Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"75% общедоступных серверов Redis поражены вредоносным ПО"	+/–
Сообщение от opennews (??), 02-Июн-18, 21:59
Исследователи из компании Imperva проанализировали (https://www.imperva.com/blog/2018/06/new-research-shows-75-o.../) состояние публично доступных серверов Redis, из-за недосмотра или ошибки конфигурации принимающих запросы из глобальной сети без аутентификации. Сканирование открытого порта 6379 в сервисе Shodan выявило (https://www.shodan.io/search?query=port%3A6379) 72 тысячи принимающих соединения серверов, из которых только 10 тысяч корректно смогли обработать запрос без ошибки. Проверка специфичных для известного вредоносного ПО ключей на ответивших Redis-серверах показала, что 75% из них поражены вредоносным ПО, как правило выполняющим  майнинг криптовалют. Для определения связанных с вредоносным ПО ключей и изучения поведения атакующих был создан подставной honeypot-сервер, который был атакован менее чем через сутки после появления в сети. Суть зафиксированных на подставном сервере атак сводится к созданию в памяти пары ключ/значение с последующим экспортом данных в файл, размещённый в доступных на запись каталогах со сценариями автоматического выполнения заданий, таких как /var/spool/cron/crontab и /etc/crontabs. Как правило атакующие запускали код для загрузки и запуска систем майнинга и подменяли ssh-ключи в локальной ФС для организации последующего удалённого входа на сервер. Примечательно, что в разных зафиксированных атаках сохранялись идентичные ssh-ключи, что свидетельствует об активности  ботнета, контролируемого одними и теми же злоумышленниками. URL: https://www.imperva.com/blog/2018/06/new-research-shows-75-o.../ Новость: https://www.opennet.ru/opennews/art.shtml?num=48705
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (-), 02-Июн-18, 21:59	+/–
Наберут на работу в системные администраторы по блату, а потом сервера заражёнными оказываются.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5, #7, #9, #26, #34

4. Сообщение от Ю.Т. (?), 02-Июн-18, 22:39	–2 +/–
"Honeypot" это и есть "подставной" или "подсада".
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #15

5. Сообщение от SubGun (ok), 02-Июн-18, 22:55	–1 +/–
Даже по блату, чтобы выставить сервера в открытый доступ, надо постараться. Я уже и не помню, когда последний раз видел сервера в дмз. А если человек делает нат, оставляя открытым доступ, значит это ему нужно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #6

6. Сообщение от XoRe (ok), 02-Июн-18, 23:07	+/–
> Даже по блату, чтобы выставить сервера в открытый доступ, надо постараться. Виртуалка на хостинге (amazon, digitalocean, ...) в открытом доступе по внешнему ip. "listen 0.0.0.0" есть, фаервола нет и привет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #10, #13, #55

7. Сообщение от ыы (?), 02-Июн-18, 23:08	+/–
> Наберут на работу в системные администраторы по блату, а потом сервера заражёнными > оказываются. " - а ты свою CRC давно проверял? - а при чем тут моя CRC...ой! " (с) анекдот из жизни компьютеров конца прошлого века
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #36

8. Сообщение от Аноним (-), 02-Июн-18, 23:32	+3 +/–
Зато как приятно развернуть сервер в два клика и с наслаждением смотреть, как у коммандлайновых старпёров подгорает от зависти.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12, #30, #47

