九游老哥云
Hadoop遭遇勒索攻击
2017-01-20
最近 ，部分黑客组织针对几款特定产品睁开了勒索攻击 。阻止到上周 ，已有至少34000多台MongoDB数据库被黑客组织入侵 ，数据库中的数据被黑客擦除并索要赎金 。
事务综述
最近 ，部分黑客组织针对几款特定产品睁开了勒索攻击 。阻止到上周 ，已有至少34000多台MongoDB数据库被黑客组织入侵 ，数据库中的数据被黑客擦除并索要赎金 。随后 ，在2017年1月18日当天 ，又有数百台ElasticSearch服务器受到了勒索攻击 ，服务器中的数据被擦除 。清静研究职员Niall Merrigan体现 ，阻止到现在 ，受攻击的ElasticSearch服务器已经凌驾了2711台 。紧随上述两次攻击事务 ，现在已经有黑客将目的瞄准了Hadoop集群 。这些勒索攻击的攻击模式都较为相似 ，在整个攻击历程中并没有使用任何勒索软件 ，也没有涉及通例误差 ，而是使用相关产品的不清静设置 ，使攻击者有机可乘 ，万无一失地对相关数据举行操作 。
Hadoop简介
Apache Hadoop是一款支持数据麋集型漫衍式应用并以Apache 2.0允许协议宣布的开源软件框架由Java语言实现 ，以盘算机集群的形式实现对海量数据的漫衍式盘算 ，可编写和运行漫衍式应用、处置惩罚大规模数据 。Hadoop框架的两个焦点设计是HDFS（Hadoop Distributed File System）和MapReduce 。HDFS是一个漫衍式文件系统 ，具有高容错性的特点 ，并且被设计用来安排在廉价的硬件上 ；并且它能够以高吞吐量来会见应用程序的数据 ，尤其适合那些有着超大数据集的应用程序 。MapReduce是一个使用浅易的软件框架 ，基于它编写出来的应用程序能够运行在由上千个商用机械组成的大型集群上 ，并以一种可靠容错的方法并行处置惩罚上T级别的数据集 。
勒索攻击模式
最近泛起的针对MongoDB、ElasticSearch和Hadoop的勒索攻击模式都较为相似 。在攻击历程中并没有涉及勒索软件和通例误差 ，而是使用相关产品不清静的设置 ，这为攻击者翻开了利便之门 。以MongoDB为例 ，这些受攻击的数据库没有接纳任何身份验证 ，直接袒露在Internet公网上 ，一旦攻击者登录到这些开放的数据库就可以对其中的数据举行删除等恶意操作了 ；而针对ElasticSearch服务器的勒索攻击手段也是类似 ，ElasticSearch的TCP会见模式的默认端口为9300 ，HTTP会见模式的默认端口为9200 ，若是这些端口不做任何� ；げ椒サ靥宦对诠� ，那么对它的会见将没有任何身份认证 ，任何人在建设毗连之后 ，都可以通过相关API对ElasticSearch服务器上的数据举行增删查改等恣意操作 。
而黑客针对Hadoop的勒索攻击 ，也是使用了袒露在公网上的端口 。Hadoop集群的使用者往往出于便当或者自己清静意识不强的缘故 ，会将Hadoop的部分端口 ，好比HDFS的Web端口50070直接在公网上开放 。攻击者可以简朴使用相关下令来操作机械上的数据 ，好比：
使用上图名堂中的下令可以递归删除test目录下的所有内容 。
凭证shodan.io的统计效果显示 ，在中国有8300多个Hadoop集群的50070端口袒露在公网上 ，如下图所示：
（该图片来自shodan.io）
防护步伐
- 关闭不须要的端口 。Hadoop所使用的端口见下表：
| HDFS | NameNode默认端口：50070 |
| SecondNameNode默认端口：50090 | |
| DataNode默认端口:50075 | |
| Backup/Checkpoint Node默认端口：50105 | |
| YARN | ResourceManager默认端口：8088 |
| JobTracker默认端口：50030 | |
| TaskTracker默认端口：50060 | |
| Hue | Hue默认端口：8080 |
列表中的端口若是用户并不需要 ，建议将其关闭或者添加防火墙战略阻断响应数据包 。
- 启用Kerberos 。在Hadoop1.0.0或者CDH3（CDH是Cloudera公司对Hadoop源码修改后的商业刊行版）版本之前 ，Hadoop并不保存清静认证 。在Hadoop1.0.0或者CDH3版本后 ，加入了Kerberos认证机制 。集群内的节点需使用密钥举行认证 ，只有经由认证的节点才华正常使用 。
