de données. Ces fuites pourraient être évitées si, après le déploiement de la base de données, les administrateurs prenaient la peine de vérifier quelques paramètres simples. Aujourd'hui, nous en parlerons.

Nous réservons immédiatement que, dans notre pratique, nous utilisons Elasticsearch pour stocker des journaux et analyser les journaux des outils de protection des informations, du système d'exploitation et des logiciels dans notre plate-forme IaaS qui répondent aux exigences de 152-, Cloud-152.

Vérifiez si la base de données «colle»

Dans la plupart des cas connus de fuites ( ici , ici ), l'attaquant a eu accès aux données simplement et sans prétention: la base de données a été publiée sur Internet, et il était possible de s'y connecter sans authentification.

Tout d'abord, nous traiterons de la publication sur Internet. Pourquoi cela est-il ainsi? Le fait est que pour un fonctionnement plus flexible d'Elasticsearch, il est recommandé de créer un cluster de trois serveurs. Pour que les bases de données communiquent entre elles, vous devez ouvrir les ports. Par conséquent, les administrateurs ne restreignent pas l'accès à la base de données et vous pouvez vous connecter à la base de données où que vous soyez. Il est facile de vérifier s'il existe un accès externe à la base de données. Entrez simplement http: // [Nom IP / Elasticsearch]: 9200 / _cat / nœuds? Dans le navigateur ? V

Si vous parvenez à vous connecter, exécutez pour fermer.

Nous protégeons la connexion à la base de données

Maintenant, nous rendrons impossible la connexion à la base de données sans authentification.

Elasticsearch possède un module d'authentification qui restreint l'accès à la base de données, mais il ne se trouve que dans l'ensemble payant de plug-ins X-Pack (1 mois d'utilisation gratuite).

La bonne nouvelle est qu'à l'automne 2019, Amazon a ouvert ses bases qui croisent le X-Pack. La fonction d'authentification lors de la connexion à la base de données est devenue disponible sous une licence gratuite pour la version Elasticsearch 7.3.2., Et une nouvelle version pour Elasticsearch 7.4.0 est déjà en service.

L'installation de ce plugin est simple. Nous allons dans la console du serveur et connectons le référentiel:

basé sur RPM:

curl https://d3g5vo6xdbdb9a.cloudfront.net/yum/opendistroforelasticsearch-artifacts.repo -o /etc/yum.repos.d/opendistroforelasticsearch-artifacts.repo yum update yum install opendistro-security

Basé sur DEB:

wget -qO ‐ https://d3g5vo6xdbdb9a.cloudfront.net/GPG-KEY-opendistroforelasticsearch | sudo apt-key add -

Nous configurons l'interaction entre les serveurs via SSL

Lors de l'installation du plugin, la configuration du port de connexion à la base de données change. Il inclut le cryptage SSL. Pour que les serveurs de cluster continuent de fonctionner entre eux, vous devez configurer l'interaction entre eux à l'aide de SSL.

La confiance entre les hôtes peut être établie avec ou sans votre propre autorité de certification. Avec la première méthode, tout est clair: il suffit de contacter un spécialiste en CA. Nous passons immédiatement au second.

Créez une variable avec le nom de domaine complet:

export DOMAIN_CN="example.com"

Créez une clé privée:

openssl genrsa -out root-ca-key.pem 4096

Nous signons le certificat racine. Gardez-le comme la prunelle de vos yeux: s'il est perdu ou compromis, la confiance entre tous les hôtes devra être reconfigurée.

openssl req -new -x509 -sha256 \-subj "/C=RU/ST=Moscow/O=Moscow, Inc./CN=${DOMAIN_CN}" \ -key root-ca-key.pem -out root-ca.pem

Créez une clé d'administration:

openssl genrsa -out admin-key-temp.pem 4096 openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt \ -v1 PBE-SHA1-3DES -out admin-key.pem

