Prommetrix

Informazioni:

Prommetrix è uno strumento software gratuito per ottenere informazioni rilevanti dalle istanze di 'Node Exporter' eseguite da 'Prometheus'.

Prometheus è una soluzione open-source di monitoraggio e allerta basata su metriche per applicazioni cloud. È utilizzato da quasi 800 organizzazioni cloud-native, tra cui Uber, Slack, Robinhood e altre. Raccogliendo metriche in tempo reale da vari endpoint, Prometheus consente di osservare facilmente lo stato di un sistema, oltre all'osservazione di metriche hardware e software come l'utilizzo della memoria, l'utilizzo della rete e metriche definite specificamente dal software (es. numero di tentativi di accesso falliti a un'applicazione web).

• https://prometheus.io/docs/guides/node-exporter/

Poiché le metriche numeriche catturate da Prometheus non sono considerate dati sensibili, Prometheus ha mantenuto una comprensibile politica di evitare il supporto integrato per funzionalità di sicurezza come autenticazione e crittografia, al fine di concentrarsi sullo sviluppo delle funzionalità di monitoraggio. Ciò è cambiato meno di un anno fa (gen 2021), con il rilascio della versione 2.24.0 in cui sono stati introdotti il supporto per Transport Layer Security (TLS) e l'autenticazione di base.

Poiché il supporto per autenticazione e crittografia è relativamente nuovo, molte organizzazioni che utilizzano Prometheus non hanno ancora abilitato queste funzionalità e quindi molti endpoint Prometheus sono completamente esposti a Internet (ad es. endpoint che eseguono versioni precedenti), divulgando dati di metriche ed etichette.

Questa vulnerabilità può essere descritta in un Pentest/Report come:

• PRM-01-001 Client: i client espongono i dati delle metriche tramite endpoint non protetto (LOW)

"I dati delle metriche devono essere raccolti per alcuni servizi e questi elementi devono implementare una libreria client che consenta al servizio Prometheus core di raccogliere i dati. La libreria client apre un server HTTP minimale ed espone una route che viene poi registrata con il servizio core per la raccolta. Questo endpoint non è autenticato per impostazione predefinita, il che consente a chiunque conosca l'URI di leggere i dati delle metriche. Si raccomanda di implementare una qualche forma di autenticazione. Solo al servizio Prometheus core dovrebbe essere consentito di leggere i dati delle metriche."

Dork (usando la porta predefinita):

• inurl:":9100/metrics"

Prommetrix - sfrutterà queste metriche per ottenere informazioni rilevanti dall'istanza Prometheus, oltre che dalla macchina su cui è in esecuzione.

Installazione:

Questo strumento funziona su molte piattaforme e richiede Python (3.x.y).

Avvio:

python prommetrix.py (o python3 prommetrix.py)

Licenza:

Prommetrix è rilasciato sotto GPLv3.

Contatti:

  - psy ([email protected])

Contribuisci:

Per fare donazioni usa il seguente hash:

 - Bitcoin: 19aXfJtoYJUoXEZtjNwsah2JKN9CK5Pcjw