Rozdíly

Zde můžete vidět rozdíly mezi vybranou verzí a aktuální verzí dané stránky.

--- navody:vps:incidenty [2024/04/11 19:51] – Accessible mysql/postgres/smb, malware, open-redis aither
+++ navody:vps:incidenty [2025/08/16 12:26] (aktuální) – oomd aither
@@ Řádek 13: / Řádek 13: @@
 <code>
 [mysqld]
-bind-address = 127.0.01
+bind-address = 127.0.0.1
 </code>
@@ Řádek 19: / Řádek 19: @@
 IP adresám pomocí firewallu.
-===== IPv6-Accessible-MySQL =====
+===== Accessible-PostgreSQL =====
-Na portu **3306** máš přes **IPv6** veřejně dostupnou MySQL/MariaDB databází.
+Na portu **5432** máš přes **IPv4** veřejně dostupnou PostgreSQL databází.
 Pokud je to možné, tak nejlepší je nastavit databází tak, aby poslouchala
-jen na localhostu, např. v ''my.cnf'':
+jen na localhostu. V ''postgresql.conf'':
 <code>
-[mysqld]
+listen_addresses = localhost
-bind-address = 127.0.01
 </code>
@@ Řádek 32: / Řádek 31: @@
 IP adresám pomocí firewallu.
-===== Accessible-PostgreSQL =====
+===== Accessible-SMB =====
-Na portu **5432** máš přes **IPv4** veřejně dostupnou PostgreSQL databází.
+Na VPS máš nainstalovanou službu samba (smbd), která je dostupná z internetu,
+což se obecně nedoporučuje. Je vhodné použít buď VPN a povolit přístup jen
+přes síť VPN, nebo použít bezpečnější protokol, např. SFTP přes SSH.
+===== DNS-Open-Resolvers =====
+Na portu **53** máš spuštěný DNS resolver, který je po **IPv4** dostupný z internetu.
+DNS resolver by měl buď poslouchat jen na localhostu, nebo musí být nastaven tak, aby
+odpovídal jen na dotazy z vybraných sítí, např. adresy tvých VPS, síť z tvojí VPN, atp.
+Volně dostupné DNS resolvery jsou zneužívány k amplifikačním útokům -- požadavek je mnohem
+menší než odpověd, kterou DNS resolver zasílá zpět. Útočník toho využije a nechá odpověď
+zaslat na adresu oběti.
+===== IPv6-Accessible-MySQL =====
+Na portu **3306** máš přes **IPv6** veřejně dostupnou MySQL/MariaDB databází.
 Pokud je to možné, tak nejlepší je nastavit databází tak, aby poslouchala
-jen na localhostu. V ''postgresql.conf'':
+jen na localhostu, např. v ''my.cnf'':
 <code>
-listen_addresses = localhost
+[mysqld]
+bind-address = ::1
 </code>
@@ Řádek 56: / Řádek 70: @@
 IP adresám pomocí firewallu.
-===== Accessible-SMB =====
+===== IPv6-DNS-Open-Resolvers =====
-Na VPS máš nainstalovanou službu samba (smbd), která je dostupná z internetu,
+Na portu **53** máš spuštěný DNS resolver, který je po **IPv6** dostupný z internetu.
-což se obecně nedoporučuje. Je vhodné použít buď VPN a povolit přístup jen
+DNS resolver by měl buď poslouchat jen na localhostu, nebo musí být nastaven tak, aby
-přes síť VPN, nebo použít bezpečnější protokol, např. SFTP přes SSH.
+odpovídal jen na dotazy z vybraných sítí, např. adresy tvých VPS, síť z tvojí VPN, atp.
+Volně dostupné DNS resolvery jsou zneužívány k amplifikačním útokům -- požadavek je mnohem
+menší než odpověd, kterou DNS resolver zasílá zpět. Útočník toho využije a nechá odpověď
+zaslat na adresu oběti.
 ===== malware =====
@@ Řádek 84: / Řádek 102: @@
 všemožné konfigurační soubory a tvoje aplikace a data. Nejjistější je VPS přeinstalovat
 a nastavit jej znovu.
+===== oomd =====
+VPS se v danou chvíli pohybovalo na hraně limitu paměti, tj. procesy jsou zdrženy
+čekáním na volnou paměť, a současně drželo sdílené zámky v kernelu, což mělo negativní
+vliv na ostatní VPS a celý node.
+Je nutné si pohlídat konfiguraci služeb tak, aby se při dočasném navýšení provozu
+nespouštělo více obsluhujících procesů (typicky web server, apache2 workery, PHP, atp.),
+než kolik se do VPS vejde.
+===== open-memcached =====
+memcached bývá zneužíván k amplification útokům, kdy útočník využije tvůj memcached
+server k útoku na oběť díky tomu, že odpověd serveru je mnohem větší, než původní
+požadavek. Pokud memcached používáš jen lokálně, nejlépe ho nastav tak, aby
+poslouchal jen na localhostu. Jestliže k memcached přistupuješ z vícero VPS,
+nastav si firewall tak, aby nebyl dostupný z veřejného Internetu.
 ===== open-portmapper =====
@@ Řádek 124: / Řádek 158: @@
 Příklady a zdroj: https://www.cyberciti.biz/faq/how-to-save-iptables-firewall-rules-permanently-on-linux/
-===== open-memcached =====
-memcached bývá zneužíván k amplification útokům, kdy útočník využije tvůj memcached
-server k útoku na oběť díky tomu, že odpověd serveru je mnohem větší, než původní
-požadavek. Pokud memcached používáš jen lokálně, nejlépe ho nastav tak, aby
-poslouchal jen na localhostu. Jestliže k memcached přistupuješ z vícero VPS,
-nastav si firewall tak, aby nebyl dostupný z veřejného Internetu.
 ===== Open-Redis =====

Znalostní báze

Uživatelské nástroje

Nástroje pro tento web

Rozdíly

Nástroje pro stránku