Créez une demande de signature d'un certificat:

openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${DOMAIN_CN}/CN=admin " \ -key admin-key.pem -out admin.csr

Créez un certificat d'administrateur:

openssl x509 -req -extensions usr_cert -in admin.csr -CA root-ca.pem \ -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem

Créez des certificats pour le nœud Elasticsearch:

export NODENAME="node-01" openssl genrsa -out ${NODENAME}-key-temp.pem 4096 openssl pkcs8 -inform PEM -outform PEM -in ${NODENAME}-key-temp.pem -topk8 -nocrypt \ -v1 PBE-SHA1-3DES -out ${NODENAME}-key.pem

Créez une demande de signature:

openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${NODENAME}.${DOMAIN_CN}" \ -addext"subjectAltName=DNS:${NODENAME}.${DOMAIN_CN},DNS:www.${NODENAME}.${DOMAIN_CN}" \ -key ${NODENAME}-key.pem -out ${NODENAME}.csr

Nous signons le certificat:

openssl x509 -req -in node.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial \ -sha256 -out node.pem

Nous décomposons le certificat entre les nœuds Elasticsearch dans le dossier:

/etc/elasticsearch/

nous avons besoin des fichiers:

node-01-key.pem node-01.pem admin-key.pem admin.pem root-ca.pem

Configurez /etc/elasticsearch/elasticsearch.yml - changez le nom des fichiers de certificat en ceux générés par nous:

opendistro_security.ssl.transport.pemcert_filepath: node-01.pem opendistro_security.ssl.transport.pemkey_filepath: node-01-key.pem opendistro_security.ssl.transport.pemtrustedcas_filepath: root-ca.pem opendistro_security.ssl.transport.enforce_hostname_verification: false opendistro_security.ssl.http.enabled: true opendistro_security.ssl.http.pemcert_filepath: node-01.pem opendistro_security.ssl.http.pemkey_filepath: node-01-key.pem opendistro_security.ssl.http.pemtrustedcas_filepath: root-ca.pem opendistro_security.allow_unsafe_democertificates: false opendistro_security.allow_default_init_securityindex: true opendistro_security.authcz.admin_dn: − CN=admin,CN=example.com,O=Moscow Inc.,ST=Moscow,C=RU opendistro_security.nodes_dn: − CN=node-01.example.com,O=Moscow Inc.,ST=Moscow,C=RU

Nous changeons les mots de passe des utilisateurs internes

En utilisant la commande ci-dessous, nous affichons le hachage de mot de passe dans la console:

sh ${OD_SEC}/tools/hash.sh -p []

Remplacez le hachage du fichier par celui reçu:

/usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml

Configurer le pare-feu dans le système d'exploitation

Autorisez le lancement du pare-feu:

systemctl enable firewalld
Exécuter:

systemctl start firewalld

Nous autorisons la connexion à Elasticsearch:

firewall-cmd --set-default-zone work firewall-cmd --zone=work --add-port=9200/TCP --permanent

Redémarrage des règles de pare-feu:

firewall-cmd --reload
Nous dérivons les règles de travail:

firewall-cmd --list-all

Appliquer toutes nos modifications à Elasticsearch

Créez une variable avec le chemin d'accès complet au dossier avec le plugin:

export OD_SEC="/usr/share/elasticsearch/plugins/opendistro_security/"

Exécutez un script qui mettra à jour les mots de passe et vérifiera les paramètres:

${OD_SEC}/tools/securityadmin.sh -cd ${OD_SEC}/securityconfig/ \ -icl -nhnv -cacert /etc/elasticsearch/root-ca.pem \ -cert /etc/elasticsearch/admin.pem \ -key /etc/elasticsearch/admin-key.pem

Vérifiez si les modifications ont été appliquées:

curl -XGET https://[IP/ Elasticsearch]:9200/_cat/nodes?v -u admin:[] --insecure

C'est tout, ce sont les paramètres minimum qui bloquent Elasticsearch d'une connexion non autorisée.