12 Restringir comprobaciones del agente

Descripción general

Puede controlar qué claves de item Zabbix agent o agent 2 tiene permitido o denegado usar al ejecutar comprobaciones de item, comandos remotos o scripts.

Para ello, use estos parámetros de configuración del agent para definir reglas de अनुमति/denegación:

• AllowKey=<pattern>
• DenyKey=<pattern>
• AllowKeyRegexp=<pattern>
• DenyKeyRegexp=<pattern>

El <pattern> debe contener una sola clave de item.
Para AllowKey y DenyKey, el <pattern> admite comodines (*). El comodín coincide con cualquier número de caracteres en su posición y puede usarse para coincidir con claves de item o parámetros (por ejemplo, vfs.file.*[*]).
Para AllowKeyRegexp y DenyKeyRegexp, el <pattern> admite expresiones regulares. El patrón de expresión regular puede usarse para coincidir con claves de item y sus cadenas de parámetros. Consulte también ejemplos de escape correcto.
Tenga en cuenta que Zabbix agent y Zabbix agent 2 pueden admitir una sintaxis de expresiones regulares diferente.

A diferencia de otros parámetros de configuración del agent, puede especificar un número ilimitado de parámetros AllowKey, DenyKey, AllowKeyRegexp o DenyKeyRegexp.

Notas importantes

• Todos los items system.run están deshabilitados de forma predeterminada (incluso cuando DenyKey y DenyKeyRegexp están vacíos), como si se hubiera establecido DenyKey=system.run[*] o DenyKeyRegexp=^system\.run\[.*\]$ como la última regla. Debido a esto, puede permitir items específicos de system.run sin denegar explícitamente otros items de system.run.

• Si es posible, use AllowKey/AllowKeyRegexp para permitir solo los items necesarios y denegar todo lo demás. Algunas claves pueden aprovecharse para leer archivos no previstos mediante path traversal (por ejemplo, vfs.file.contents["../../../../etc/passwd"]), y las nuevas versiones de Zabbix agent pueden introducir claves no cubiertas por sus reglas DenyKey/DenyKeyRegexp.

• La configuración AllowKey, DenyKey, AllowKeyRegexp y DenyKeyRegexp no afecta a los parámetros de agent HostnameItem, HostMetadataItem ni HostInterfaceItem.

• Los items denegados pasan a no ser compatibles sin ninguna indicación ni mensaje de error; por ejemplo:

  • El parámetro de línea de comandos --print (-p) de Zabbix agent no mostrará las claves de item denegadas.
  • El parámetro de línea de comandos --test (-t) de Zabbix agent devolverá "Unsupported item key." para las claves de item denegadas.
  • Cuando la registración está activada (LogRemoteCommands=1), el archivo de registro de Zabbix agent no registrará los comandos remotos denegados.

Orden de reglas allow/deny

Puede especificar un número ilimitado de reglas AllowKey, DenyKey, AllowKeyRegexp o DenyKeyRegexp, aunque su orden importa.

• Las reglas se evalúan una por una, de arriba hacia abajo.
• Cuando una clave de item coincide con una regla, se permite o se deniega, y la evaluación de reglas se detiene.

Por ejemplo, al evaluar vfs.file.contents[/etc/passwd], las reglas se procesan de la siguiente manera:

AllowKey=vfs.file.contents[/tmp/app.log]    # El patrón de la clave de item no coincide; el agent pasa a la siguiente regla.
AllowKey=vfs.file.contents[/etc/passwd]     # El patrón de la clave de item coincide; el agent permite la comprobación del item y detiene la evaluación de reglas.
DenyKey=vfs.file.*[*]                       # El agent ignora la regla, ya que la evaluación se ha detenido.

El siguiente orden de reglas denegará la comprobación del item:

DenyKey=vfs.file.*[*]                       # El patrón de la clave de item coincide; el agent deniega la comprobación del item y detiene la evaluación de reglas.
AllowKey=vfs.file.contents[/etc/passwd]     # El agent ignora la regla, ya que la evaluación se ha detenido.
AllowKey=vfs.file.contents[/tmp/app.log]    # El agent ignora la regla, ya que la evaluación se ha detenido.

Ejemplos

Los siguientes ejemplos muestran patrones de configuración comunes para AllowKey, DenyKey, AllowKeyRegexp y DenyKeyRegexp.

