ارزیابی امنیت دیتابیس NoSQL
تست نفوذ و ارزیابی امنیتی جامع دیتابیسهای NoSQL شامل MongoDB، Redis، Elasticsearch، Cassandra و Neo4j. شناسایی آسیبپذیریهای NoSQL Injection، ضعفهای احراز هویت و مشکلات پیکربندی.
دیتابیسهای NoSQL پشتیبانیشده
تخصص در تمام انواع دیتابیسهای NoSQL و بردارهای حمله منحصر به فرد آنها
Document Store
4.4, 5.0, 6.0, 7.0
Key-Value Store
6.x, 7.x
Search Engine
7.x, 8.x
Wide Column Store
4.x, 5.x
Document Store
3.x
Key-Value & Document
AWS Managed
Graph Database
4.x, 5.x
In-Memory Cache
1.6.x
انواع حملات NoSQL Injection
ما تمام بردارهای حمله NoSQL injection را برای هر نوع دیتابیس تست میکنیم
بهرهبرداری از اپراتورهای MongoDB مانند $gt، $ne، $regex، $where در پارامترهای کوئری برای دور زدن احراز هویت یا استخراج داده.
نمونه پیلود:
{"$gt": ""}{"$ne": null}تزریق کد جاوااسکریپت از طریق کلازهای $where یا ارزیابی جاوااسکریپت سمت سرور در MongoDB.
نمونه پیلود:
$where: 'this.password.match(/^a/)'sleep(5000)بهرهبرداری از دستورات Redis مانند CONFIG، EVAL یا DEBUG برای اجرای دستورات دلخواه یا خواندن/نوشتن فایل.
نمونه پیلود:
CONFIG SET dir /var/wwwEVAL "os.execute('id')"دستکاری Elasticsearch Query DSL برای دسترسی به دادههای غیرمجاز، اجرای اسکریپت یا ایجاد DoS.
نمونه پیلود:
{"script": {"source": "..."}}{"bool": {"must_not": []}}تزریق کوئریهای Cypher مخرب در Neo4j برای استخراج داده گراف یا تغییر روابط.
نمونه پیلود:
' OR 1=1 //MATCH (n) RETURN n LIMIT 1000استفاده از ویژگیهای NoSQL برای ایجاد درخواستهای سمت سرور به سرویسهای داخلی یا endpoint های متادیتای ابری.
نمونه پیلود:
http://169.254.169.254Internal service URLsآسیبپذیریهای خاص هر دیتابیس
هر دیتابیس NoSQL بردارهای حمله منحصر به فردی دارد که ما در آنها تخصص داریم
بدون احراز هویت
نمونههای MongoDB در معرض بدون فعالسازی احراز هویت
تزریق اپراتور
ورودی JSON بدون اعتبارسنجی که اجازه اپراتورهای $gt، $ne، $regex را میدهد
JS سمت سرور
کلاز $where که اجازه اجرای جاوااسکریپت را میدهد
بدون پسورد
Redis در معرض بدون پیکربندی requirepass
دستور CONFIG
CONFIG SET که امکان نوشتن فایل و RCE را میدهد
RCE از طریق Lua
دستور EVAL که اجازه اجرای اسکریپت Lua دلخواه را میدهد
دسترسی باز
کلاستر Elasticsearch بدون امنیت X-Pack
اجرای اسکریپت
اسکریپتنویسی Painless یا Groovy بدون محدودیت فعال
افشای Snapshot
مخزن Snapshot بدون احراز هویت قابل دسترس
چه چیزهایی را ارزیابی میکنیم؟
پوشش جامع تمام جنبههای امنیتی دیتابیسهای NoSQL
- تزریق اپراتور MongoDB
- تزریق جاوااسکریپت
- تزریق دستور Redis
- تزریق Query DSL
- تزریق Cypher
- تزریق BSON
- دور زدن احراز هویت
- اعتبارنامههای پیشفرض
- بررسی RBAC/ACL
- کنترل دسترسی سطح فیلد
- احراز هویت بین نودها
- یکپارچهسازی LDAP/AD
- ارتباطات بین نودها
- پیکربندی Replica Set
- امنیت Sharding
- Master/Slave Security
- Gossip Protocol
- Network Segmentation
- رمزنگاری در انتقال (TLS)
- رمزنگاری در حالت سکون
- رمزنگاری سطح فیلد
- مدیریت کلید
- پوشش داده حساس
- امنیت پشتیبانگیری
- بررسی CIS Benchmark
- غیرفعالسازی ویژگیهای خطرناک
- محدودسازی شبکه
- تنظیمات لاگگذاری
- سرویسهای غیرضروری
- پچهای امنیتی
- لاگگذاری عملیات
- Audit Trail
- تشخیص ناهنجاری
- یکپارچگی لاگ
- سیاستهای نگهداری
- هشداردهی امنیتی
یافتههای رایج
آسیبپذیریهایی که معمولاً در ارزیابی دیتابیسهای NoSQL کشف میکنیم
دیتابیس NoSQL از شبکه بدون هیچ احراز هویتی قابل دسترس
اپلیکیشن آسیبپذیر به حملات تزریق اپراتور یا جاوااسکریپت
اتصالات دیتابیس بدون استفاده از رمزنگاری TLS
کاربران اپلیکیشن با امتیازات مدیریتی یا بیش از حد دیتابیس
عملیات دیتابیس برای ممیزی امنیتی لاگ نمیشوند
ویژگیهایی مانند جاوااسکریپت سمت سرور یا دستور CONFIG فعال
فرآیند ارزیابی
رویکرد ساختاریافته ما برای ارزیابی امنیت دیتابیس NoSQL
شناسایی نمونههای دیتابیس NoSQL، نسخهها، پورتهای در معرض و توپولوژی کلاستر. نقشهبرداری مدل داده و الگوهای دسترسی.
تست اعتبارنامههای پیشفرض، دور زدن احراز هویت و مکانیزمهای احراز هویت ضعیف. ارزیابی احراز هویت بین نودها.
اجرای تستهای جامع NoSQL injection شامل تزریق اپراتور، تزریق جاوااسکریپت و تزریق دستور.
ارزیابی پیکربندی در برابر معیارهای CIS و راهنماهای امنیتی فروشنده. بررسی binding شبکه، TLS و تنظیمات لاگگذاری.
تلاش برای ارتقای امتیاز از طریق پیکربندی نادرست RBAC، دستورات خطرناک یا بهرهبرداری از کلاستر.
گزارش فنی دقیق با راهنمای اصلاحی خاص دیتابیس و اقدامات اولویتبندیشده.
تحویلدادنیها
مستندات جامعی که در پایان ارزیابی دریافت خواهید کرد
نمای کلی سطح بالا از یافتهها و وضعیت ریسک برای مدیریت
یافتههای دقیق با امتیاز CVSS و اثبات بهرهبرداری خاص دیتابیس
پیلودهای NoSQL injection کارآمد خاص نوع دیتابیس شما
گزارش انطباق CIS Benchmark برای دیتابیس NoSQL شما
مراحل سختسازی خاص دیتابیس و قالبهای پیکربندی امن
اعتبارسنجی اثربخشی اصلاح پس از اعمال رفعها