Sieltä on paljastunut pääsynhallinnan ongelmia ja laiminlyötyjä securitypatcheja alustapuolelta. Onko näillä onnistuttu jotain pahaa tekemään on sitten eri juttu. Ihan perinteisiä IT-ylläpitojuttuja.
Tietoturva & kyberhyökkäykset
- Viestiketjun aloittaja fraatti
- Aloituspäivämäärä
Hempuli
Töllintunaaja
On kohta ollut kauemmin päällä kuin 10 vuotta sitten yksi kantapalvelimme, josta jostakin syystä otin kuvan. Ajettiin varmaan ingres alas, kun palvelua ei enää tarvittu. Otin kyllä kuvia parista muustakin palvelimesta ihan uptime:n takiakin. Nuo olivat natiivipannuja eikä pöpöistä silloin mitään havaintoa.
Näissä pitää sitten muistaa, että yhden palvelimen uptime ei vielä paljoa kerro mitään kokonaisjärjestelmän vikasietoisuudesta. Kun halutaan kunnolla vikasitoista ympäristöä tehdä, niin se koostuu niin monesta osa-alueesta, että edelleenkin väitän että kotikutoisesti sellaisen tekeminen on erittäin vaikeaa ja kallista.
Siis:
- Fyysinen hajautus maantieteellisesti
- Internet-yhteyksien kahdennus
- Varavirta kaikille purkeille
- DDoS suojaus
- DNS palveluiden luotettavuus
- No single-point-of failurea järjestelmässä
Azuren tapauksessa esimerkiksi erittäin erittäin kovan tason saa, jos hajauttaa järjestelmän siten, että varajäjärjestelmä pyörii Azure Germany -datakeskuksessa, mikä on totaalisesti eristetty muusta Azuresta, ja sitä pyöritetään kokonaan toisella henkilökunnalla kuin globaalia Azurea.
Yksinkertaisesti ei ole mitään yhteyttä noiden välillä, joten mikään globaali Azure vika ei kaada Azure Germanya.
Siis:
- Fyysinen hajautus maantieteellisesti
- Internet-yhteyksien kahdennus
- Varavirta kaikille purkeille
- DDoS suojaus
- DNS palveluiden luotettavuus
- No single-point-of failurea järjestelmässä
Azuren tapauksessa esimerkiksi erittäin erittäin kovan tason saa, jos hajauttaa järjestelmän siten, että varajäjärjestelmä pyörii Azure Germany -datakeskuksessa, mikä on totaalisesti eristetty muusta Azuresta, ja sitä pyöritetään kokonaan toisella henkilökunnalla kuin globaalia Azurea.
Yksinkertaisesti ei ole mitään yhteyttä noiden välillä, joten mikään globaali Azure vika ei kaada Azure Germanya.
haraldh
Vakionaama
Viime perjantainahan Microsoft ja HPE joutuivat julkaisemaan viimeisimmän tietomurron jossa venäläiset oli pääsyt mm MS:n johdon ja HPE tietoturvatiimin o365:een. Tekivät sen mm antamalle itselleen roimasti oikeuksia GraphAPI:ssa. Venäläiset olivat olleet sisällä kuukausia. Tulkitsen tämän kyllä niin että Azure on korkattu. Mutta too big to fall.
Tuo GraphAPIhan ei ole varsinaisesti Azurea, vaan enemmänkin Entraa/Office365:ttä. Mutta ei tietenkään mikään ole täysin tietoturvallista, mutta kyllä Azure / AWS on kuitenkin serious shit, mitä tulee tietoturvaan ja fyysiseen turvallisuuteen.
Minä en kyllä paukuttelisi henkseleitäni 7½ vuoden uptimellä (2761 days), vaan pikemminkin päinvastoin. Ellei tuo systeemi sitten ole täysin eristyksessä ihan kaikesta muusta. Esimerkkinä jo pelkästään syyskuun julkaisu Ubuntu 22.04 Docker-imagesta sisältää yhden High-tason haavoittuvuuden, uusimmassakin (25.2.2024) on 13 Low-tason haavoittuvuutta.
Hempuli
Töllintunaaja
Ei 7,5 vuoden uptimella ole muuta tarkoitusta, kun osoittaa, että pannut itsessään ovat luotettavia elleivät ole vuoden 2014 jälkeen teknisesti huonontuneet. Mitä pöpöihin tulee, niin niitä tehdään kaikista mieluummin käyttiksiin, johon niitä helpoimmin saa tehtyä ja joilla on hyvä levinneisyys. Mutta kuten @Mikki totesi, niin kokonaisuus ratkaisee. Myös luotettavuuden nosto 99,99% tasolta 99,99999 tasolle alkaa näkymään myös kustannuksissa.
Pannujen luotettavuus on myös vähän eri, sen mukaan että mitä niillä tehdään. Kyllä fyysinen rauta on kovilla jos sitä ajetaan 7,5 vuotta tuotantokuorman alla 24h/365. En kyllä hetkeäkään luottaisi, että vaikka miten hyvän serverin ostaisi, että se pelittäisi kovassa ajossa noin pitkään.
Vähintäänkin virtalähde on kovilla. Ja samoin SSD levyjen luku/kirjoituskerrat alkaa olemaan hurjat, jos kokoajan dataa luetaan ja kirjoitettaan levylle reipasta tahtia.
Vähintäänkin virtalähde on kovilla. Ja samoin SSD levyjen luku/kirjoituskerrat alkaa olemaan hurjat, jos kokoajan dataa luetaan ja kirjoitettaan levylle reipasta tahtia.
Hempuli
Töllintunaaja
Omat tietotekniset ajat päättyivät juuri 2014, joten niistä ajoista on menty aimo harppaus eteenpäin ja kelkasta on pudottu lujaa. Mutta kyllä silloin jo oli servereissä tuplapowerit, 3xpeililevyt ja raid-levyjärjestelmät cachella, jos IO-kuormaa oli enemmän. Mutta kaikenlaiset hyökkäykset olivat harvinaisempia kuin tänään, mutta nekin olivat winkku/linux-hemmojen pulmia.
Sitten kun katsotaan internetin vikasietoisuutta, niin väitän, että pilvi on tuhonnut sen. Tarkoitus oli olla kunnolla hajautettu järjestelmä ja pilvi siirsi kaiken muutamiin käsiin.
Kieltämättä tuossa on perää. Melkoinen ylivalalta on Internetissä Googlella, Microsoftilla ja Amazonilla. Ja sitten pääälle muutamat isot Kiinalaiset pilvet.
Eikä pelkästään pilvi vaan myös sisällöt. Nykyinen internet on lähinnä internetin rauniot. Onneksi joku jaksaa vielä pyörittää näitä foorumejakin.
Ollut koko aikansa internetissä kiinni julkisella ipv4:lla ja kutosella sisältäen reverse tietueet. Joskus aikanaan pystytin. Ainoa prosessi mikä kuuntelee ulkomaailmaa on käsin konffattu nginx, jota on toki pidetty yllä. Proxyää siitä erilaisiin palveluihin, jotka on omissa konteissaan. Pää hostiin auki ainoastaan SSH ja sekin pelkillä moderneilla avaimilla (ei salasanoja). Joka kontista menee full kopio joka päivä.
Mutta tämä ei ole pääpointti vaan pääpointti on hajautus ja eri tavat. Millään rikollisorganisaatiolla ei ole pienintäkään intressiä systeemiin, ellei se aukea scriptkiddie tason välineillä (cost/reward aivan liian pieni - pilvi saa ihmiset uskomaan kummallisiin valheisiin. Esim. kodeissa aika heppoisat suojaukset, mutta on helvetin työlästä murtautua kaikkiin koteihin).
Viimeksi muokattu:
Joskus 25 vuotta sitten osa frendeistä signeerasi kaikki systeemin tiedostot ja veti systeemit alas jos ei mätsänny (nykysin kaikki paljon dynaamisempaa). Pilvessä ja muualla puheista huolimatta tietoturvan taso on ihan pilipalia. Todennäköisesti suurin osa luottaa lopulta siihen, että kun rikos on tapahtunut, kyse on rikosasiasta (toki oma perse jotenkin suojaten).
Tunnen itse pilvipalveluista parhaiten Azuren. Siinä jos teet koodin sille Azure functions alustalle, niin hyökkäyspinta hakkerille on todella todella pieni. Ellei jopa lähellä mahdotonta, ellet itse kämmää koodilla pahasti.
Pidän sitä äärimmäisen hyvänä alustana tehdä taustapalvelut. Lisäksi kustannukset pysyvät todella hyvin kurissa, vaikka luotettavuus on helposti laitettavissa tasolle, mistä en todellakaan haluaisi nähdä hintalappua jos ostaisi raudan itse.
Pidän sitä äärimmäisen hyvänä alustana tehdä taustapalvelut. Lisäksi kustannukset pysyvät todella hyvin kurissa, vaikka luotettavuus on helposti laitettavissa tasolle, mistä en todellakaan haluaisi nähdä hintalappua jos ostaisi raudan itse.
