83億條記錄泄露，運(yùn)營商Elasticsearch數(shù)據(jù)庫被脫機(jī)
據(jù)外媒報(bào)道，泰國移動運(yùn)營商 Advanced Info Service (AIS) 子公司 Advanced Wireless Network (AWN) 控制的 Elasticsearch 數(shù)據(jù)庫可被公開訪問，數(shù)據(jù)庫中包含了約 83 億記錄，數(shù)據(jù)體量約為 4.7 TB，每 24 小時增加 2 億記錄。
根據(jù) BinaryEdge 的數(shù)據(jù)顯示，Elasticsearch 數(shù)據(jù)庫于 2020 年 5 月 1 日首次被公開訪問，5 月 7 日，安全研究員 Justin Paine 發(fā)現(xiàn)該數(shù)據(jù)庫可公開訪問。Justin Paine 表示：“這不是未經(jīng)身份驗(yàn)證就暴露給 Internet 的單個服務(wù)器。我找到的主數(shù)據(jù)庫分布在三個 Elasticsearch 節(jié)點(diǎn)組成的集群，另外，我還找到了第四個包含相似數(shù)據(jù)的 Elasticsearch 數(shù)據(jù)庫。”
據(jù)了解，該數(shù)據(jù)庫的數(shù)據(jù)量處于一直不斷增長的情況，每 24 小時會添加大約 2 億行新數(shù)據(jù)。截至 2020 年 5 月 21 日，數(shù)據(jù)庫中共存儲了 8336189132 條記錄，數(shù)據(jù)是 NetFlow 數(shù)據(jù)和 DNS 查詢?nèi)罩镜慕M合。
奇怪的是，DNS 查詢僅記錄了 8 天（2020 年 4 月 30 日到 2020 年 5 月 7 日），共捕獲了 3376062859 個 DNS 查詢?nèi)罩?，每秒記?2538 個 DNS 事件，但不知出于何種原因，8天之后攻擊者突然停止了記錄 DNS 查詢。
1.泄露的數(shù)據(jù)有何影響？
據(jù)了解，在整個數(shù)據(jù)庫暴露期間，NetFlow 數(shù)據(jù)一直在被捕獲，泄露的數(shù)據(jù)中有 50 億行數(shù)據(jù)是 NetFlow 數(shù)據(jù)，以每秒 3200 個事件的速率被記錄。
注：NetFlow 是思科公司開發(fā)的一種網(wǎng)絡(luò)協(xié)議，用于收集 IP 流量信息和監(jiān)控網(wǎng)絡(luò)流量。通過對流量數(shù)據(jù)的分析，可以建立網(wǎng)絡(luò)流量和流量的圖像。
NetFlow 數(shù)據(jù)泄露有何影響呢？NetFlow 信息記錄了哪個源 IP 將不同類型的流量發(fā)送到一個特定的目標(biāo) IP，以及傳輸了多少數(shù)據(jù)。以下圖為例，這是對目標(biāo) IP 地址的 HTTPS (TCP 端口 443) 請求，我們對目標(biāo) IP 進(jìn)行反向 DNS 查找，就可以快速識別此人將使用 HTTPS 的網(wǎng)站。
簡單來說，通過這些泄露的NetFlow數(shù)據(jù)，我們可以判斷出該 IP 所有者及家人的相關(guān)信息，包括擁有多少設(shè)備、設(shè)備的型號、使用過哪些軟件、訪問了哪些社交網(wǎng)站等等。
（上圖是 DNS 查詢獲得的數(shù)據(jù)）
2. 如何避免這種情況呢？
相信很多人也發(fā)現(xiàn)了，這次發(fā)生泄露的數(shù)據(jù)庫又是 Elasticsearch。由于不少開發(fā)人員及其團(tuán)隊(duì)在認(rèn)知上更多地把 Elasticsearch 看成是與 MySQL 同等的存儲系統(tǒng)，所以在部署以后并沒有太多地關(guān)心其訪問控制策略和數(shù)據(jù)安全，而且 Elastisearch 開箱即用的特點(diǎn)也讓開發(fā)和運(yùn)維人員放松了對安全的重視，所以 Elasticsearch 數(shù)據(jù)泄露的比例很高。
如何避免呢？其實(shí)這也是個老生常談的問題了，我們曾多次建議大家采取以下措施：
- 服務(wù)器必須要有防火墻，不能隨意對外開放端口；
- Elasticsearch 集群的端口包括 TCP 和 HTTP，都不能暴露在公網(wǎng)；
- Elasticsearch 集群禁用批量刪除索引功能；
- Elasticsearch 中保存的數(shù)據(jù)要做基本的脫敏處理；
- 加強(qiáng)監(jiān)控和告警，能夠在安全事件發(fā)生的第一時間感知并啟動緊急預(yù)案，將損失降到最低。
另外，由于這次泄露的數(shù)據(jù)主要是 NetFlow 數(shù)據(jù)，所以也需要針對此做出措施。ISP 收集 NetFlow 數(shù)據(jù)是無法避免的，它們會跟蹤連接的來源和流量的目的地，但是 DNS 查詢?nèi)罩締栴}是可以解決的，建議使用 DoH 和 DoT 來保護(hù) DNS 通信。據(jù)了解，目前 Mozilla Firefox、谷歌 Chrome、Internet Explorer Edge、Android 都支持 DoH 和 DoT，微軟的 Windows 10 也將很快支持。
