4.3.14. DDoS 공격에 대해 memcached 보안
Memcached 는 오픈 소스 고성능 분산 메모리 개체 캐싱 시스템입니다. 대부분의 경우 데이터베이스 로드를 줄여 동적 웹 애플리케이션의 성능을 개선하는 데 주로 사용됩니다.
Memcached는 데이터베이스 호출, API 호출 또는 페이지 렌더링 결과에서 문자열 및 오브젝트와 같은 임의의 데이터의 작은 청크를 위한 메모리 내 키-값 저장소입니다. Memcached를 사용하면 애플리케이션이 필요한 것보다 더 많은 시스템이 있는 시스템의 일부에서 메모리를 가져와 애플리케이션이 필요한 것보다 적은 영역에서 액세스할 수 있도록 합니다.
Memcached Vulnerabilities
2018년, 공개 인터넷에 노출된 memcached 서버를 악용하여 DDoS 개정 공격 취약점을 발견했습니다. 이러한 공격은 전송에 UDP 프로토콜을 사용하여 memcached 통신을 활용합니다. 이 공격은 높은 진폭 비율로 인해 효과가 있습니다 - 몇 백 바이트 크기의 요청이 몇 메가바이트 또는 수백 메가바이트 크기의 응답을 생성할 수 있습니다. 이 문제는 CVE-2018-1000115 로 지정되어 있습니다.
대부분의 경우 memcached 서비스를 공용 인터넷에 노출할 필요가 없습니다. 이러한 노출에는 원격 공격자가 memcached에 저장된 정보를 유출하거나 수정할 수 있는 자체 보안 문제가 있을 수 있습니다.
memcached 강화
보안 위험을 완화하려면 구성에 적용 가능한 다음 단계의 수를 수행합니다.
- LAN에서 방화벽을 구성합니다. 로컬 네트워크 내에서만 memcached 서버에 액세스할 수 있어야 하는 경우 memcached에서 사용하는 포트에 대한 외부 트래픽을 허용하지 마십시오. 예를 들어 memcached에서 기본적으로 사용되는 포트 11211을 허용된 포트 목록에서 제거합니다.특정 IP 범위가 포트 11211을 사용하도록 허용하는
~]# firewall-cmd --remove-port=11211/udp ~]# firewall-cmd --runtime-to-permanentfirewalld명령은 5.8절. “Zone을 사용하여 소스에 따라 트래픽 관리” 를 참조하십시오. - 클라이언트에 이 프로토콜이 필요하지 않는 한
/etc/sysconfig/memcached파일의OPTIONS변수에-U 0 -p 11211값을 추가하여 UDP를 비활성화합니다.OPTIONS="-U 0 -p 11211" - 애플리케이션과 동일한 시스템에서 단일 memcached 서버만 사용하는 경우 memcached를 설정하여 localhost 트래픽만 수신 대기합니다.
-l 127.0.0.1,::1값을/etc/sysconfig/memcached의OPTIONS에 추가합니다.OPTIONS="-l 127.0.0.1,::1" - 인증을 변경할 수 있는 경우 SASL(Simple Authentication and Security Layer) 인증을 활성화합니다.
/etc/sasl2/memcached.conf파일에 수정하거나 추가합니다.sasldb_path: /path.to/memcached.sasldb- SASL 데이터베이스에 계정을 추가합니다.
~]# saslpasswd2 -a memcached -c cacheuser -f /path.to/memcached.sasldb - memcached 사용자 및 그룹에 대한 데이터베이스에 액세스할 수 있는지 확인합니다.
~]# chown memcached:memcached /path.to/memcached.sasldb OPTIONS에-S값을/etc/sysconfig/memcached에 추가하여 memcached에서 SASL 지원을 활성화합니다.OPTIONS="-S"- memcached 서버를 다시 시작하여 변경 사항을 적용합니다.
- SASL 데이터베이스에서 생성된 사용자 이름과 암호를 애플리케이션의 memcached 클라이언트 구성에 추가합니다.
- stunnel 을 사용하여 memcached 클라이언트와 서버 간 통신을 암호화합니다. memcached에서 TLS를 지원하지 않으므로 해결방법은 memcached 프로토콜 상단에 TLS를 제공하는 stunnel 과 같은 프록시를 사용하는 것입니다.PSK (Pre Shared Keys)를 사용하도록 stunnel 을 구성하거나 사용자 인증서를 사용하는 것이 더 좋습니다. 인증서를 사용하는 경우 인증된 사용자만 memcached 서버에 연결할 수 있으며 트래픽이 암호화됩니다.중요터널을 사용하여 memcached에 액세스하는 경우 서비스가 localhost에서만 수신 대기 중이거나 방화벽이 네트워크에서 memcached 포트에 대한 액세스를 허용하지 않는지 확인합니다.자세한 내용은 4.8절. “stunnel 사용”를 참조하십시오.
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}