nickanderson/cfengine-cve-2016-2118Un esempio di policy di rilevamento e rimediation.
#+Title: Inventario e remediation di CVE-2016-2118 #+SETUPFILE: ~/src/org-html-themes/setup/theme-readtheorg.setup
[[file:./media/badlock.png]]
Questa policy rileva gli host vulnerabili a [[https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2118][CVE-2016-2118]] (comunemente noto come [[http://badlock.org][Badlock]]) controllando se una versione di pacchetto nota come vulnerabile è attualmente installata. La policy di remediation mantiene =samba= alla versione =latest= disponibile.
Nota: Questa policy copre attualmente centos 5 e 6. Si prega di considerare di contribuire con il supporto per più piattaforme.
Questa policy si installa utilizzando un [[file:Makefile][Makefile]] tradizionale (ma scritto orribilmente). Per installare è sufficiente clonare questo repository ed eseguire make install MASTERFILES=</path/to/policy_root>.
Ad esempio: #+BEGIN_SRC sh :results raw :wrap EXAMPLE make install MASTERFILES=/tmp/example-a10042 #+END_SRC
#+RESULTS: #+BEGIN_EXAMPLE mkdir -p /tmp/example-a10042/services/cfengine-CVE-2016-2118/cfengine-CVE-2016-2118 rsync -avz --exclude /home/nickanderson/vagrant/tmp/eia/CVE/masterfiles/services/cfengine-CVE-2016-2118/* /tmp/example-a10042/services/cfengine-CVE-2016-2118/ sending incremental file list Makefile README.org main.cf data/ data/centos_5.json data/centos_6.json media/ media/badlock.png
sent 19,776 bytes received 165 bytes 39,882.00 bytes/sec total size is 29,079 speedup is 1.46 find /tmp/example-a10042/services/cfengine-CVE-2016-2118/ -type f | xargs chmod 600 find /tmp/example-a10042/services/cfengine-CVE-2016-2118/ -type d | xargs chmod 700 #+END_EXAMPLE
Dopo aver installato la policy nel tuo policy set devi aggiungerla agli input così che venga parsata.
Se stai eseguendo CFEngine =3.7.3=, =3.8.1= o successivi. Puoi usare il [[https://docs.cfengine.com/docs/master/reference-language-concepts-augments.html][file augments]] per aggiungerla agli input.
Ad esempio: #+BEGIN_SRC json { "inputs": [ "services/cfengine-CVE-2016-2118/main.cf" ] } #+END_SRC
** =inventory_CVE_2016_2118= Questo bundle controlla se la versione installata di samba corrisponde a una versione vulnerabile nota come definito in =data/$(sys.flavor).json=, ad esempio: =data/centos_6.json=. Esistono naturalmente anche altri metodi, come il gestore di pacchetti stesso, che potrebbero essere usati per cercare versioni vulnerabili.
Questo è un bundle autorun, quindi se stai eseguendo il [[https://github.com/cfengine/masterfiles/][Masterfiles Policy Framework]] (la policy predefinita fornita con CFEngine) puoi semplicemente definire la classe =services_autorun=.
#+BEGIN_SRC json { "inputs": [ "services/cfengine-CVE-2016-2118/main.cf" ], "classes": { "services_autorun": [ "any" ] } } #+END_SRC
NOTA: Quando la policy viene eseguita e rileva un host vulnerabile, emette un report e definisce la classe =CVE_2016_2118=.
Ad esempio:
#+BEGIN_EXAMPLE R: Detected Vulnerability: CVE-2016-2118 #+END_EXAMPLE
Gli utenti di CFEngine Enterprise vedranno l'interfaccia Inventory Reporting in Mission Portal arricchita con un nuovo attributo =Vulnerable CVE(s)=.
Ad esempio:
[[file:./media/vulnerable_cves_inventory_attribute.png]]
[[file:./media/inventory_report_vulnerable_cves.png]]
[[file:./media/inventory_report_vulnerable_cves_chart.png]]
[[file:./media/define_alert.png]]
[[file:./media/alert_status_vulnerable_hosts.png]]
** =remediate_CVE_2016_2118= =remediate_CVE_2016_2118= è anch'esso un bundle autorun, ma solo quando è definita la classe =remediate_CVE_2016_2118=.
Esistono numerosi modi per esprimere flessibilmente quali host e in quali periodi di tempo è consentita la remediation automatica.
Se stai eseguendo =3.7.3=, =3.8.1= o successivi, puoi abilitarla per tutta la tua infrastruttura aggiungendola al [[https://docs.cfengine.com/docs/master/reference-language-concepts-augments.html][file augments]].
#+BEGIN_SRC json { "inputs": [ "services/cfengine-CVE-2016-2118/main.cf" ], "classes": { "services_autorun": [ "any" ], "remediate_CVE_2016_2118": [ "any" ] } } #+END_SRC
La policy cerca l'elenco dei pacchetti noti come vulnerabili in un file di dati json nominato in base al flavor del sistema come identificato da =$(sys.flavor)=, ad esempio [[file:data/centos_6.json][=centos_6=]].
