Comment nous prouvons que la porte est fermée avant le go-live.

La façon la plus courante dont se termine un travail de durcissement, c'est que quelqu'un change un réglage, rafraîchit la page, voit ce qu'il attendait, et passe à autre chose. C'est corriger et espérer. Cela prouve le symptôme que vous avez regardé. Cela ne prouve rien sur la porte. Ce qui suit est la méthode que nos ingénieurs appliquent à la place, avant tout go-live et après tout changement en edge. Elle a une seule règle directrice : chaque contrôle est lancé depuis l'extérieur, depuis un point qui ne reçoit aucune confiance particulière, parce que la seule question qui compte est ce qu'un inconnu sur internet peut réellement atteindre. Vous pourriez lancer la première moitié de ceci contre votre propre site ce soir. La raison de nous la confier, c'est qui lance toute la batterie, et depuis où.

h2 (#stranger-sees): La seule question qui compte : que voit réellement un inconnu ?

Nous lançons le scan depuis une machine dédiée dans un autre de nos datacenters, avec une IP de sortie que notre propre firewall n'a jamais appris à connaître. Elle n'a aucune entrée dans une liste d'autorisation, aucune exception, aucune courtoisie. Elle voit exactement ce que voit internet.

Depuis ce point, trois choses cessent d'être des affirmations et deviennent des mesures. Si votre CDN est vraiment devant votre origin. Si les ports que vous croyez fermés sont fermés. Et, après une correction, si la porte que vous venez de fermer l'est vraiment. Le reste de ce texte est la façon dont nous lisons chacune d'elles.

h2 (#find-origin): Trouver le vrai origin comme le trouverait un attaquant

L'origin fuit généralement dans le DNS de messagerie du domaine lui-même, parce que l'enregistrement SPF qui autorise votre courrier nomme l'hôte même qui l'envoie. Une fois le vrai origin connu, vous épinglez le hostname directement dessus, pour que chaque outil frappe l'origin nu plutôt que le CDN, et vous relancez la batterie complète contre lui.

# the origin usually leaks in the domain's own mail DNS
scanner$ dig +short TXT origin.example        # the SPF record often names the sending host
scanner$ dig +short MX  origin.example

# pin the hostname straight to the origin so nothing touches the CDN
scanner$ curl --resolve origin.example:443:<origin-ip> https://origin.example/

# now re-run the full battery against the naked origin, not the edge
scanner$ <scan battery> --target <origin-ip>

Ce que cela prouve est simple. Si l'origin répond au scan épinglé de la même façon que le hostname public, en servant les mêmes pages, le même formulaire de login, alors le CDN et le WAF devant lui sont contournés. Chaque requête qu'un attaquant veut envoyer peut passer à côté d'eux.

h2 (#all-ports): Scanner chaque port, puis dire ce qui est fermé

Depuis le point hors réseau, nous scannons les 65 535 ports.

# from the box on an egress the firewall doesn't trust: every port, not a shortlist
scanner$ <port-scanner> -p 1-65535 <origin-ip>

Un scan de toute la surface n'est pas seulement un oui ou un non pour chaque port. Ce qui répond, et comment, prend l'empreinte de la machine. Trois indices reviennent.

a mismatched TLS cert on a production subnet   ->  a forgotten host, fingerprinted
an absurdly low firewall hit-count             ->  traffic isn't flowing the way you think
a DNS server answering REFUSED                 ->  good: you are not an open resolver

h2 (#firewall-not-waf): Un firewall n'est pas un WAF

La force brute sur le login est invisible en couche 3/4, donc la défense vit en edge, en couche 7.

h2 (#durable-fix): La correction durable : verrouiller l'origin sur le CDN, puis le réattaquer

La correction consiste à restreindre l'origin par firewall aux plages publiées du CDN. Puis la même sonde épinglée, depuis la même machine non approuvée :

# BEFORE: pin the naked origin, it serves the login page around the CDN
scanner$ curl --resolve origin.example:443:<origin-ip> https://origin.example/login
HTTP/1.1 200 OK                          # the origin answered. the CDN was bypassed.

# AFTER: origin firewalled to accept only the CDN's published ranges
scanner$ curl --resolve origin.example:443:<origin-ip> https://origin.example/login
curl: (7) Failed to connect to <origin-ip> port 443: Connection refused

Derrière le verrouillage de l'origin se trouve le vrai WAF de couche 7, celui qui inspecte les requêtes que le CDN transmet effectivement, et une liste de blocage partagée : un attaquant pris à sonder un client est banni chez tous, de sorte que la reconnaissance qui cartographie un site paie un péage sur chacun des autres.

h2 (#we-fix-you-fix): Ce que nous corrigeons, et ce que nous vous rendons

Quand l'audit trouve quelque chose, le travail se divise en deux colonnes. L'une est la nôtre, et nous la faisons dans la même session : durcir à l'edge de l'infrastructure, immédiatement. L'autre est dans votre application, et nous ne touchons pas à votre code. Nous vous remettons le constat exact, et nous le protégeons entre-temps pour que vous ne soyez pas exposé pendant que vous le corrigez.

h2 (#re-attack): Puis nous réattaquons, et nous prouvons que c'est fermé

Chaque correction ci-dessus se termine de la même façon : nous retournons sur la machine que le firewall n'a jamais appris à connaître, nous relançons la batterie qui a trouvé le problème, et nous confirmons que la même mesure revient maintenant fermée. L'origin épinglé renvoie connection refused. Le port qui répondait est éteint. Le constat que nous vous avons remis, une fois que vous l'avez fermé, nous refuse aussi.

La même posture, tournée vers la question de savoir si nous contrôlons seulement le réseau sur lequel voyage votre trafic, se trouve dans vous ne possédez pas votre réseau.

Si vous voulez la posture qui se trouve sous tout cela, elle commence par posséder le réseau depuis lequel vous êtes défendu : vous ne possédez pas votre réseau.