mongoaudit は、MongoDBサーバーのセキュリティ監査、脆弱な設定の検出、自動化されたペネトレーションテストを実行するCLIツールです。

インストール

このリポジトリをクローンして、セットアップを実行します：

> git clone https://github.com/stampery/mongoaudit.git
> cd mongoaudit
> python setup.py install
> mongoaudit

はじめに

MongoDBのデフォルト設定にはいくつかの穴があることは広く知られています。この事実に加えて、怠惰なシステム管理者や開発者が多いことが、報道でMongoDBの黙示録と呼ばれる事態を引き起こしました。

mongoauditは、設定ミス、既知の脆弱性やバグを検出するだけでなく、それらを修正する方法についてアドバイスを提供し、ベストプラクティスを推奨し、DevOpsをプロのように行う方法を教えます！

実際のアプリの外観は次のようになります：

そうです、コンソールラインインターフェース上のマテリアルデザインです。（urwid 搭載）

サポートされているテスト

• MongoDBがデフォルトポートとは異なるポートでリッスンしている
• サーバーがホワイトリストに登録されたホスト/ネットワークからの接続のみを受け入れている
• MongoDBのHTTPステータスインターフェースがポート28017でアクセス可能でない
• MongoDBがバージョン番号を公開していない
• MongoDBのバージョンが2.4より新しい
• TLS/SSL暗号化が有効である
• 認証が有効である
• SCRAM-SHA-1認証方式が有効である
• サーバーサイドJavaScriptが禁止されている *
• ユーザーに付与されたロールがCRUD操作のみを許可している *
• ユーザーが単一のデータベースに対する権限を持っている *
• セキュリティバグ CVE-2015-7882
• セキュリティバグ CVE-2015-2705
• セキュリティバグ CVE-2014-8964
• セキュリティバグ CVE-2015-1609
• セキュリティバグ CVE-2014-3971
• セキュリティバグ CVE-2014-2917
• セキュリティバグ CVE-2013-4650
• セキュリティバグ CVE-2013-3969
• セキュリティバグ CVE-2012-6619
• セキュリティバグ CVE-2013-1892
• セキュリティバグ CVE-2013-2132

アスタリスク（*）が付いたテストは、有効な認証情報が必要です。

MongoDBを最大限に保護するには？

mongoaudit が提供するテストスイートのいずれかを実行すると、詳細なレポートをメールで受け取るオプションが表示されます。このパーソナライズされたレポートは、特定の問題を修正し、MongoDBデプロイメントを強化するための一連の有用なガイドへのリンクを提供します。

便宜上、mongoaudit ガイドをMediumのパブリケーションにも公開しています。

コントリビュート

コントリビュートを歓迎します！以下の方法でご協力いただけます：

• 改善提案や直面しているエラーについてIssueを開く。
• このリポジトリをフォークし、プルリクエストを送信する。
• ドキュメントを改善する。

プルリクエストを送信するには、mongoauditリポジトリをフォークし、フォークをクローンします：

git clone [email protected]:<あなたのユーザー名>/mongoaudit.git

変更を提案した後、git push してプルリクエストを送信してください。

法的情報

ライセンス

免責事項

「大いなる力には大いなる責任が伴う」

• このツールを所有していないサーバーで決して使用しないでください。多くの国では、他人のコンピュータシステムへの不正アクセスは犯罪です。
• このツールは自己責任で使用してください。当社は、原因を問わず発生したいかなる損失や損害についても責任を負いません。
• 悪用しないでください！ :trollface:

サポートと商標