Permitir comprobaciones y comandos específicos

Permita solo dos comprobaciones de item vfs.file y dos comandos system.run:

usando AllowKey y DenyKey:

AllowKey=vfs.file.contents[/tmp/app.log]
AllowKey=vfs.file.size[/tmp/app.log]
AllowKey=system.run[/usr/bin/uptime]
AllowKey=system.run[/usr/bin/df -h /]
DenyKey=vfs.file.*[*]

usando AllowKeyRegexp y DenyKeyRegexp:

AllowKeyRegexp=^vfs\.file\.(contents|size)\[/tmp/app\.log\]$
AllowKeyRegexp=^system\.run\[/usr/bin/(uptime|df -h /)\]$
DenyKeyRegexp=^vfs\.file\..*\[.*\]$

Permitir scripts

Permita que Zabbix agent ejecute scripts en los hosts mediante todos los métodos disponibles:

• Scripts globales que pueden ejecutarse en el frontend o mediante API (este método siempre usa la clave system.run[myscript.sh])
• Comandos remotos de operaciones de acción (este método siempre usa la clave system.run[myscript.sh,nowait])
• Elementos system.run de Zabbix agent con el script, por ejemplo:
  • system.run[myscript.sh]
  • system.run[myscript.sh,wait]
  • system.run[myscript.sh,nowait]

AllowKey=system.run[myscript.sh,*]

o

AllowKeyRegexp=^system\.run\[myscript\.sh,.*\]$

Para controlar el parámetro wait/nowait, debe establecer una regla diferente. Por ejemplo, puede permitir solo elementos system.run[myscript.sh,wait], excluyendo así otros métodos:

AllowKey=system.run[myscript.sh,wait]

o

AllowKeyRegexp=^system\.run\[myscript\.sh,wait\]$

Protección de reglas allow/deny

Estos ejemplos muestran cómo proteger reglas AllowKey/AllowKeyRegexp o DenyKey/DenyKeyRegexp demasiado permisivas.

Considere las siguientes reglas:

usando AllowKey y DenyKey:

AllowKey=system.run["C:\Program^ Files\Zabbix^ Agent^ 2\scripts\test.bat*"]
DenyKey=vfs.file.*
DenyKey=system.cpu.load[*]

usando AllowKeyRegexp y DenyKeyRegexp:

AllowKeyRegexp=^system\.run\["C:\\Program\sFiles\\Zabbix\sAgent\s2\\scripts\\test\.bat.*"\]$
DenyKeyRegexp=^vfs\.file\..*$
DenyKeyRegexp=^system\.cpu\.load\[.*\]$

Estas reglas contienen un comodín (*) (o .* para patrones basados en expresiones regulares), que puede ser mal utilizado:

• El script test.bat puede ejecutarse con cualquier argumento, incluidos los no deseados.
• El patrón vfs.file.* (^vfs\.file\..*$) coincide con claves de item tanto con parámetros como sin ellos; sin embargo, todos los items vfs.file requieren parámetros.
• El patrón system.cpu.load[*] (^system\.cpu\.load\[.*\]$) coincide solo con claves de item con parámetros; sin embargo, los items system.cpu.load no requieren parámetros.

Para proteger estas reglas, permita explícitamente la ejecución de test.bat solo con argumentos específicos y deniegue patrones correctos de claves de item; por ejemplo:

usando AllowKey y DenyKey:

AllowKey=system.run["C:\Program^ Files\Zabbix^ Agent^ 2\scripts\test.bat status"]
AllowKey=system.run["C:\Program^ Files\Zabbix^ Agent^ 2\scripts\test.bat version"]
DenyKey=vfs.file.*[*]
DenyKey=system.cpu.load
DenyKey=system.cpu.load[*]

usando AllowKeyRegexp y DenyKeyRegexp:

AllowKeyRegexp=^system\.run\["C:\\Program\sFiles\\Zabbix\sAgent\s2\\scripts\\test\.bat (status|version)"\]$
DenyKeyRegexp=^vfs\.file\..+\[.*\]$
DenyKeyRegexp=^system\.cpu\.load(\[.*\])?$

Puede probar las reglas ejecutando los siguientes comandos, que devolverán ZBX_NOTSUPPORTED.

cd "C:\Program Files\Zabbix Agent 2"
zabbix_agent2.exe -t system.run["C:\Program^ Files\Zabbix^ Agent^ 2\scripts\test.bat debug"]
zabbix_agent2.exe -t vfs.file.size["C:\ProgramData\MyApp\config.ini"]
zabbix_agent2.exe -t vfs.file.contents["C:\Windows\System32\drivers\etc\hosts"]
zabbix_agent2.exe -t system.cpu.load
zabbix_agent2.exe -t system.cpu.load[all,avg1]

Ejemplos de patrones

Las siguientes tablas muestran cómo se comparan los patrones de clave de item:

• Una clave coincide con el patrón solo si cumple todas las condiciones de la columna Matches.
• Los parámetros deben estar completamente encerrados entre corchetes (por ejemplo, vfs.file.contents[* y vfs.file.contents*utf8] son patrones no válidos).
• Los ejemplos ilustran solo la coincidencia de patrones; los items reales requieren parámetros.

Para AllowKey y DenyKey:

Para AllowKeyRegexp y DenyKeyRegexp: