Przejdź do treści
AurionAI

Dozwolone prywatne adresy (lista dozwolonych SSRF)

4 min czytaniaAutor: Emmanuel Yazbeck

AurionAI sprawdza każdy adres, który wywołuje przepływ pracy, aby chronić Twoją organizację i AurionAI przed żądaniami do systemów wewnętrznych. Domyślnie przepływ pracy może wywoływać tylko adresy publiczne. Na stronie Lista dozwolonych SSRF administrator może otworzyć określone adresy sieci prywatnej dla kroków Żądanie HTTP i Wyślij webhook w Twoich przepływach pracy.

Dostępność: Profile Helpdesk i AI Voice + Helpdesk. Tylko administratorzy.

Wymagania wstępne

  • Posiadasz rolę Właściciel lub Administrator. Inni użytkownicy widzą Brak dostępu.
  • Twoja organizacja korzysta z profilu Helpdesk lub AI Voice + Helpdesk.

Co robi wpis

  • Wpis umożliwia krokom Żądanie HTTP i Wyślij webhook w Twoich przepływach pracy wywoływanie danego adresu sieci prywatnej. Wpis dotyczy tylko Twojej organizacji.
  • Wpis otwiera wszystkie porty adresu. Nie ogranicza żądania do jednego portu.
  • Adresy publiczne działają bez wpisu.
  • AurionAI zawsze blokuje adresy pętli zwrotnej (localhost, 127.0.0.1, ::1) oraz adresy metadanych chmury (na przykład 169.254.169.254). Nie można ich dodać do listy.
  • AurionAI zawsze blokuje sieci samej platformy AurionAI oraz nazwy hostów wewnętrznych klastra lub chmury. Nie można ich dodać do listy.
  • Wpis nie ma wpływu na webhooki powiadomień, kroki Slack ani inne żądania wychodzące. Zawsze wymagają one adresu publicznego.
  • Wpis nie ma wpływu, gdy zmienna podaje nazwę hosta w adresie URL. Wpisz nazwę hosta lub adres bezpośrednio w adresie URL.
  • Gdy dozwolony adres odpowiada przekierowaniem do adresu prywatnego, AurionAI blokuje to przekierowanie. Dotyczy to również przekierowania do tego samego adresu lub tej samej nazwy hosta.
  • Każde żądanie dozwolone przez wpis jest zapisywane w dzienniku audytu.

Formaty wpisów

Wpis jest jednym z poniższych:

  • prywatny adres IPv4, na przykład 10.20.0.5, lub prywatna sieć IPv4, na przykład 10.20.0.0/24. Musi należeć do zakresu 10.0.0.0/8, 172.16.0.0/12 lub 192.168.0.0/16. Sieć musi mieć maskę /16 lub węższą.
  • prywatny adres lub sieć IPv6 w zakresie fc00::/7. Sieć musi mieć maskę /48 lub węższą.
  • dokładna nazwa hosta, na przykład erp.northwind.example. Sam wpis z nazwą hosta niczego nie otwiera. Działa tylko razem z wpisem adresu lub sieci zawierającym adresy tej nazwy hosta.

Adres URL z adresem, na przykład http://10.20.0.5/, wymaga wpisu adresu lub sieci. Adres URL z nazwą hosta wymaga wpisu nazwy hosta oraz wpisu adresu lub sieci. AurionAI wyszukuje nazwę hosta podczas uruchamiania przepływu pracy:

  • Adresy publiczne w odpowiedzi są dozwolone jak zwykle.
  • Każdy prywatny adres w odpowiedzi musi należeć do jednego z Twoich wpisów adresu lub sieci. Jeśli choć jeden prywatny adres nie należy, AurionAI blokuje żądanie.

Niedozwolone: symbole wieloznaczne (*.northwind.example), adresy URL, porty, adresy publiczne, nazwy hostów z pojedynczą etykietą (na przykład erp) oraz nazwy hostów kończące się na .svc, .cluster.local, .internal, .local lub .localdomain.

Dodawanie wpisu

  1. Na pasku bocznym wybierz Konfiguracja.
  2. Otwórz kategorię System.
  3. Wybierz Lista dozwolonych SSRF.
  4. Wybierz Dodaj wpis.
  5. W polu Host lub adres wpisz adres, sieć lub nazwę hosta. Użyj jednego z formatów opisanych w sekcji „Formaty wpisów" powyżej. W przypadku nazwy hosta dodaj również wpis dla jej adresu lub sieci.
  6. Opcjonalnie: w polu Opis (opcjonalny) opisz, do czego służy wpis.
  7. Wybierz Utwórz.

Strona Lista dozwolonych SSRF z formularzem nowego wpisu.

Wyłączanie lub usuwanie wpisu

  • Aby wyłączyć lub włączyć wpis, wybierz przycisk ołówka przy wpisie. Jego znacznik zmienia się między Aktywny a Nieaktywny. Wyłączony wpis niczego nie zezwala.
  • Aby usunąć wpis, wybierz przycisk kosza przy wpisie i potwierdź w oknie przeglądarki.

Wynik

  • AurionAI wyświetla Wpis utworzony lub Wpis usunięty.
  • Zmiany są zapisywane natychmiast. Następne uruchomienie przepływu pracy je uwzględni.
  • Każdy nowy, zmieniony lub usunięty wpis jest zapisywany w dzienniku audytu.
  • Starsze wpisy, które nie używają akceptowanego formatu (na przykład symbol wieloznaczny lub początek adresu URL), niczego nie zezwalają. Usuń je i dodaj adres ponownie w akceptowanym formacie.

Jeśli coś pójdzie nie tak

  • Ten wpis nie jest akceptowany. Użyj dokładnej nazwy hosta albo prywatnego adresu lub sieci, jak opisano pod polem. Wpis nie jest w akceptowanym formacie lub jest adresem pętli zwrotnej, metadanych chmury, platformy AurionAI albo adresem publicznym. Użyj jednego z formatów opisanych w sekcji „Formaty wpisów" powyżej.
  • Ten wzorzec URL już istnieje Wpis już znajduje się na liście. Zamiast tego włącz istniejący wpis.
  • Żądanie przepływu pracy do adresu prywatnego jest nadal blokowane. Upewnij się, że:
    • wpisy mają status Aktywny;
    • krok to krok Żądanie HTTP lub Wyślij webhook;
    • adres URL zawiera nazwę hosta lub adres bezpośrednio, a nie zmienną;
    • w przypadku nazwy hosta istnieje wpis nazwy hosta, a każdy prywatny adres tej nazwy hosta należy do wpisu adresu lub sieci.

Powiązane artykuły

Nadal potrzebujesz pomocy? Wyślij zgłoszenie lub .