Audit CouchDB: Die einfache, klare CouchDB-Sicherheitsbewertung

Audit CouchDB ist ein einfaches Tool mit einer aussagekräftigen Botschaft. Bei Angabe einer Apache CouchDB-URL verrät es Ihnen alles, was Sie schon immer über deren Sicherheit wissen wollten.

Zielsetzung

Audit CouchDB führt folgende Aktionen durch:

1. Alle möglichen Fakten über die Couch erfahren, zum Beispiel:

• Wie lautet die Serverkonfiguration?
• Welche Benutzerkonten existieren?
• Welche Benutzerrollen existieren?
• Welche Datenbanken existieren?
• In jeder Datenbank: Welche Sicherheitseinstellung liegt vor?
• In jedem Design-Dokument: Welche Validierungsfunktionen sind vorhanden?

2. Anhand der Fakten werden diese miteinander verglichen und es wird gewarnt, wenn sie auf ein Sicherheitsproblem hindeuten, zum Beispiel:

• Sie haben offensichtlich nicht den ‚Sicherheit‘-Link in der Datenbankseite in Futon angeklickt
• Veröffentlichte CVE-Warnungen treffen auf Ihre Version von CouchDB zu
• Einem Design-Dokument fehlt eine validate_doc_update-Funktion
• Hilfreiche Zusammenfassungen darüber, wie viele Admins, normale Benutzer und anonyme Benutzer auf jede Datenbank zugreifen können

Verwendung

Derzeit ist Audit CouchDB eine Node-Anwendung, die über NPM vertrieben wird. Installieren Sie sie (global) mit npm.

npm install -g audit_couchdb

Führen Sie dann das Tool mit Ihrer CouchDB-URL als Parameter aus. Sie sollten sich als Admin-Benutzer verbinden, damit Audit CouchDB alle möglichen Informationen (wie die Konfiguration) abrufen kann.

audit_couchdb https://admin:secret@localhost:5984

Das Tool gibt alles aus, was es über die Sicherheit Ihrer Couch weiß.

Um zu sehen, wie audit_couchdb arbeitet, setzen Sie die Protokollebene auf debug. Es zeigt Ihnen jede Abfrage, die es durchführt, während es Fakten über Ihre Couch sammelt.

audit_couchdb --level=debug https://admin:secret@localhost:5984

Ausführung im Browser

Audit CouchDB ist als Bibliothek implementiert, die eine Backend-request-Bibliothek und ein Frontend zur Anzeige der Ausgabe (einfache Konsolentextausgabe oder log4j, falls installiert) verwendet.

Ich habe kürzlich request im Browser als jQuery Request neu implementiert. Daher bin ich gespannt, Audit CouchDB im Browser laufen zu sehen, aber ich habe mit dieser Arbeit noch nicht begonnen.