безопасность zabbix

[Samosval]

Подскажите какие есть риски при выделении отдельного специалиста на заббикс, но при этом он не должен иметь доступа к серверам. Т.е. админы отдельно, а спец по мониторингу и информированию отдельно. Хватит ли от него подготовленной инструкции по установке на сервер для мониторинга агента заббикса ? И не будет ли у него при этом возможности поломать сервер через агента ? Какие здесь best practices ?

Второй вопрос из этой же плоскости: если к поимеру ставить клиентам забикс агента и подключать его к своему серверу для мониторинга по параметрам работы сервера, есть ли какие аргументы что данные на сервере клиента при этом не будут скомпромитированны ?

[ableev]

Подскажите какие есть риски при выделении отдельного специалиста на заббикс, но при этом он не должен иметь доступа к серверам.

Если у вас много серверов и специфические приложения, готовьтесь к тому, что без доступа на сервер, некоторые довольно быстрые задачи превращаются в многочасовое пинание "а выполни вот это на сервере", "а вот тебе результат".
Здесь проще выдать доступ + логировать все команды. По исполнению задачи на мониторинг – просто отобрать доступ.
Случай из реальной жизни, так сказать (мы действительно у себя так делаем).

Т.е. админы отдельно, а спец по мониторингу и информированию отдельно. Хватит ли от него подготовленной инструкции по установке на сервер для мониторинга агента заббикса ?

Админы что, не могут поставить простой софт? В заббикс агенте нет ничего специфического, все параметры описаны в вики, если у вас есть подозрения на что-то.

И не будет ли у него при этом возможности поломать сервер через агента ?
Какие здесь best practices ?

Будет и есть.
Во-первых, EnableRemoteCommands=0 делаем.
Во-вторых, проверяем все UserParameter'ы на предмет выполнения там странных скриптов/команд.
В-третьих, если заббиксу выдаётся sudo на какие-то проверки – обязательно проверять, что там выдаётся:
– нет ли каких-то "общих" команд? Типа,

find / *

, а после звёздочки он напишет

-type f -delete

и привет.
– нет ли sudo на какие-нибудь самописные скрипты? Выдавайте sudo только на неизменные бинари (ну или уж прям системные скрипты, до которых просто так не добраться). Если выдали доступ на запуск скрипта из /tmp/ с правами 777, ну, вот вам и анти-бест-практис.

Всё, конечно, зависит от вашего окружения. Если у вас есть менеджер конфигурации, где всё быстро/просто мэйнтейнится, то товарищи админы должны сами знать флоу. По сути, специалист мониторинга тут приравнивается к девелоперу, которому дают доступ на сервер ради какого-нибудь дебага.

Второй вопрос из этой же плоскости: если к поимеру ставить клиентам забикс агента и подключать его к своему серверу для мониторинга по параметрам работы сервера, есть ли какие аргументы что данные на сервере клиента при этом не будут скомпромитированны ?

Кем? Клиентом? Или вашим спецом по мониторингу? Непонятно, что тут имеется в виду.