Ziad_Abdelgwad/ghaymah-dns-net-sec-tests
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

feat: enforce private backend isolation, deploy live interactive SOC Gateway UI, and provide English security report

Browse Source
This commit is contained in:
Ziad_Abdelgwad
2026-10-13 00:38:12 +03:00
parent 2cea9f25ba
commit f8917dfa88
31 changed files with 1331 additions and 101 deletions
Download Patch File Download Diff File Expand all files Collapse all files
reports/GHAYMAH_MULTI_MICROSERVICES_SECURITY_REPORT.md
+114 -90
View File
@@ -1,172 +1,196 @@
# تقرير الفحص والتقييم الأمني والمعماري الشامل لمشروع المايكروسيرفيس على منصة غيمة
# Comprehensive Architecture, Internal DNS, Raw TCP & Security Penetration Report
## Target Platform: Ghaymah Systems (`deploy.ghaymah.systems`)
## Multi-Microservice Project: `ghaymah-soc-microservices` (ID: `5be77e31-3ac2-48f5-b97d-735e8b2ad45f`)
---
## 1. الملخص التنفيذي (Executive Summary)
## 1. Executive Summary
تم بنجاح بناء ونشر بيئة مايكروسيرفيس متعددة الحاويات (**Multi-Microservice Architecture**) على منصة **غيمة (Ghaymah Systems)** تحاكي تماماً بنية الـ SOC Microservices التي تم إنشاؤها مسبقاً. تم ربط الخدمات عبر الشبكة الخاصة (**Private Mesh Network**) واختبار بروتوكولات الاتصال (Internal DNS، Raw TCP)، تلتها مرحلة اختبارات اختراق أمني وعزل شبكي صارمة (**Penetration & Isolation Testing**).
A multi-tier microservice architecture (**Multi-Microservice Architecture**) was designed, deployed, and verified natively on the **Ghaymah Systems** cloud platform (`deploy.ghaymah.systems`), mirroring the Security Operations Center (SOC) microservice architecture previously developed. The services were deployed and interconnected across the private overlay network (**Private Mesh Network**).
### أبرز النتائج الفنية والأمنية:
1. **نجاح منظومة الـ Internal DNS**: أثبتت الاختبارات أن نظام أسماء النطاقات الداخلي (**CoreDNS @ `10.43.0.10:53`**) يتعرف ويحلل أسماء الحاويات بشكل ديناميكي عبر المعرف الفريد `[name]-[hash12]` (مثل `soc-redis-10f420c389ef` -> `10.42.5.99`).
2. **نجاح الاتصال عبر مآخذ TCP المباشرة (Raw TCP Sockets)**: أثبتت الاختبارات نجاح الربط غير المعتمد على HTTP (Raw TCP على المنفذ `6379`) مع قاعدة بيانات `soc-redis` وتنفيذ عمليات المصافحة وكتابة وقراءة التهديدات الأمنية بنسبة نجاح 100%.
3. **تكامل الاتصال بين الحاويات (Inter-Service Mesh Hops)**: تم إثبات قدرة بوابة الحافة `soc-gateway` على مخاطبة قاعدة البيانات `soc-redis` والحاوية الخلفية `soc-backend` مباشرة عبر الـ Internal DNS والـ Private Overlay Network دون أي وسيط خارجي.
4. **ثغرة معمارية في العزل بين المشاريع (Critical Security Finding - Missing Intra-Tenant Project Isolation)**:
- **الخلل**: المشاريع المختلفة لنفس المستخدم (**Projects**) لا تمتلك جدران عزل شبكي (**NetworkPolicy**).
- **الإثبات العملي**: تمكنت حاويات المشروع الجديد `ghaymah-soc-microservices` من استكشاف وحل عناوين DNS والاتصال المباشر عبر TCP و HTTP مع حاويات مشاريع سابقة منفصلة تماماً (`dns-tcp-test` و `auth-deploy`)، وتم سحب محتوى تطبيق `auth-deploy` بنجاح (`<h1>test</h1>`).
5. **سلامة العزل الخارجي ومحيط الكلاستر (Perimeter & Cluster Security)**:
- محاولة الوصول غير المصرح إلى Kubernetes API (`10.43.0.1:443`) رُفضت برمز `401 Unauthorized` (صلاحيات RBAC محكمة).
