معلومات:

Prommetrix هي أداة برمجية حرة لاستخراج معلومات ذات صلة من مثيلات 'Node Exporter' التي يشغّلها 'Prometheus'.

Prometheus هو حل مفتوح المصدر لمراقبة الأحداث والتنبيهات قائم على المقاييس لتطبيقات السحابة. تستخدمه ما يقرب من 800 منظمة سحابية أصلية بما في ذلك Uber و Slack و Robinhood وغيرها. من خلال جمع المقاييس في الوقت الفعلي من نقاط نهاية متنوعة، يتيح Prometheus مراقبة حالة النظام بسهولة بالإضافة إلى مراقبة مقاييس العتاد والبرمجيات مثل استخدام الذاكرة واستخدام الشبكة والمقاييس المحددة برمجيًا (مثل عدد محاولات تسجيل الدخول الفاشلة لتطبيق ويب).

https://prometheus.io/docs/guides/node-exporter/

نظرًا لأن المقاييس الرقمية التي يلتقطها Prometheus لا تُعد بيانات حساسة، فقد اتبع Prometheus سياسة مفهومة تتمثل في تجنب الدعم المدمج لميزات الأمان مثل المصادقة والتشفير، من أجل التركيز على تطوير الميزات المتعلقة بالمراقبة. تغيّر هذا الأمر قبل أقل من عام (يناير 2021)، عند إصدار الإصدار 2.24.0 حيث تم تقديم دعم أمان طبقة النقل (TLS) والمصادقة الأساسية.

نظرًا لأن دعم المصادقة والتشفير جديد نسبيًا، فإن العديد من المؤسسات التي تستخدم Prometheus لم تُفعّل هذه الميزات بعد، وبالتالي فإن العديد من نقاط نهاية Prometheus مكشوفة تمامًا على الإنترنت (مثل نقاط النهاية التي تشغّل إصدارات أقدم)، مما يؤدي إلى تسريب بيانات المقاييس والتسميات.

يمكن وصف هذه الثغرة في اختبار الاختراق/التقرير على النحو التالي:

PRM-01-001 العميل: يكشف العملاء بيانات المقاييس عبر نقطة نهاية غير محمية (LOW)

"يجب جمع بيانات المقاييس لبعض الخدمات، وتحتاج هذه العناصر إلى تنفيذ مكتبة عميل (client-library) تمكّن خدمة Prometheus الأساسية من سحب البيانات. تفتح مكتبة العميل خادم HTTP بسيطًا وتكشف مسارًا (route) يتم تسجيله بعد ذلك مع الخدمة الأساسية للسحب. نقطة النهاية هذه غير مصادق عليها افتراضيًا، مما يسمح لأي شخص يعرف URI بقراءة بيانات المقاييس. يُنصح بوضع شكل من أشكال المصادقة. يجب السماح فقط لخدمة Prometheus الأساسية بقراءة بيانات المقاييس."

Dork (باستخدام المنفذ الافتراضي):

inurl:":9100/metrics"

سيستغل Prommetrix هذه المقاييس للحصول على معلومات ذات صلة من مثيل Prometheus، بالإضافة إلى معلومات من الجهاز الذي يعمل عليه.

التثبيت:

تعمل هذه الأداة على العديد من المنصات وتتطلب Python (3.x.y).

التشغيل:

python prommetrix.py (or python3 prommetrix.py)

الترخيص:

يُصدر Prommetrix بموجب GPLv3.

التواصل:

  - psy ([email protected])

المساهمة:

لتقديم التبرعات، استخدم الهاش التالي:

 - Bitcoin: 19aXfJtoYJUoXEZtjNwsah2JKN9CK5Pcjw

Prommetrix