Piekļuves kontrole

Pārskats

Šajā sadaļā ir ietvertas labākās prakses piekļuves kontroles drošai konfigurēšanai.

Mazāko privilēģiju princips

Lietotāju kontiem vienmēr jādarbojas ar pēc iespējas mazāku privilēģiju skaitu. Tas nozīmē, ka lietotāju kontiem Zabbix lietotāja saskarnē, datubāzes lietotājiem vai lietotājam Zabbix servera/starpniekservera/aģenta procesos jābūt tikai tām privilēģijām, kas ir būtiskas paredzēto funkciju veikšanai.

Papildu privilēģiju piešķiršana lietotājam 'zabbix' ļaus tam piekļūt konfigurācijas failiem un izpildīt darbības, kas var apdraudēt infrastruktūras drošību.

Konfigurējot lietotāju kontu privilēģijas, jāņem vērā Zabbix lietotāja saskarnes lietotāju tipi. Ņemiet vērā, ka, lai gan Admin lietotāja tips ir ar mazāk privilēģijām nekā Super Admin lietotāja tips, tas joprojām var pārvaldīt konfigurāciju un izpildīt pielāgotus skriptus.

Daļa informācijas ir pieejama arī lietotājiem bez privilēģijām. Piemēram, lai gan Alerts → Scripts ir pieejams tikai Super Admin lietotājiem, skriptus var iegūt arī, izmantojot Zabbix API. Šādā gadījumā skriptu atļauju ierobežošana un sensitīvas informācijas izslēgšana no skriptiem (piemēram, piekļuves akreditācijas dati) var palīdzēt izvairīties no sensitīvas informācijas atklāšanas globālajos skriptos.

Drošs lietotājs Zabbix aģentam

Pēc noklusējuma Zabbix serveris, starpniekserveris un aģents (vai agent 2) procesi izmanto vienu zabbix lietotāju. Lai novērstu to, ka Zabbix aģents/agent 2 (kas darbojas tajā pašā datorā, kur serveris/starpniekserveris) piekļūst sensitīvai informācijai servera/starpniekservera konfigurācijā (piemēram, datubāzes akreditācijas datiem), aģents jāpalaiž ar citu lietotāju:

Zabbix aģentam:

  1. Izveidojiet drošu grupu un lietotāju (piemēram, zabbix-agent).
  2. Norādiet šo lietotāju aģenta konfigurācijas faila User parametrā.
  3. Pārstartējiet aģentu, lai tas pārietu uz jaunā lietotāja privilēģijām.

Zabbix agent 2 gadījumā konfigurācija jāpiemēro pakalpojuma līmenī, jo agent 2 konfigurācijas fails neatbalsta User parametru. Piemēru skatiet ZBX-26442.

Atsaukt rakstīšanas piekļuvi SSL konfigurācijai (Windows)

Ja esat kompilējis Zabbix aģentu operētājsistēmā Windows un OpenSSL atrodas neaizsargātā direktorijā (piem., C:\zabbix, c:\openssl-64bit, C:\OpenSSL-Win64-111-static vai C:\dev\openssl), pārliecinieties, ka lietotājiem, kas nav administratori, ir atsaukta rakstīšanas piekļuve šim direktorijam. Pretējā gadījumā aģents ielādē SSL iestatījumus no ceļa, ko var modificēt lietotāji bez paaugstinātām tiesībām, tādējādi radot iespējamu drošības ievainojamību.

Zabbix komponentu drošības pastiprināšana

Daļu funkcionalitātes var izslēgt, lai pastiprinātu Zabbix komponentu drošību:

  • Globālo skriptu izpildi Zabbix serverī var atspējot, iestatot EnableGlobalScripts=0 servera konfigurācijā.
  • Globālo skriptu izpilde Zabbix starpniekserverī pēc noklusējuma ir atspējota (to var iespējot, iestatot EnableRemoteCommands=1 starpniekservera konfigurācijā).
  • Globālo skriptu izpilde Zabbix aģentos pēc noklusējuma ir atspējota (to var iespējot, katrai atļautajai komandai aģenta konfigurācijā pievienojot parametru AllowKey=system.run[<command>,*]).
  • Piekļuve lietotāju HTTP autentifikācijas konfigurācijai pēc noklusējuma ir iespējota; to var atspējot, frontend konfigurācijas failā (zabbix.conf.php) iestatot $ZBX_FEATURE_FLAGS['http_auth_enabled'] = false.
  • Piekļuve moduļu konfigurācijai pēc noklusējuma ir iespējota; to var atspējot, frontend konfigurācijas failā (zabbix.conf.php) iestatot $ZBX_FEATURE_FLAGS['modules_config_enabled'] = false.
  • Konkrētu mediju tipu rediģēšanu var ierobežot, frontend konfigurācijas failā (zabbix.conf.php) iestatot $ZBX_FEATURE_FLAGS['media_type_denylist'] = [<value1>, <value2>, ...]. Iespējamās vērtības: 'email', 'script', 'sms' un 'webhook'. Var norādīt vienu vai vairākas vērtības.

Lietotāja saskarnes atkārtota instalēšana, palaižot setup.php, ir ierobežota, ja pastāv konfigurācijas fails zabbix.conf.php.

UNC ceļa piekļuve Windows sistēmā, izmantojot Zabbix aģentu

Zabbix aģenti Windows sistēmā seko UNC ceļiem (SMB koplietojumiem, piemēram, \\server\share\file.txt) tādos vienumos kā vfs.file.*, vfs.dir.*, modbus.get un perf_counter*. Dažos gadījumos tas var radīt drošības risku.

Kad Windows tiek lūgts piekļūt UNC ceļam, tā mēģina autentificēties šajā serverī. Tas nozīmē, ka ļaunprātīgs pieprasījums Zabbix aģentam var atklāt NTLM jaucējvērtību pieprasījuma serverim. Ja nepieciešams, lietotāji var mazināt šo risku, izmantojot konfigurācijas parametrus AllowKey un DenyKey.