赶紧#LockTheDoor
按理说，到了现在，安全领域应该已经没有什么能让我感到意外了。
也许我并不是感到惊讶，而是感到失望。
令人失望的是，连最基本的安全原则都没有遵守。比如，锁好门。
最近的一份报告来自Lacework，该报告强调有必要重申一项常见的核心安全规则：
切勿让管理控制台保持开放状态
该报告通过扫描互联网，发现“超过21,000个容器编排和API管理系统”可公开访问。
鉴于其中95%运行在AWS上，这本身并不令人担忧。如果要在公有云中部署容器和API网关，就需要具备相应的管理能力，而这通常需要通过某种运维控制台来实现。
令人担忧的是，其中有300多个仪表板无需任何凭据即可访问。
需要指出的是，提到这一生存性风险的不只有Lacework报告。早在2017年5月，RedLock云安全报告就公布了一项发现：数百个Kubernetes管理控制台无需凭据即可通过互联网访问。
因此，这并不是什么新问题，但在其进一步得到广泛采用之前，我们需要尽量提前应对。攻击者会利用这些开放的控制台启动自己的容器，从事各种恶意活动，例如比特币挖矿和运行僵尸程序。他们的目标未必是您的数据，而是免费的计算资源，以及一批尚未被互联网各处拒绝列表屏蔽的新IP地址。
攻击者还想利用这些环境中屡见不鲜、不受限制的出站访问。RedLock最新报告发现：“与安全组关联的资源中，有85%完全不限制出站流量。相比一年前的80%，这一比例有所上升。”由于出站流量不受限制，RedLock团队还发现，其监控的Amazon部署主机中约有39%“呈现出与实例遭入侵或攻击者侦察相关的活动模式”，这并不令人意外。
如果正在运行任何基于Web或API的控制台，就必须对其实施严格的访问控制。至少应要求用户提供凭据。
我知道，各组织都有大量安全规则和检查清单，可能让人不知从何入手。但几乎所有这些要求都可以归纳为以下三项核心安全规则：
1. 切勿信任用户输入。 任何时候都不要。
2. 切勿对凭据进行硬编码。任何时候都不应如此。
3. 切勿让管理控制台处于开放状态。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。