Audit CouchDB: シンプルで明確なCouchDBセキュリティ評価

Audit CouchDBは、強力なメッセージを持つシンプルなツールです。Apache CouchDBのURLを指定すると、そのセキュリティについて知りたいことをすべて教えてくれます。

目的

Audit CouchDBは以下のアクションを実行します:

1. データベースに関するあらゆる事実を学習します。例えば:

• サーバー構成はどうなっているか？
• どのユーザーアカウントが存在するか？
• どのユーザーロールが存在するか？
• どのデータベースが存在するか？
• 各データベースのセキュリティ設定はどうなっているか？
• 各デザインドキュメントのバリデーション関数は何か？

2. 上記の事実を互いに比較し、セキュリティ上の懸念を示唆する場合に警告します。例えば:

• Futonのデータベースページで「Security」リンクをクリックするのを明らかに忘れている
• 公開済みのCVEアラートがお使いのCouchDBバージョンに該当する
• デザインドキュメントにvalidate_doc_update関数が欠落している
• 各データベースにアクセスできる管理者、一般ユーザー、匿名ユーザーの数の役立つサマリー

使用方法

現在、Audit CouchDBはNPMで配布されるNodeアプリケーションです。npmを使用して（グローバルに）インストールします。

npm install -g audit_couchdb

次に、CouchDB URLをパラメータとしてツールを実行します。管理者ユーザーとして接続する必要があります。これにより、Audit CouchDBはすべての可能な情報（設定など）を取得できます。

audit_couchdb https://admin:secret@localhost:5984

ツールは、データベースのセキュリティについて知っているすべての情報を出力します。

audit_couchdbがどのように動作しているかを確認するには、ログレベルをdebugに設定します。各クエリが表示され、データベースの事実を学習している様子がわかります。

audit_couchdb --level=debug https://admin:secret@localhost:5984

ブラウザからの実行

Audit CouchDBはライブラリとして実装されており、バックエンドのrequestライブラリと、出力を表示するフロントエンド（シンプルなコンソールテキスト出力、またはlog4j（インストールされている場合））に依存しています。

最近、ブラウザでrequestをjQuery Requestとして再実装しました。そのため、Audit CouchDBがブラウザ上で動作するのを見るのが楽しみですが、この作業はまだ始めていません。