1 Bonnes pratiques de sécurité
Vue d’ensemble
Cette section contient les bonnes pratiques pour configurer Zabbix de manière sécurisée.
Les pratiques décrites dans cette section ne sont pas nécessaires au fonctionnement de Zabbix, mais sont recommandées pour une meilleure sécurité du système.
Encodage UTF-8
UTF-8 est le seul encodage pris en charge par Zabbix. Il est reconnu pour fonctionner sans aucune faille de sécurité. Les utilisateurs doivent savoir qu’il existe des problèmes de sécurité connus lors de l’utilisation de certains autres encodages.
Chemins de l’installateur Windows
Lors de l’utilisation des installateurs Windows, il est recommandé d’utiliser les chemins par défaut fournis par l’installateur. L’utilisation de chemins personnalisés sans autorisations appropriées pourrait compromettre la sécurité de l’installation.
Macros dans les scripts globaux définis par l'utilisateur
Pour renforcer la sécurité, il est recommandé d'utiliser des fonctions de macro au lieu de macros simples dans les scripts globaux définis par l'utilisateur, car les macros ne sont pas automatiquement échappées.
Avis de sécurité Zabbix et base de données CVE
Consultez Avis de sécurité Zabbix et base de données CVE.
HTML email templates
When creating or editing message templates used for HTML emails, always wrap every macro with the htmlencode() macro function.
For example:
<b>Problem started</b> at {{EVENT.TIME}.htmlencode()} on {{EVENT.DATE}.htmlencode()}<br><b>Problem name:</b>
{{EVENT.NAME}.htmlencode()}<br><b>Host:</b> {{HOST.NAME}.htmlencode()}
<br><b>Severity:</b>
{{EVENT.SEVERITY}.htmlencode()}<br><b>Operational
data:</b> {{EVENT.OPDATA}.htmlencode()}<br><b>Original problem ID:</b> {{EVENT.ID}.htmlencode()}<br>{{TRIGGER.URL}.htmlencode()}Using htmlencode() ensures that any HTML characters in macro values are escaped and prevents injection of HTML into notifications (for example, an attacker inserting a malicious/phishing link into a notification).
Note: the default HTML email messages provided by Zabbix already apply htmlencode() to macros.
This guidance applies when editing existing templates or creating new ones — verify that macros are encoded before using a template to send HTML email.