当我在研讨Web服务器结构时,我发现了一个十分古怪的东西。我发现云服务器操控渠道中的安全维护机制实际上并不能供给有用的安全保证。在Shodan搜索引擎的协助下,我能够找到那些不受维护的云服务器操控渠道
　　Daniel W.Dieterle在其研讨报告中写到:“当我在研讨Web服务器结构时,我发现了一个十分古怪的东西。我发现云服务器操控渠道中的安全维护机制实际上并不能供给有用的安全保证。在Shodan搜索引擎的协助下,我能够找到那些不受维护的云服务器操控渠道。”
　　现在,许多的 *** 应用程序都已经在广泛运用根据Python的Twisted Web服务器了。在曩昔的几年中,我发现许多开发人员会运用特定的版别来处理各种不同的使命,而此前我在开发项目时曾遇到过一个之前从未见过的版别。
　　Shodan所能收集到的信息是极端惊人的。但凡链接到互联网的红绿灯、安全摄像头、家庭自动化设备以及加热体系等等都会被容易的搜索到。Shodan真实值得注意的才能便是它能找到简直一切和互联网相关联的东西,而Shodan真实的可怕之处便是这些设备简直都没有装置安全防护办法,咱们能够随意进入这些体系。
　　假如你在Shodan搜索引擎(专门用于搜索联网设备的搜索引擎)中搜索“Twisted Web服务器”,你将会得到一些十分古怪的搜索成果,并且这些搜索成果我都不必定看得懂。搜索引擎会回来一个特定的版别(10.2.0),从表面上看这貌似是某种云服务器的操控接口。
　　假如你拜访“Shodan.io”网站,并搜索“twistedweb/10.2.0”,浏览器将会把一切有问题的体系悉数罗列出来,具体状况如下图所示:
　　

　　在这些体系中,有一些服务器是有暗码维护的,而有的服务器却彻底没有任何的暗码维护机制。假如服务器中存在暗码维护机制,那么Shodan的查询成果中会包括有一个login.html文件。关于那些彻底没有暗码维护的服务器而言,Shodan的回来成果是一个指向index.html的链接地址。
　　这也就意味着,Shodan能够找到一切对外彻底揭露的服务器办理接口,咱们只需要在搜索框中输入“twistedweb/10.2.0 index.html”并按下回车键,咱们就能够得到想要的答案,具体状况如下图所示:
　　

　　正如上图所示,咱们能够看到搜索引擎回来了超越七百条查询成果。从下图中能够看到,这些设备似乎是DataStax公司的云存储服务器集群:
　　

　　Datastax在其发布的YouTube视频中向用户解说称,用户能够通过这个接口来操控和监督服务器存储集群的运转状况。我认为这些内容真的彻底不该该在网上悉数公布出来。
　　一般来说,这些服务器的操控面板有必要要有一个用户登录的机制来维护体系的安全,但很明显Datastax并没有挑选这样做。
　　Tim Prendergast是Evident.io的联合创始人之一,一起他也是Evident.io的CEO。他认为:“咱们在这里所看到的作业便是一个典型的失利事例,技术人员并没有在服务器的办理接口设置恰当的安全操控办法。假如办理接口没有必定的安全维护,那么长途攻击者就能够在没有通过身份验证的状况下链接至数据服务器,并获取到服务器的办理权限。”
　　“这种状况往往是技术人员在公司事务的压力下所导致的,公司要求他们去处理一些十分复杂的问题,可是却没有供给满足的时刻和资金来支撑技术人员这方面的作业,导致产品团队没有在这些基础设施和产品服务上设置根本的安全维护办法。假如这些产品中布置了根本的安全维护操控,那么往往就能够从源头上避免这类安全事情的发作。假如技术人员的安全维护办法设置妥当,那么乃至还能够避免企业职工的人为操作失误所带来的安全隐患。”
　　一般来说,咱们肯定是有办法来维护这些云服务器体系的安全的,或者是提示云端用户这些云服务器中存在有必定的安全问题。
　　相似ESP这样的东西能够避免这些安全规划缺点被攻击者所使用,这类东西能够为云服务器的办理人员供给和布置全面可视化的安全保证操控。除此之外,你还能够使用这类东西所供给的自定义签名功能来针对不同的云服务器规划出特定的安全操控计划。
　　仅有一个能够维护你的安排不受这类安全要挟影响的办法便是在企业的云服务器中布置持续性的安全维护办法。
　　正如咱们所看到的那样,在Shodan搜索引擎的协助下,咱们能够垂手可得地找出全世界范围内一切短少安全维护操控的云服务器。并且咱们也能够容易地找出哪些体系有登录操控维护(我期望这类体系选用的均是强健的暗码),而哪些体系没有登录操控。当然了,云服务器的长处是很明显的,但无论是哪种核算资源,咱们都应该为其设置恰当的安全维护办法来维护数据的安全。