Sprawdź, czy porty baz danych są wystawione do internetu

Dlaczego wystawienie ma znaczenie

Bazy danych i pamięci podręczne zbudowano po to, by korzystała z nich Twoja aplikacja, a nie obcy. Redis w domyślnych konfiguracjach często działa bez hasła, a dostępny port MySQL lub PostgreSQL zachęca do zgadywania haseł. Trzymanie tych portów poza publicznym internetem to podstawowa ostrożność.

Co oznacza każdy wynik

Otwarty port nie oznacza, że baza jest bez zabezpieczeń. Uwierzytelnianie i reguły hostów mogą nadal odrzucić logowanie. Oznacza, że usługa jest osiągalna i warta bliższego przyjrzenia.

Typowe poprawki

1. Przypisz bazę danych do localhost lub prywatnej sieci.
2. Dodaj regułę zapory, która przepuszcza port tylko z Twoich serwerów aplikacji.
3. Na serwerach w chmurze sprawdź też grupę zabezpieczeń lub ACL sieci, nie tylko zaporę hosta.
4. Przeskanuj ponownie, by potwierdzić, że port już się nie pojawia.

Ograniczenia tego testu

Sprawdzane są tylko trzy domyślne porty. Baza na niestandardowym porcie nie zostanie wykryta. Zamknięty, filtrowany i niedostępny daje ten sam pusty wynik, więc czysta lista oznacza tylko, że te porty nie przyjęły połączenia stąd, nic więcej. Skanuj wyłącznie serwery, których jesteś właścicielem lub które administrujesz.

Gdy wystawienie jest zamierzone

Niektóre konfiguracje celowo wystawiają bazę danych, na przykład zarządzaną usługę przyjmującą połączenia z listy dozwolonych adresów albo replikę, z którą łączą się inne regiony. W takim przypadku otwarty port w tym skanie jest oczekiwany. Pytanie brzmi, czy lista dozwolonych adresów naprawdę ogranicza dostęp. Sprawdzisz to, potwierdzając, że port zachowuje się tak, jak zamierzasz, z adresów spoza tej listy.

Jeśli nie zamierzałeś wystawiać bazy, traktuj otwarty port bazy danych jako problem do naprawy dziś, a potem przejrzyj logi bazy pod kątem prób połączeń z adresów, których nie rozpoznajesz.