9. Сообщение от lucentcode (ok), 02-Июн-18, 23:37	+/–
А где гарантия, что сисадмин там вообще был? Очень часто бывают варианты вроде: проект перерос уже шаред, давай на мощный VPS его. Перетащил разраб сайта с его владельцем сай, читают советы по оптимизации, видят что можно на VPS заюзать кэш и сессии в redis. Быстро ставят по кривым манам, особо не разбираясь, указывают 0.0.0.0 или внешний IP сервера в качестве интерфейса, запускают проект с кэшем и сессиями в redis и радуются. Осваивать нормальную настройку redis, правила файрвола и т.п. разрабу нафиг не нужно. Он не админ, ему то что... Что заказчик попросил, то он и сделал. А заказчик тупо сэкономил. Заплатить разрабу за перенос сайта на VPS и немного за дополнительные движения проще, чем разрабу за перенос платить, а затем пришлому админу за нормальную настройку сервисов на сервере. Так люди годами и живут, пока им письмо счасться не прилетит от саппортов хостинга, или IP адрес сервера не загремит в DNSBL какой-то, а то и в Google Safe browsing, потому что на серваке всё завирусовано будет по самое никуда и на него начнут прилетать жалобы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #11

10. Сообщение от Аноним (-), 02-Июн-18, 23:59	–3 +/–
Это еще deops или уже нет?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

11. Сообщение от Аноним (-), 03-Июн-18, 00:01	+/–
Это был noops. Это ничего, людишки, скоро искусственный интеллект захавает вас всех!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #37

12. Сообщение от Аноним (-), 03-Июн-18, 00:03	+8 +/–
75% развернули в 2 клика и наслаждением смотрят. И когда школьники уже поумнеют?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #16

13. Сообщение от Григорий Федорович Конин (?), 03-Июн-18, 00:48	–2 +/–
> Виртуалка на хостинге (amazon, digitalocean, ...) в открытом доступе по внешнему ip. "listen 0.0.0.0" есть, фаервола нет и привет. Вы таки не забывайте что для этого вам ещё нужно в файрволле открыть порт!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #14, #46

14. Сообщение от Prototik (ok), 03-Июн-18, 01:25	+/–
Его для начала нужно включить, обычно там ACCEPT во все поля.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #44, #50

15. Сообщение от Аноним (-), 03-Июн-18, 02:52	+8 +/–
> "Honeypot" это и есть "подставной" или "подсада". Это сервер пчеловодов
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #56

16. Сообщение от Аноним (-), 03-Июн-18, 07:21	–2 +/–
Как раз двумя кликами безопаснее, т.к. меньше возможностей налажать)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #19

17. Сообщение от An (??), 03-Июн-18, 08:04	+/–
Из года в год одно и то же
Ответить | Правка | Наверх | Cообщить модератору

19. Сообщение от Аноним (-), 03-Июн-18, 10:38	+/–
Тот, кто готовит сборку для установки в два клика, не может знать всех ваших обстоятельств. Если даже при этом вы считаете, что вы меньше знаете как и что надо сделать, то это... это печально.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #22

22. Сообщение от Аноним (-), 03-Июн-18, 10:57	+/–
Да и к тому же, кто гововят пакеты, могут сами лажануться с умолчальными настройками.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #40

24. Сообщение от Аноним (24), 03-Июн-18, 12:16	+/–
DevOps в чистом виде. Сколько я ни видывал девопсов, все недалёкие люди, помешанные на докерах, а как оно работает внутри они себе почти не представляют, даже настроить нжинкс перед вордпрессом на апаче (как синтетический пример) они не способны. Пожинаем результаты девопсизации индустрии.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #38, #39, #52

26. Сообщение от Аноним (-), 03-Июн-18, 13:45	+2 +/–
Дык быстро же, рапид деплоймент во все поля у недобизнесов. Хипстота образок в докере развернула, и смузи пить ушла - красота! Все приколы вылезут чуть попозже.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #60

30. Сообщение от PereresusNeVlezaetBuggy (ok), 03-Июн-18, 16:00	+1 +/–
> Зато как приятно развернуть сервер в два клика и с наслаждением смотреть, > как у коммандлайновых старпёров подгорает от зависти. Командлайновые старпёры пишут что-то вроде «redis-deploy W.X.Y.Z», [Enter], причём быстрее, чем хипстер попадёт своими кликами куда надо. А дальше командлайновые старпёры делают что-то ещё, пока скрипт (сценарий Ansible или что там ещё) разворачивает виртуалку/контейнер/сервис.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

