Audit CouchDB: シンプルで明確なCouchDBセキュリティ評価

Audit CouchDBはシンプルなツールですが、強力なメッセージを持っています。Apache CouchDBのURLを指定すると、そのセキュリティについて知りたいすべてを教えてくれます。

目的

Audit CouchDBは以下のアクションを実行します。

1. CouchDBに関するあらゆる事実を把握します。例えば：

• サーバーの設定は何か？
• どのユーザーアカウントが存在するか？
• どのユーザーロールが存在するか？
• どのデータベースが存在するか？
• 各データベースのセキュリティ設定は？
• 各デザインドキュメントのバリデーション関数は？

2. 把握した事実を相互に比較し、セキュリティ上の懸念を示唆する場合は警告を発します。例えば：

• 明らかにFutonのデータベースページで「セキュリティ」リンクをクリックしていない
• 公開されたCVEアラートが使用中のCouchDBバージョンに該当する
• デザインドキュメントに validate_doc_update 関数がない
• 各データベースにアクセスできる管理者、一般ユーザー、匿名ユーザーの数の有益なサマリー

使い方

現在、Audit CouchDBはNPMで配布されているNodeアプリケーションです。npm で（グローバルに）インストールします。

npm install -g audit_couchdb

次に、CouchDBのURLをパラメータとしてツールを実行します。管理者ユーザーとして接続する必要があります。そうすることでAudit CouchDBが（設定などの）すべての可能な情報を取得できます。

audit_couchdb https://admin:secret@localhost:5984

ツールはCouchDBのセキュリティについて知っているすべてを出力します。

audit_couchdb の動作を確認するには、ログレベルをdebugに設定します。CouchDBに関する事実を収集する際に実行する各クエリが表示されます。

audit_couchdb --level=debug https://admin:secret@localhost:5984

ブラウザから実行

Audit CouchDBはライブラリとして実装されており、バックエンドの request ライブラリと、出力を表示するためのフロントエンド（シンプルなコンソールテキスト出力、またはインストールされている場合はlog4j）に依存しています。

最近、ブラウザ向けに request を jQuery Request として再実装しました。そのため、Audit CouchDBがブラウザ上で動作するのを見るのが楽しみですが、まだこの作業には着手していません。