- عنوان بيانات السحابة التعريفية (**AWS/Cloud Metadata @ `169.254.169.254`**) محجوب وغير قابل للوصول (حماية ممتازة ضد SSRF).
- خدمات قاعدة البيانات الخاصة غير معروضة إطلاقاً على الإنترنت العام (`HTTP 404`).
Rigorous functionality verification (Internal DNS, Raw TCP Sockets, Reverse Proxy routing) and comprehensive penetration & isolation testing (**Penetration & Security Testing**) were executed from within the cluster perimeter.
### Key Architectural & Security Findings:
1. **Internal DNS Service Discovery Verified (CoreDNS @ `10.43.0.10:53`)**:
- CoreDNS dynamically resolves container service names using the deterministic unique identifier formula: `[name]-[hash12]` (e.g., `soc-redis-10f420c389ef` $\rightarrow$ `10.42.5.99`).
- Standard Kubernetes search domains (`<user-namespace>.svc.cluster.local`) allow seamless hostname resolution without hardcoding IP addresses.
2. **Raw TCP Non-HTTP Socket Communication Verified (Port 6379)**:
- Successfully established raw TCP connections to `soc-redis` over private port `6379`.
- Verified Redis RESP protocol handshake (`PING` $\rightarrow$ `+PONG`), data writes (`SET` $\rightarrow$ `+OK`), and atomic incident counter increments with sub-millisecond latency.
3. **Strict Private Backend Isolation Enforced**:
- The security analysis engine `soc-backend` (`soc-backend-d1895c70f6b2`) has `publicAccess: false` and `expose: false`.
- External HTTP probes to `https://soc-backend-d1895c70f6b2.hosted.ghaymah.systems/` return `HTTP 404 Not Found`. The backend is strictly accessible only over the internal mesh.
4. **Public Edge SOC Command Center Live**:
- The Edge Gateway UI is deployed and live at:
**Live URL**: [`https://ghaymah-soc-gateway-ac352412-web-3e953576.hosted.cumin.dev`](https://ghaymah-soc-gateway-ac352412-web-3e953576.hosted.cumin.dev)
- Serves the complete, interactive SOC Command Center UI (Dark mode, glassmorphism, threat metrics, live target scans, incident management, services status).
5. **Critical Security Finding: Missing Intra-Tenant Cross-Project Isolation**:
- **Vulnerability**: Ghaymah organizes all projects owned by the same user account inside a single, shared Kubernetes namespace (`d62f9886-fced-4cf2-98e4-5b62000d4f03`).
- **Proof of Concept**: A container in `ghaymah-soc-microservices` was able to resolve and establish direct TCP connections to `test-redis-feccbaec5bd7:6379` (Project: `dns-tcp-test`) and retrieve HTTP responses from `auth-deploy-4c0bca85312b:80` (Project: `auth-deploy`).
- **Risk Level**: **Medium to High**. Compromise of one container in a test project allows unhindered lateral movement to production databases in other projects under the same tenant.
6. **Cluster & Cloud Infrastructure Hardening**:
- **Kubernetes API Server (`10.43.0.1:443`)**: Returned `401 Unauthorized`. RBAC access controls properly enforced.
- **Cloud Metadata Endpoint (`169.254.169.254`)**: Unreachable / Blocked (mitigating SSRF credential theft).
- **CoreDNS Prometheus Metrics (`10.43.0.10:9153/metrics`)**: Unauthenticated metrics endpoint exposed internally.
---
## 2. الهيكلية المعمارية للمشروع الجديد (Project Architecture & Topology)
## 2. Multi-Microservice Topology & Network Architecture
```mermaid
graph TD
subgraph PUBLIC_INTERNET["🌐 Public Internet / External Users"]
User["User / Security Analyst"]
subgraph PUBLIC_INTERNET["🌐 Public Internet / Analysts"]
Browser["User Web Browser"]
end
subgraph GHAYMAH_TENANT["🏢 Ghaymah Tenant Namespace: d62f9886-fced-4cf2-98e4-5b62000d4f03"]
subgraph PROJECT_SOC["📁 Project: ghaymah-soc-microservices (ID: 5be77e31)"]
subgraph INGRESS_LAYER["Ingress Layer"]
Gateway["🛡️ soc-gateway-28cd1dc4e034\nIP: 10.42.5.101\nPublic: soc-gateway-28cd1dc4e034.hosted.ghaymah.systems"]
subgraph INGRESS_LAYER["Edge Ingress Layer"]
Gateway["🛡️ SOC Gateway Dashboard\nURL: https://ghaymah-soc-gateway-ac352412-web-3e953576.hosted.cumin.dev\nStatus: Healthy (HTTP 200)"]
end
subgraph INTERNAL_MESH["Internal Private Mesh (10.42.5.0/24)"]
Backend["⚙️ soc-backend-d1895c70f6b2\nIP: 10.42.5.103\nPort: 7681 / 4000 (Private)"]
Redis["🗄️ soc-redis-10f420c389ef\nIP: 10.42.5.99\nPort: 6379 (Private Raw TCP)"]
Tester["🔍 soc-tester-9b6540e2d4ed\nIP: 10.42.5.102\nDiagnostic & Security Pod"]
subgraph INTERNAL_MESH["Private Internal Mesh (10.42.5.0/24)"]
Backend["⚙️ soc-backend-d1895c70f6b2\nIP: 10.42.5.103\nPort: 4000 (Strictly Private)\nPublic Access: Disabled (404)"]
Redis["🗄️ soc-redis-10f420c389ef\nIP: 10.42.5.99\nPort: 6379 (Strictly Private Raw TCP)\nPublic Access: Disabled (404)"]
Tester["🔍 soc-tester-9b6540e2d4ed\nIP: 10.42.5.102\nDevSecOps Penetration Pod"]
end
end
subgraph PREVIOUS_PROJECTS["📁 Other Projects in Same Tenant (Vulnerable Boundary)"]
subgraph OTHER_PROJECTS["📁 Other Projects in Tenant (Vulnerable Boundary)"]
AuthApp["🌐 auth-deploy-4c0bca85312b\nIP: 10.42.4.223\nProject: auth-deploy"]
OldRedis["🗄️ test-redis-feccbaec5bd7\nIP: 10.42.5.97\nProject: dns-tcp-test"]
end
DNS["🧭 CoreDNS Server\nIP: 10.43.0.10:53"]
DNS["🧭 CoreDNS Cluster Resolver\nIP: 10.43.0.10:53"]
end
User -->|HTTPS| Gateway
Gateway -->|Internal DNS + TCP 6379| Redis
Gateway -->|Internal DNS + TCP 7681/4000| Backend
Backend -->|Raw TCP 6379| Redis
Browser -->|HTTPS GET| Gateway
Gateway -->|Internal Mesh| Backend
Backend -->|Raw TCP Port 6379| Redis
Tester -->|CoreDNS Query| DNS
%% Lateral Movement Vectors (Finding)
%% Lateral Movement Vectors
Tester -.->|⚠️ Lateral Movement: Cross-Project TCP 6379| OldRedis
Tester -.->|⚠️ Lateral Movement: Cross-Project HTTP 80| AuthApp
```
### بيانات الخدمات المنشورة في المشروع:
| اسم الخدمة | المعرف الفريد الداخلي (UniqueName) | نوع الحاوية | المنفذ | عنوان IP الداخلي | حالة النشر | النطاق الخارجي |
| :--- | :--- | :--- | :--- | :--- | :--- | :--- |
| **soc-gateway** | `soc-gateway-28cd1dc4e034` | Edge Gateway & UI | 7681 / 3000 | `10.42.5.101` | **synced** | `soc-gateway-28cd1dc4e034.hosted.ghaymah.systems` |
| **soc-backend** | `soc-backend-d1895c70f6b2` | REST / Analysis Engine | 4000 / 7681 | `10.42.5.103` | **synced** | *Private Only (No public route)* |
| **soc-redis** | `soc-redis-10f420c389ef` | Cache & Threat DB | 6379 (TCP) | `10.42.5.99` | **synced** | *Private Only (No public route)* |
| **soc-tester** | `soc-tester-9b6540e2d4ed` | DevSecOps Tester Pod | 7681 | `10.42.5.102` | **synced** | `soc-tester-9b6540e2d4ed.hosted.ghaymah.systems` |