34. Сообщение от Аноним (-), 03-Июн-18, 17:06	+/–
Серверы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

36. Сообщение от Xasd (ok), 03-Июн-18, 17:20	–1 +/–
разжуй чуть-чуть.. CRC от чего?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #42

37. Сообщение от Аноним (-), 03-Июн-18, 17:45	+2 +/–
Скорее его через открытый порт нагнут и добывать руду заставят
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #61

38. Сообщение от Аноним (-), 03-Июн-18, 17:49	+2 +/–
Если на смузи хватает то какая разница как там работает?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

39. Сообщение от KonstantinB (ok), 03-Июн-18, 18:25	+2 +/–
Это вопрос профессионализма. Всегда были "сисадмины", которые кроме apt-get install, толком ничего не умели. Теперь они посмотрели видеокурсы по докеру и называют себя девопсами. Профессионалы же освоили новые инструменты и применяют их там, где они нужны, а не потому что это модно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #45

40. Сообщение от Аноним (-), 03-Июн-18, 18:51	–2 +/–
А вот и секта установки Генту в прод подъехала. Здравствуйте, ребята, чувствуйте себя как дома.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

42. Сообщение от уцсукмы (?), 03-Июн-18, 19:32	+10 +/–
Антивирус. Ты кто? Вирус. Область данных! Антивирус. А не вирус? Вирус. Hи боже мой! Антивирус. А зачем прерывания перехватываешь? Вирус. Я?! Антивирус. Вот же подпрограмма. Вирус. Это не подпрограмма. Это цитата из Лао-цзы на языке оригинала в альтернативной кодировке. Антивирус. А зачем EXE-файлы ищешь? Вирус. А вдруг хозяин спросит: "А где мои ЕХЕ-файлы?" А я ему - вот они! Антивирус. Сдается мне, что ты все-таки вирус. Вирус. Hу ладно, только тебе признаюсь, только ты никому не говори! Hа самом деле я... антивирусная вакцина! Антивирус. А зачем нужна антивирусная вакцина, если есть я? Вирус. Откуда я знаю? У хозяина спроси. Антивирус. А если я тебя на всякий случай все-таки грохну? Вирус. А если я тебя? Антивирус. Hе получится. У меня управление. Вирус. А ты свою контрольную сумму давно пересчитывал? Антивирус. А причем тут моя контрольная... ой!!! Вирус. То-то же.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

44. Сообщение от Аноним (-), 03-Июн-18, 22:08	+/–
в шапке это не так.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

45. Сообщение от username (??), 03-Июн-18, 22:09	+1 +/–
Плюсую, два разных мира. Вопрос на собеседовании начинаю с механики namespaces в ядре. Девопсята смузихлебы сразу понимают что не туда попали. Часто уходят еще до конца со словами "я передумал" или "не думаю что мне здесь нравится")
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #48

46. Сообщение от XoRe (ok), 03-Июн-18, 22:16	–1 +/–
> Вы таки не забывайте что для этого вам ещё нужно в файрволле > открыть порт! Если вы не знали, в указанных мной хостерах виртуалкам обычно из коробки дается внешний ip адрес. Т.е., все что имеет "listen 0.0.0.0", сразу доступно из интернета.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #53

47. Сообщение от Аноним (-), 03-Июн-18, 22:45	+2 +/–
>Зато как приятно снять входную дверь и с наслаждением смотреть, как по квартире шастают незнакомые люди. исправил
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