Kuitenkin hieman suurempi kuin saman ajaminen omalla raudalla. Loput on lähinnä fanboyismiä.
Siis mikä on suurempi? Hintako? Ei varmasti ole.
Sillä Azure Functions alustalla teet miljoona REST kutsua kuukaudessa ensin ilmaiseksi ja sittenkään se ei paljoa maksa. Tämä ei ihan heti aukea sille joka Azurea ei tunne, mutta tuo on ihan järjettömän halpa verrattuna siihen mitä palvelun kautta saa.
Pitää kirjoittaa tiukkaa koodia ja katsoa, että suoritusajat on pieniä. Sen jälkeen ei homma maksa yhtään mitään, ottaen huomioon että alustan saavuttavuus on niin korkealla tasolla, että omilla raudoilla on erittäin vaikeaa päästä samaan tasoon.
Puhuit turvallisuudesta. Nämä samat sandboxit ja funktiot voit ajaa yhtä hyvin omalla tai vuokratulla raudalla. Ja silloin tietoturva on suurempi kuin Azuressa johon keskittyy suurempi into hyökätä. Toki Azurella on suurempi massa reagoida ja valvoa asioita, mutta se on aivan toissijaista aidosti hajautettuun nähden. Hinnasta en osaa sanoa. Se on kompleksi yhtälö. Mikään varteenotettava, on todennäköisesti halvempi ajaa itse.
En usko, että Azuressa pyörittäminen nostaa riski hyökkäykselle yhtään. Mutta jos hyökkäys tulee, niin sekä Microsoft tekee torjumista (DDoS suojaus on Azuren sisäänrakennettu palvelu), että itse voi tehdä toimenpiteitä. Ja kuten mainitsin, niin jos ohjaa liikenteen ensin CloudFlaren kautta, niin tuossa on niin kovan tason suojaus että sen itse rakentaminen maksaa aivan älyttömän paljon.
Mutta tässä toki pitää miettiä, tehdäänkö jotain oikeasti isompaa palvelua vai jotain kotikutoista systeemiä, jota kohtaan kohdistetun hyökkäyksen todennäköisyys on 0,000001%.
Ok. Sitten kysyn, miksi kodeissa ei ole fort knoxin tasoista järjestelyä? Eikö kaikkea ryöstetä ihan koko ajan?
HiTec
Eipä turhia höttyillä :)
Kieltämättä nuo erilaiset uudet hyökkäysvektorit aina välillä pääsee ns. keittiön kautta iskemään. Tuossa yhdessä vaiheessa tuntui olevan muodissa saastuttaa nuo yleiset kirjastot ja kun systeemit oli monilla viritetty s.e. jokaisen buildin yhteydessä haettiin uusimmat versiot näistä, niin näinhän ne pöpötkin sitten pääsi sisään ja... Tuota OS softaa kun kuitenkin tehdään varsin laajalla skaalalla, niin nuo haitakkeet pääsi aika pahastikin valloilleen ennen kuin ne ns. jäi kiinni ja korjaustoimet aloitettiin. No kerran koettu ja nyt on systeemit lukittu, automatiikat poistettu, uudet versiot validoidaan suljetuissa systeemeissä ennen käyttöönottoa jne. niin ei pääse tuo toistumaan. Sitä vaan odottelee mitäköhän nuo pirulaiset keksivät seuravaaksi 
Tässä(kään) tapauksessa se hyökkäyksen kohteeksi joutuminen ei todellakaan riippunut mitenkään siitä missä ympäristössä noita palveluita pyöritettin. Siellä oli vain valittuna lista tiettyjä osoitteita joihin hyökättiin ja that's it. Sattuivat nyt vain yrittämään jo pilveen siirrettyyn julkiseen palveluun, jossa nuo scenariot oli jo etukäteen erittäin hyvin huomioituina ja turpaan tuli, joka ainut kerta.
Kyllä ainakin omalla julkkari-projektien kokemuksella tuolla pilveen siirtämisellä on saavutettu joka ainut kerta todella suuret säästöt, vaikkakin skaalautuvuus yms. ollaan samalla saatu nousemaan ihan toisiin sfääreihin. Ja mitä tässä tälläkin vko noita DDoS-pommeja oli, niin ei kyllä olisi ollut toiveitakaan selvitä niistä tuolla muutaman vuoden tapakaisella omalla raudalla, pilvessä sen sijaan nuo aiheuttivat lähinnä pientä köhimistä, liikenne oli nopeasti handlattu ja hyökkäyksen vaikutuksetkin nimimoitu, vaikka useampaankin kertaan yrittivät, vimosilla kerroillaan jo todella merkittävilläkin massoilla vaan eivät siltikään onnistuneet systeemejä kaatamaan, ei lähellekään.