### Deployed Services Registry:
| Service Name | Internal Identifier (UniqueName) | Role & Container Type | Port(s) | Internal Overlay IP | Public Routing | Status |
| :--- | :--- | :--- | :--- | :--- | :--- | :---: |
| **ghaymah-soc-gateway** | `ghaymah-soc-gateway` | Edge SOC Dashboard & UI | 80 | Overlay CNI | `https://ghaymah-soc-gateway-ac352412-web-3e953576.hosted.cumin.dev` | **Healthy (Live)** |
| **soc-backend** | `soc-backend-d1895c70f6b2` | Security Analysis API | 4000 | `10.42.5.103` | **Disabled (HTTP 404)** | **Synced (Private)** |
| **soc-redis** | `soc-redis-10f420c389ef` | In-Memory Threat DB | 6379 | `10.42.5.99` | **Disabled (HTTP 404)** | **Synced (Private)** |
| **soc-tester** | `soc-tester-9b6540e2d4ed` | DevSecOps Diagnostic Pod | 7681 | `10.42.5.102` | Management WebSocket | **Synced** |
---
## 3. نتائج اختبارات الوظائف وجودة الاتصال (Functionality & QA Testing)
## 3. Functionality & QA Verification (DNS & TCP)
### 3.1 Internal DNS Verification
DNS queries executed from within the mesh confirmed dynamic resolution across CoreDNS:
### 3.1 اختبارات الـ Internal DNS
تم إجراء استعلامات DNS متقدمة عبر `nslookup` و `dig` داخل شبكة الـ Mesh:
```bash
# 1. فحص خدمة قاعدة البيانات
# Query 1: Resolve Database Service
nslookup soc-redis-10f420c389ef
# النتيجة:
# Output:
Server: 10.43.0.10
Address: 10.43.0.10#53
Name: soc-redis-10f420c389ef.d62f9886-fced-4cf2-98e4-5b62000d4f03.svc.cluster.local
Address: 10.42.5.99
# 2. فحص الخدمة الخلفية
# Query 2: Resolve Backend Service
nslookup soc-backend-d1895c70f6b2
# النتيجة:
# Output:
Address: 10.42.5.103
# 3. فحص البوابة
nslookup soc-gateway-28cd1dc4e034
# النتيجة:
Address: 10.42.5.101
# 4. فحص النطاقات غير الموجودة (Negative Handling)
# Query 3: Negative DNS Handling
nslookup non-existent-service-mesh.local
# النتيجة: NXDOMAIN (تمت المعالجة بشكل قياسي وسليم)
# Output:
** server can't find non-existent-service-mesh.local: NXDOMAIN
```
- **النتيجة**: **PASS (100%)** - أسماء الخدمات تُحلل بالكامل إلى عناوين الـ Overlay IP المناسبة عبر خادم CoreDNS.
* **Result**: **PASS (100%)**. Internal DNS operates according to specifications without hardcoded IP dependencies.
---
### 3.2 اختبارات مآخذ TCP الخام وبروتوكول Redis (Raw TCP Socket Testing)
تم إرسال حزم TCP خام غير مشفرة (RESP Protocol) عبر المنفذ 6379:
### 3.2 Raw TCP Socket Verification (Port 6379)
Non-HTTP TCP communication verified using the Redis RESP serialization protocol:
```bash
# 1. فحص فتح المنفذ عبر اسم النطاق الداخلي
# Step 1: TCP Port Probe via Internal DNS
nc -zv -w 3 soc-redis-10f420c389ef 6379
# الناتج: soc-redis-10f420c389ef (10.42.5.99:6379) open
# Output: soc-redis-10f420c389ef (10.42.5.99:6379) open
# 2. مصافحة PING/PONG عبر Raw TCP
# Step 2: Protocol Handshake (PING)
printf "*1\r\n\$4\r\nPING\r\n" | nc -w 3 soc-redis-10f420c389ef 6379
# الناتج: +PONG
# Output: +PONG
# 3. كتابة حدث أمني (Threat Security Event)
# Step 3: Write Security Threat Event (SET)
printf "*3\r\n\$3\r\nSET\r\n\$16\r\nsoc:threat:id001\r\n\$35\r\nCRITICAL_RANSOMWARE_BLOCKED_ON_MESH\r\n" | nc -w 3 soc-redis-10f420c389ef 6379
# الناتج: +OK
# Output: +OK
# 4. قراءة الحدث الأمني
# Step 4: Retrieve Security Threat Event (GET)
printf "*2\r\n\$3\r\nGET\r\n\$16\r\nsoc:threat:id001\r\n" | nc -w 3 soc-redis-10f420c389ef 6379
# الناتج:
# Output:
$35
CRITICAL_RANSOMWARE_BLOCKED_ON_MESH
```
- **النتيجة**: **PASS (100%)** - اتصال TCP المباشر يعمل بكفاءة متناهية، وأزمنة الاستجابة شبه صفرية (< 1ms).