48. Сообщение от KonstantinB (ok), 03-Июн-18, 23:34	–1 +/–
Вообще, в изначальном понимании идея devops очень правильная. Смысл был в том, чтобы наладить нормальную коммуникацию между админами и разработчиками, чтобы они понимали друг друга: админ в такой схеме понимает программирование и умеет в автоматизацию, а разработчики поставляют готовый для деплоя продукт, а не свалку кода, которая кое-как работает на машине разработчика с десятью костылями. Помню, когда мы делали на аутсорсе небольшой заказ для довольно крупной компании, их админы, изначально встретившие меня недовольными выражениями лиц и морально готовившиеся разгребать очередное гумно, получив готовый для развертывания проект с документацией, примерами инит-скриптов, файлов конфигурации и утилиту для управления и мониторинга, были в культурном шоке. :) Но в какой-то момент все это превратилось в известно что. Хотя многие хорошие специалисты тоже стали называть себя девопсами - так больше платят :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #49

49. Сообщение от Dmitry77 (ok), 04-Июн-18, 05:01	–1 +/–
terraform (https://www.terraform.io) стоящий инструмент?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #51

50. Сообщение от Анонимус2 (?), 04-Июн-18, 06:45	+/–
Может я каким другим амазоном пользовался, но у меня был по-умолчанию DROP
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

51. Сообщение от Andrey Mitrofanov (?), 04-Июн-18, 07:04	+/–
> terraform (https://www.terraform.io) стоящий инструмент? кабан, аджиль, девопс, https://zaitcev.livejournal.com/247391.html IaaC
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

52. Сообщение от Аноним (-), 04-Июн-18, 10:23	+/–
> настроить нжинкс перед вордпрессом на апаче как бы настроить это так что-бы оно умело одновременно https и http/правильно отдавало статику и не кэшировало то что не нужно ( да ещё и работало не требуя донастроек при всяких плагинах + могло обновляться ;) ) в принципе плохо выходит, а если ещё и 10-к vhost и не только wp на домене.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

53. Сообщение от mickvav (?), 04-Июн-18, 10:48	+1 +/–
Это от лени. Чаще всего во всяких хаутушечках под "открыть порт" понимается операция "iptables -I INPUT -p tcp --dport 1234 -j ACCEPT". И чтобы уметь туда добавить "-s 12.34.56.78" нужно уже "man iptables" осилить. К тому же, "облачные технологии" подразумевают зачастую, что ip-ники при каждом деплое будут новые, а настраивать скрипты деплоя так, чтобы сервера с базами всегда знали ip-ники серверов с клиентами - еще сложнее, чем прочитать "man iptables". А городить vpn-ку, чтобы база ходила в туннеле - может показаться пустой тратой ценного CPU. Вот и имеем, то что имеем - девелоперы на локалхосте убеждаются, что "все работает", "админ" на аутсорсе "занедорого" "настроил" сайтик и свалил. Результат - печален.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

54. Сообщение от Аноним (-), 04-Июн-18, 11:15	+/–
Теперь везде насрано майненгскриптами, куда не ткнись везде щкольные явамайнеры в тырнет стращно теперь..
Ответить | Правка | Наверх | Cообщить модератору

55. Сообщение от мимокрокодил_ноэтонеточно (?), 04-Июн-18, 11:40	+/–
В амазоне по умолчанию все порты в мир закрыты. Так что таки да, постараться нужно при том очень сильно
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

56. Сообщение от DeadLoco (ok), 04-Июн-18, 11:41	+1 +/–
Это сервер виннипухов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

57. Сообщение от Аноним (-), 04-Июн-18, 18:41	+/–
А всего лишь нужно было не перекладывать вопросы безопасности на пользователей и не давать по дефолту принимать запросы без аутентификации. Всех людей не исправишь, а вот софт исправить - 5 копеек.
Ответить | Правка | Наверх | Cообщить модератору

60. Сообщение от Аноним (-), 06-Июн-18, 08:10	+/–
Taщемта, стандартный докер-образ редиса никаких открытых портов снаружи не держит, а другие контейнеры могут обращаться к нему по встроенному локальному DNS-резолверу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

61. Сообщение от User999 (?), 13-Янв-23, 01:32	+/–
Мыло будет с пола поднимать
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема