Prommetrix

情報:

Prommetrixは、'Prometheus'によって実行される'Node Exporter'のインスタンスから関連情報を取得するためのフリーソフトウェアツールです。

Prometheusは、クラウドアプリケーション向けのオープンソースのメトリクスベースのイベント監視およびアラートソリューションです。Uber、Slack、Robinhoodなどを含む約800のクラウドネイティブ組織で使用されています。Prometheusは、さまざまなエンドポイントからリアルタイムメトリクスをスクレイピングすることで、メモリ使用量、ネットワーク使用量、ソフトウェア固有の定義メトリクス（例: Webアプリケーションへのログイン失敗回数）などのハードウェアおよびソフトウェアメトリクスの観測に加えて、システムの状態を簡単に観測できます。

• https://prometheus.io/docs/guides/node-exporter/

Prometheusが取得する数値メトリクスは機密データとは見なされないため、Prometheusは監視関連機能の開発に集中するために、認証や暗号化などのセキュリティ機能の組み込みサポートを避けるという理解しやすい方針を取ってきました。これは1年足らず前（2021年1月）に、バージョン2.24.0のリリースでTransport Layer Security (TLS)と基本認証サポートが導入されたことで変わりました。

認証と暗号化のサポートが比較的新しいため、Prometheusを使用する多くの組織はまだこれらの機能を有効化しておらず、その結果、多くのPrometheusエンドポイント（例: 以前のバージョンを実行しているエンドポイント）がインターネットに完全に露出し、メトリクスとラベルデータを漏えいしています。

この脆弱性は、ペンテスト/レポートでは次のように説明できます:

• PRM-01-001 クライアント: 保護されていないエンドポイントを介したメトリクスデータの漏えい (LOW)

"メトリクスデータは一部のサービスのために収集され、これらの項目は、 コアのPrometheusサービスがデータをスクレイピングできるようにするクライアントライブラリを実装する必要がある。 クライアントライブラリは最小限のHTTPサーバーを起動し、スクレイピングのためにコアサービスに登録される ルートを公開する。このエンドポイントはデフォルトでは認証されておらず、 URIを知っている人は誰でもメトリクスデータを読むことができる。 いくつかの形態の認証を導入することが推奨される。コアのPrometheusサービスのみが メトリクスデータを読み取ることを許可されるべきである。"

Dork (デフォルトポートを使用):

• inurl:":9100/metrics"

Prommetrixは、これらのメトリクスを利用して、Prometheusインスタンスだけでなく、それが実行されているマシンに関する関連情報も取得します。

インストール:

このツールは多くのプラットフォームで動作し、Python (3.x.y) が必要です。

起動:

python prommetrix.py (or python3 prommetrix.py)

ライセンス:

PrommetrixはGPLv3の下でリリースされています。

連絡先:

  - psy ([email protected])

貢献:

寄付を行うには、次のハッシュを使用してください:

 - Bitcoin: 19aXfJtoYJUoXEZtjNwsah2JKN9CK5Pcjw