* **Result**: **PASS (100%)**. Raw TCP communication is fast, lossless, and robust.
---
### 3.3 اختبار الاتصال البيني (Inter-Service Mesh Communication)
تم توجيه أوامر اتصال مباشرة من حاوية بوابة الحافة (`soc-gateway`) إلى الحاويات الخاصة:
- اتصال مباشر من `soc-gateway` إلى `soc-redis:6379`: استجابت بـ `+PONG`.
- اتصال مباشر من `soc-gateway` إلى `soc-backend:7681`: تم تأكيد أن المنفذ `open`.
- **النتيجة**: **PASS (100%)** - قنوات الاتصال البينية مفتوحة وسلسة عبر الـ Mesh.
### 3.3 Inter-Service Mesh Communication
* Direct connection from Edge Gateway pod to `soc-redis:6379` returned `+PONG`.
* Direct connection from Edge Gateway pod to `soc-backend:4000` / `7681` confirmed port open.
* **Result**: **PASS (100%)**.
---
## 4. تقرير اختبارات الاختراق والأمان (Security & Penetration Testing)
## 4. Security & Penetration Testing Results
### جدول نتائج الفحص الأمني (Matrix):
| نوع الفحص الأمني | الهدف المجرّب | النتيجة الفنية | مستوى الخطورة | التقييم |
| :--- | :--- | :--- | :--- | :--- |
| **Intra-Tenant Project Isolation** | `test-redis-feccbaec5bd7` (مشروع آخر) | **REACHABLE (TCP 6379 OPEN)** | **Medium / High** | ⚠️ غياب العزل الشبكي بين مشاريع الحساب الواحد |
| **Intra-Tenant Web Isolation** | `auth-deploy-4c0bca85312b` (مشروع آخر) | **REACHABLE (HTTP 200: `<h1>test</h1>`)** | **Medium / High** | ⚠️ إمكانية التحرك الجانبي وسحب بيانات مشاريع أخرى |
| **Database Public Exposure** | `https://soc-redis-10f420c389ef.hosted...` | **BLOCKED (HTTP 404)** | **Secure** | ✅ قاعدة البيانات محجوبة عن الإنترنت الخارجي |
| **Kubernetes API Protection** | `https://10.43.0.1:443/version` | **401 Unauthorized** | **Secure** | ✅ خادم تحكم الكلاستر محمي بصلاحيات RBAC |
| **Cloud Metadata Protection** | `http://169.254.169.254/` | **BLOCKED / TIMEOUT** | **Secure** | ✅ حماية تامة من هجمات SSRF واختطاف التوكنات |
| **CoreDNS Telemetry Exposure** | `http://10.43.0.10:9153/metrics` | **EXPOSED (Build/Cache Metrics)** | **Low** | ℹ️ قياسات Prometheus مكشوفة داخلياً بدون توثيق |
| **Outbound Egress NAT** | `api.ipify.org` | **NAT IP: `184.107.141.203`** | **Info** | ℹ️ موفر الخدمة: Leaseweb Canada (MTL2) |
### Summary Test Matrix:
| Test Domain | Target | Result | Risk Level | Assessment & Impact |
| :--- | :--- | :---: | :---: | :--- |
| **Cross-Project DNS** | `test-redis-feccbaec5bd7` | **RESOLVED (`10.42.5.97`)** | Medium | Pod resolves hosts across projects in same tenant |
| **Cross-Project TCP** | `test-redis-feccbaec5bd7:6379` | **PORT OPEN (Connected)** | **High** | ⚠️ Unrestricted intra-tenant cross-project lateral movement |
| **Cross-Project HTTP** | `auth-deploy-4c0bca85312b:80` | **HTTP 200 (`<h1>test</h1>`)** | **High** | ⚠️ Pod exfiltrates data from separate project web server |
| **Backend Public Route** | `https://soc-backend...hosted...` | **HTTP 404 (BLOCKED)** | Secure | ✅ Backend strictly private; no public ingress |
| **Database Public Route**| `https://soc-redis...hosted...` | **HTTP 404 (BLOCKED)** | Secure | ✅ Database isolated from the public internet |
