Otevřenost je vlastnost řízení přístupu, nikoli odlišný protokol proxy. Některé veřejné relaye jsou nabízeny záměrně, ale nechtěně otevřená proxy je obvykle chybná konfigurace, která umožňuje cizím osobám spotřebovávat prostředky a iniciovat aktivitu přes její adresu.
Útočníci používají otevřené proxy ke skrytí svého bezprostředního zdroje, obcházení omezení, skenování cílů, automatizaci útoků na přihlašovací údaje či dosažení cílů, kterým proxy důvěřuje. Cíle vidí jako připojujícího se peera proxy, což ztěžuje atribuci a reputaci. Slabé kontroly cílů mohou rovněž vystavit interní služby.
Klíčové body
Řízení přístupuVyžadujte autentizované, autorizované klienty nebo omezte použití na řízené zdrojové sítě. Pravidla default-deny pro přeposílání by měla pokrývat každý listener, protokol, adresní rodinu a alternativní port.
Omezení egressuLimitujte cíle, metody, porty, velikosti požadavků, rychlosti spojení a přístup k privátním adresám. Zabraňte řetězení proxy a požadavkům na cloudová metadata, loopback či manažerská rozhraní.
Monitorování a reakceGenerujte výstrahy na neobvyklý objem, vzory skenování, selhání autentizace a reputační listingy. Uchovávejte přiměřené záznamy a poskytněte otestovaný způsob zastavení zneužití bez uchovávání nadměrné aktivity uživatelů.
Důležité omezeníAdresa proxy neposkytuje důvěryhodnou anonymitu. Operátor může pozorovat metadata a plaintext, logy mohou aktivitu vázat ke klientovi a cílové služby mohou použít jiné identifikátory. Opačně obránci nemohou předpokládat, že adresa proxy identifikuje původního aktéra. Šifrování chrání obsah pouze na úsecích, na kterých je správně navázáno.