Tässä(kään) tapauksessa se hyökkäyksen kohteeksi joutuminen ei todellakaan riippunut mitenkään siitä missä ympäristössä noita palveluita pyöritettin. Siellä oli vain valittuna lista tiettyjä osoitteita joihin hyökättiin ja that's it. Sattuivat nyt vain yrittämään jo pilveen siirrettyyn julkiseen palveluun, jossa nuo scenariot oli jo etukäteen erittäin hyvin huomioituina ja turpaan tuli, joka ainut kerta.
Koska se todennäköisyys joutua hyökkäyksen kohteeksi on niin pieni.
Voihan sitä tietenkin pyörittää jotain palvelua missä vain pienessä boksissa. Mutta ei sellaiset kestä minkäänasteista hyökkäystä jos Venäläisten Telegram kanavalla haetaan hyökkääjiä jotain palvelua kohtaan.
Olen ihan oikeasti 100% varma, että jos pyörität palvelua Azuressa tai AWS:ssä, niin ihan kohtuullisella kustannuksella voit tehdä sellaisen palvelun, joka tarjoaa asiakkaille edelleen ihan hyvän vasteen, vaikka palvelu olisi DDoS hyökkäyksen kohteena. Tottakai pilvisssä on riskinä "Denial of Wallet" hyökkäys, mutta siihenkin pitää varautua niin että haitallinen palvelun kuormitus rajataan halvimpaan mahdolliseen tasoon pilvessä.
Esimerkiksi Azuressa kun tekee rajapintoja, niin varsinaiset "Functions" suoritukset eivät maksa paljon mitään. Mutta jos funktio sitten kutsuu taustalla vaikka Storage palveluja, tai vielä pahempaa jotain kalliimpaa taustapalvelua, niin sitten voi laskua tulla. Tämän kuitenkin kun tietää, niin erittäin halvasti voi käsitellä suurenkin kuorman liikennettä.
Niin.. no... toisinpäin voisi sanoa, että jos luulee tekevänsä tuottavaa työtä konffaamalla Linux tai Windows palvelimia, niin erehtyy pahasti.
HiTec
Eipä turhia höttyillä :)
Tuostahan tuolla aikaisemmin jo varoitinkin, vaikka en silloin vielä tiennytkään sille ihan omaa nimitystäänkin olevan. Joka päivä oppii jotain uutta
Niin no tässä vimosimmassakin julkkarin pilveytyksessä eräs suuri IT-talo menetti varsin rahakkaan, pitkäaikaisen ylläpitodiilinsä. Kyllä tuo dedikoitujen palvelinten pyörittäminen alkaa olemaan jo melkoinen auringonlaskun ala
Tuostahan tuolla aikaisemmin jo varoitinkin, vaikka en silloin vielä tiennytkään sille ihan omaa nimitystäänkin olevan. Joka päivä oppii jotain uutta
Niin no tässä vimosimmassakin julkkarin pilveytyksessä eräs suuri IT-talo menetti varsin rahakkaan, pitkäaikaisen ylläpitodiilinsä. Kyllä tuo dedikoitujen palvelinten pyörittäminen alkaa olemaan jo melkoinen auringonlaskun ala
Niin se onkin. Jos teet "palvelittoman" palvelun ja käytät siihen 1000€/kk, niin saat niin kovan tason ympäristön, että millään omalla raudalla ei ole pienintäkään mahdollisuuta päästä samaan samalla rahalla. Hintalappu voi herkästi olla 10x tai 100x ja tämä ei ole liioittelua.
Loppujenlopuksi 10 000 euron kustannuksilla kuukaudessa ei tee kovinkaan kummallista ympäristöä omalla raudalla (kun mennään oikeisiin tuotantoympäristöihin, mukaanlukien palkat mitä 24h valvonta vaatii). Mutta tuolla hinnalla pyörittää Azuressa aivan mielettömän kokoista palvelua.
Viimeksi muokattu:
Ihan sama kuin konffailisi Azurea. Läppärillä pyörii nykyisin simuloidusti Kubernetes clusterit.
Joo onhan niitä vaihtoehtoa myös pilville. Mutta Kubernertes on aika samantyyppinen hiekkalaatikko kuin Azure Functions. Voi ajaa koodia skaalautuvasti hiekkalaatikossa jonka ulkopuolle tunkeutuminen on erittäin vaikeaa.
