Documentation

#13 Controles de agentes restrictivos

Descripción general

Es posible restringir los controles por parte del agente creando una lista negra de métricas, lista blanca o una combinación de lista blanca/lista negra.

Para ello utilice una combinación de dos parámetros de configuración del agente:

• AllowKey=<pattern> - qué comprobaciones están permitidas; el <patrón> es especificado usando una expresión comodín (*)
• DenyKey=<pattern> - qué comprobaciones se rechazan; el <patrón> es especificado usando una expresión comodín (*)

Tenga en cuenta que:

• Todas las métricas system.run[*] (comandos remotos, scripts) están deshabilitadas de forma predeterminada, incluso cuando no se especifican claves de denegación;
• Desde Zabbix 5.0.2 el parámetro del agente EnableRemoteCommands es:
  • obsoleto por el agente de Zabbix
  • no soportado por Zabbix agent2

Por lo tanto, para permitir comandos remotos, especifique AllowKey=system.run[<command>,*] para cada comando permitido, * representa el modo de espera y no espera. También es posible especificar el parámetro AllowKey=system.run[*] para permitir todos los comandos con modos de espera y no espera. Para no permitir comandos remotos específicos, agregue parámetros DenyKey con comandos system.run[] antes del parámetro AllowKey=system.run[*].

Reglas importantes

• Solo se permite una lista blanca sin una regla de denegación para system.run[*] elementos. Para todos los demás elementos, los parámetros AllowKey no están permitidos sin un parámetro DenyKey; en este caso, el agente Zabbix ** no lo hará empezar** con solo los parámetros AllowKey.
• El orden importa. Los parámetros especificados se comprueban uno por uno según su orden de aparición en el archivo de configuración:
  • Tan pronto como la clave de un elemento coincida con una regla de permitir/denegar, el elemento se ya sea permitido o denegado; y la verificación de reglas se detiene. Así que si un artículo coincide tanto con una regla de permitir como con una regla de denegar, el resultado será depende de qué regla viene primero.
  • El orden afecta también al parámetro EnableRemoteCommands (si se usa).
• Se admite un número ilimitado de parámetros AllowKey/DenyKey.
• Las reglas AllowKey, DenyKey no afectan a HostnameItem, Parámetros de configuración HostMetadataItem, HostInterfaceItem.
• El patrón de clave es una expresión comodín donde el comodín (*) carácter coincide con cualquier número de cualquier carácter en cierta posición. Puede usarse tanto en el nombre de la clave como en los parámetros.
• Si una clave de artículo específica no está permitida en la configuración del agente, el el elemento se informará como no compatible (no se da ninguna pista sobre el razón);
• El agente Zabbix con la opción de línea de comando --print (-p) no se mostrará claves que no están permitidas por la configuración;
• Volverá el agente de Zabbix con la opción de línea de comando --test (-t) "Clave de elemento no admitida". estado de las claves que no están permitidas por configuración;
• Los comandos remotos denegados no se registrarán en el registro del agente (si LogRemoteCommands=1).

Allow/deny rule order

You can specify an unlimited number of AllowKey or DenyKey rules, though their order matters.

• Rules are evaluated one by one, from top to bottom.
• When an item key matches a rule, it is either allowed or denied, and rule evaluation stops.

For example, when evaluating vfs.file.contents[/etc/passwd], the rules are processed as follows:

AllowKey=vfs.file.contents[/tmp/app.log]    # Item key pattern does not match, agent proceeds to the next rule.
       AllowKey=vfs.file.contents[/etc/passwd]     # Item key pattern matches; agent allows the item check and stops rule evaluation.
       DenyKey=vfs.file.*[*]                       # Agent ignores the rule, as the evaluation has stopped.

The following rule order will deny the item check:

DenyKey=vfs.file.*[*]                       # Item key pattern matches; agent denies the item check and stops rule evaluation.
       AllowKey=vfs.file.contents[/etc/passwd]     # Agent ignores the rule, as the evaluation has stopped.
       AllowKey=vfs.file.contents[/tmp/app.log]    # Agent ignores the rule, as the evaluation has stopped.

Casos de uso

Allowing specific checks and commands

Allow only two vfs.file item checks and two system.run commands:

AllowKey=vfs.file.contents[/tmp/app.log]
       AllowKey=vfs.file.size[/tmp/app.log]
       AllowKey=system.run[/usr/bin/uptime]
       AllowKey=system.run[/usr/bin/df -h /]
       DenyKey=vfs.file.*[*]

Allowing scripts

Allow Zabbix agent to execute scripts on hosts via all available methods:

• Global scripts that can be executed in the frontend or via API (this method always uses the system.run[myscript.sh] key)
• Remote commands from action operations (this method always uses the system.run[myscript.sh,nowait] key)
• system.run Zabbix agent items with the script, for example:
  • system.run[myscript.sh]
  • system.run[myscript.sh,wait]
  • system.run[myscript.sh,nowait]

AllowKey=system.run[myscript.sh,*]

To control the wait/nowait parameter, you must set a different rule. For example, you can allow only system.run[myscript.sh,wait] items, thus excluding other methods:

AllowKey=system.run[myscript.sh,wait]

Securing allow/deny rules

This example shows how to secure overly permissive AllowKey or DenyKey rules.

Consider the following rules:

AllowKey=system.run["C:\Program^ Files\Zabbix^ Agent^ 2\scripts\test.bat*"]
       DenyKey=vfs.file.*
       DenyKey=system.cpu.load[*]

These rules contain a wildcard (*), which can be misused:

• The test.bat script can be executed with any arguments, including unintended ones.
• The vfs.file.* pattern matches only item keys without parameters; however, all vfs.file items require parameters.
• The system.cpu.load[*] pattern matches only item keys with parameters; however system.cpu.load items do not require parameters.

To secure these rules, explicitly allow executing test.bat only with specific arguments, and deny correct item key patterns; for example:

AllowKey=system.run["C:\Program^ Files\Zabbix^ Agent^ 2\scripts\test.bat status"]
       AllowKey=system.run["C:\Program^ Files\Zabbix^ Agent^ 2\scripts\test.bat version"]
       DenyKey=vfs.file.*[*]
       DenyKey=system.cpu.load
       DenyKey=system.cpu.load[*]

You can test the rules by running the following commands, which will return ZBX_NOTSUPPORTED.

cd "C:\Program Files\Zabbix Agent 2"
       zabbix_agent2.exe -t system.run["C:\Program^ Files\Zabbix^ Agent^ 2\scripts\test.bat debug"]
       zabbix_agent2.exe -t vfs.file.size["C:\ProgramData\MyApp\config.ini"]
       zabbix_agent2.exe -t vfs.file.contents["C:\Windows\System32\drivers\etc\hosts"]
       zabbix_agent2.exe -t system.cpu.load
       zabbix_agent2.exe -t system.cpu.load[all,avg1]

Ejemplos de patrones