本文目录导读：
天呐！Kibana未授权访问又双叒叕出事，这次我直接原地裂开！
唉，提起这事儿我就来气！ 你说说，Kibana多好用的一个可视化工具啊，怎么老是有人忘了给它设密码呢？我跟你讲，上周我们公司就差点因为这事儿栽了个大跟头——Kibana未授权访问，光是听这名字我就血压飙升！
我的天！这漏洞咋就这么“亲民”呢？
我跟你们说,Kibana未授权访问这个漏洞吧，简直就像你家大门没锁一样夸张！想象一下，大清早的，你穿着睡衣出来拿外卖，结果发现客厅里坐着一排陌生人正在翻你的相册——啊这！这就是Kibana未授权访问的真实写照啊！
卧槽，这谁顶得住啊？ 数据泄露、日志被扒、甚至还能通过Kibana直接操作Elasticsearch里的数据！咱就是说，这哪是漏洞啊，这分明就是“裸奔”啊喂！
为啥大家老是不设防呢？
哎呀,说实话，我也挺理解那些中招的兄弟的，毕竟Kibana配置起来确实有点繁琐，有时候图省事，就直接用默认配置跑了。可是！ 默认配置意味着啥？意味着不需要密码就能访问啊！这不闹呢吗！
我记得我们隔壁组的小王,当时就图方便，把Kibana裸奔在公网上，结果怎么样？好家伙，不到三天，数据就被人爬了个底朝天！当时他那个表情啊，就跟吃了苍蝇一样难受，你说这事闹的，早知如此，何必当初呢！
该怎么防护？兄弟我给你支支招！
首先啊,一定要干掉那个默认配置！千万别学那种“反正内网没事”的心态——现在的攻击者可精着呢，内网穿透对他们来说就跟回自己家一样容易！
其次呢,开启安全认证是必须的！ 你可以用Elasticsearch自带的认证机制，或者加上Nginx做反向代理，再加一层基本认证，说真的，这操作难度就跟往可乐里加冰块那么简单，真不是啥高深技术！
最后啊,限制IP访问权限！这个真不能省！只让该访问的人访问，不该访问的统统挡在门外，还得定期查查访问日志，看看有没有可疑操作。
我的一次真实“社死”经历
给你们讲个有意思的,之前我负责一个项目，也是Kibana没设防，当时测试组的大哥跟我说：“哎呀，你这Kibana可真方便，啥都能看到！”我当时还挺得意，心想那当然了！
结果第二天，客户那边就炸了锅——说是他们的项目数据被人截屏发到论坛上了！我当时那个脸啊，红得跟猴屁股似的！从那以后，我就学乖了，每次部署完都恨不得拿放大镜检查三遍安全配置！
最后说两句掏心窝子的话
唉,写到这里我真心想说，Kibana未授权访问这个坑啊，真的是太容易踩了！大家在部署的时候，千万别偷懒，该设的密码一定要设，该做的防护一定要做。别等到数据被扒了，才在那儿哭爹喊娘，那可就真晚了！
记住啊，安全无小事！ 咱们做技术的，可不能光顾着炫技，还得把自己的“后花园”看好了！好了，今天就跟大家唠到这儿吧！希望看到这篇文的兄弟姐妹们，都能把安全这根弦绷紧喽！
学习网络安全可以加QQ：3382689 （添加时请备注“网络安全学习”）