Eroksi jää kuitenki vielä se, että Azuressa fyysinen rauta on kovin kaukana koodista, eli palvelun SLA vastaa melko hurjaa investointia omaan rautaan, että koodi pyörii yhtä varmasti.
Viimeksi muokattu:
Nimenomaan. Samaan malliiin kuin osa kuluttajista pyrkii omavaraisuuteen ja hajautukseen aggrekaatein, aurinkopaneelein ja jossa ultimaalinen goal ja cost save on irtautua sähköverkosta. Hajautus ei välttämättä ole aina tehokkainta, mutta kukaan ei voi väittää etteikö puun polttaminen olisi helvetin hyvin hajautettua. Suomi olisi alta aika yksikön kriisissä, jos vaan Azuressa polteltaisiin. Siksi siellä ei mitään varsinaisesti tärkeää ajetakaan.
Kunhan Suomen Azure datakeskus on pystyssä, niin eiköhän iso pyörä käänny siihen suuntaan. Pari vuotta meneee.
Eihän noita kolmea isoa ole pakko käyttää sen takia, ettei muita pilvialustoja olisi. Vaan ehkä pikemmin siksi että osaaminen alkaa ainakin Suomesta hävitä - pitää valita niistä joihin todennäköisimmin löytää jonkun tekemään - ja sitten ne natiivit vähän kököt vendor-lock -kalut.
Noin periaatteesssa olisi myös lisää abstraktiokerroksia ja deployausvaiheessa voisi päättää laittaako vaikka Nutanixiin, AWS:ään tai Azureen - mutta sekin himmeli pitää ensin jonku tehdä. Sillä saisi aidommin vapautta päättää missä kukin palikka pyörii. Noiden kolmen kanssa ei niin hirmusti hinnoista neuvotella..
Noin periaatteesssa olisi myös lisää abstraktiokerroksia ja deployausvaiheessa voisi päättää laittaako vaikka Nutanixiin, AWS:ään tai Azureen - mutta sekin himmeli pitää ensin jonku tehdä. Sillä saisi aidommin vapautta päättää missä kukin palikka pyörii. Noiden kolmen kanssa ei niin hirmusti hinnoista neuvotella..
Yhdessä keskuksessa? Kuulostaa oikein Venäläiseltä unelmalta.
Niitä keskuksiahan tulee kolme. Kuten kaikissa Azuren keskuksissa on. Ne vain ulospäin näyttäytyy yhtenä keskuksena, vaikka fyysistä välimatkaa on reippaasti.
Azuressa voit sitten maksaa hieman siitä lisää, että onko sinun palvelusi yhdessä näistä keskuksista vai kaikissa kolmessa. Se kolmas taso ei paljoa maksa lisää.
Sitten jokaiselle näistä kolmesta keskuksesta on toinen vastaava keskus "kaverina", että jos maksat lisää niin datasi peilataan siihen toisene keskukseen myös,
Kuulostaa silti perseeltä. Toivotaan, että järki voittaa (ulkomaisen operoima systeemi).
No ei se ole sitä.. vaan erittäin skaalautuvaa miljardiluokan businesta, koska firmat näkevät sen hyödyn että viedään palvelut sellaiseen datakeskukseen, mikä on luotettava ja edullinen.
En minä mikään "fani" ole sille, että jenkit vievät tämän markkinan. Mutta mitä Euroopalla on tarjota samaan tarpeeseen?
Kyllä tunnut olevan. Jopa nimimerkkisi haiskahtaa siltä
AWS:lä on näissä systeeminä se että ihan kaikki datakeskukset eivät ole käyttäjän valittavissa vaan julkisten vieressä on esmes Tukholmassa on mahdollisimman erillinen DC jossa on väistötilaa kriittisille palveluille - kaipa siitäkin optiosta on sitten mojova hintalappu.
No jaa... se taitaa olla aika sattumaa. Mutta erittäin hyvä se Azure silti on, ja enpä lähtisi mitään uutta palvelua tekemään muualle kuin pilveen. AWS on myös hyvä.
Täytyy sanoa, että olen pitkään kuunnelllut tätä estotonta paskaa. Saaden vihat niskaan. Tälläinen Mikki-armeija on heti täydellä höökällä niskassa, jos vähän yrität hillitä. Suomessa tämä on mielestäni ollut aina aivan sairaalloisella tasolla. Hyvät on voiteluöljyt kyllä. Tehkää jotain vaihteeksi itse, älkääkä olko moisia papukaijoja.