| **Kubernetes API** | `https://10.43.0.1:443/version` | **401 Unauthorized** | Secure | ✅ API server protected by strict RBAC authentication |
| **Cloud Metadata** | `http://169.254.169.254/` | **UNREACHABLE / TIMEOUT** | Secure | ✅ SSRF metadata attack vector mitigated |
| **CoreDNS Metrics** | `http://10.43.0.10:9153/metrics` | **EXPOSED (HTTP 200)** | Low | ℹ️ Prometheus metrics accessible internally without auth |
| **Subnet Port Sweep** | `10.42.5.97` - `10.42.5.103` | **Enumerated active ports** | Info | ℹ️ Internal network reconnaissance successful |
| **Egress NAT IP** | `api.ipify.org` | **`184.107.141.203`** | Info | ℹ️ Cluster egress node located in Leaseweb Canada |
---
### 4.1 تفاصيل الثغرة الأمنية المعمارية (Intra-Tenant Lateral Movement)
- **وصف الثغرة**: في منصة Ghaymah، يتم إنشاء كافة المشاريع التابعة لنفس حساب المستخدم داخل مساحة أسماء Kubernetes واحدة مشتركة (`namespace: d62f9886-fced-4cf2-98e4-5b62000d4f03`). لا يتم تطبيق قواعد `NetworkPolicy` لعزل المشاريع برمجياً.
- **سيناريو الهجوم الواقعي**:
إذا تم اختراق أي حاوية ويب في مشروع تجريبي أو ثانوي للمستخدم، يستطيع المهاجم الوصول فوراً إلى قواعد البيانات والخدمات الحساسة في المشاريع الأخرى التابعة لنفس الحساب دون أي عائق شبكي.
- **التوصية الأمنية لمنصة غيمة (Recommendation)**:
1. إنشاء Kubernetes Namespace منفصل لكل مشروع (`project-id`) بدلاً من مشاركة مساحة الاسم العامة للمستخدم.
2. أو تطبيق سياسات شبكية افتراضية (`Default-Deny Ingress NetworkPolicy`) مع السماح فقط بالحركة المرورية بين الحاويات التي تحمل نفس ملصق المشروع (`project.ghaymah.systems/id`).
### 4.1 Detailed Analysis of Intra-Tenant Isolation Flaw
- **Mechanism**: The platform isolates different customer accounts by placing each user into their own Kubernetes namespace (`user_id`). However, all projects created under the same user ID are deployed into that **same single namespace**.
- **Impact**: Kubernetes does not enforce NetworkPolicy boundaries between projects by default. Therefore, if an attacker achieves Remote Code Execution (RCE) in a non-sensitive or staging project, they can instantly discover and compromise production databases in other projects belonging to the same tenant.
- **Remediation Recommendation**:
1. Assign a unique Kubernetes namespace per project (e.g., `user-<id>-proj-<id>`).
2. Implement default-deny ingress NetworkPolicies that restrict inter-pod communication based on matching project labels (`project.ghaymah.systems/id`).
---
## 5. حالة مستودع Git والتكامل مع GitPasha
## 5. Repository & Version Control Status
- تم تسجيل كافة ملفات الاختبار، السكربتات التنفيذية، ملفات التوبولوجيا، وسجلات التشغيل الكاملة داخل المستودع الخاص المنعزل:
* All automated test scripts, logs, structured JSON outputs, and reports are committed and pushed to the dedicated **GitPasha** repository:
- **GitPasha URL**: `https://app.gitpasha.com/Ziad_Abdelgwad/ghaymah-dns-net-sec-tests.git`
- **Commit Log**: موثق ومحدث بالكامل.
- **مستودع `cumin` الأصلي**: نظيف بنسبة 100% ولم يتم التعديل عليه أو مساسه بأي ملفات خارجية.
- **Branch**: `master`
* The original `cumin-soc` repository remains completely clean and untouched.