Deschiderea este o proprietate de control al accesului, nu un protocol de proxy distinct. Unele relee publice sunt oferite intenționat, dar un proxy deschis neintenționat este de regulă o configurare eronată care le permite celor din afară să consume resurse și să origineze activitate prin adresa sa.
Atacatorii folosesc proxy-uri deschise pentru a-și ascunde sursa imediată, a ocoli restricții, a scana ținte, a automatiza atacuri de credențiale sau a ajunge la destinații în care proxy-ul are încredere. Țintele văd proxy-ul ca peer conectat, complicând atribuirea și reputația. Controalele slabe asupra destinației pot expune și servicii interne.
Puncte esențiale
Controlul accesuluiCereți clienți autentificați și autorizați sau restricționați utilizarea la rețele sursă controlate. Regulile de retransmitere default-deny trebuie să acopere fiecare listener, protocol, familie de adrese și port alternativ.
Restricții de ieșireLimitați destinațiile, metodele, porturile, dimensiunile cererilor, ratele de conexiune și accesul la adrese private. Preveniți înlănțuirea de proxy-uri și cererile către metadate cloud, loopback sau interfețe de management.
Monitorizare și răspunsAlertați la volum neobișnuit, modele de scanare, eșecuri de autentificare și listări de reputație. Păstrați înregistrări proporționate și oferiți o cale testată de a opri abuzul fără a reține activitate excesivă a utilizatorilor.
Limitare importantăO adresă de proxy nu oferă anonimitate de încredere. Operatorul poate observa metadate și text în clar, jurnalele pot lega activitatea de un client, iar serviciile de destinație pot folosi alte identificatoare. În sens invers, apărătorii nu pot presupune că adresa proxy-ului identifică actorul original. Criptarea protejează conținutul doar pe segmentele pe care este corect stabilită.