Audit CouchDB: 간단하고 명확한 CouchDB 보안 평가

Audit CouchDB는 강력한 메시지를 담은 간단한 도구입니다. Apache CouchDB URL을 입력하면 보안에 대해 알고 싶은 모든 것을 알려줍니다.

목표

Audit CouchDB는 다음 작업을 수행합니다:

1. CouchDB에 대해 가능한 모든 사실을 알아냅니다. 예를 들어:

   • 서버 구성은 무엇인가?
   • 어떤 사용자 계정이 존재하는가?
   • 어떤 사용자 역할이 존재하는가?
   • 어떤 데이터베이스가 존재하는가?
   • 각 데이터베이스의 보안 설정은 무엇인가?
   • 각 설계 문서의 유효성 검사 함수는 무엇인가?

2. 수집된 사실들을 서로 비교하고 보안 문제를 암시하는 경우 경고합니다. 예를 들어:

   • Futon의 데이터베이스 페이지에서 "보안" 링크를 클릭하지 않았음이 분명합니다.
   • 공개된 CVE 경고가 사용 중인 CouchDB 버전에 적용됩니다.
   • 설계 문서에 validate_doc_update 함수가 누락되었습니다.
   • 각 데이터베이스에 접근할 수 있는 관리자, 일반 사용자, 익명 사용자 수에 대한 유용한 요약입니다.

사용법

현재 Audit CouchDB는 NPM을 통해 배포되는 Node 애플리케이션입니다. npm을 통해 (전역으로) 설치하세요.

npm install -g audit_couchdb

그런 다음 CouchDB URL을 매개변수로 하여 도구를 실행합니다. 관리자 사용자로 연결해야 Audit CouchDB가 (구성 등) 가능한 모든 정보를 가져올 수 있습니다.

audit_couchdb https://admin:secret@localhost:5984

도구는 CouchDB 보안에 대해 알고 있는 모든 정보를 출력합니다.

audit_couchdb가 어떻게 작동하는지 확인하려면 로그 레벨을 debug로 설정하세요. 각 쿼리와 함께 CouchDB에 대해 알아내는 내용을 보여줍니다.

audit_couchdb --level=debug https://admin:secret@localhost:5984

브라우저에서 실행

Audit CouchDB는 라이브러리로 구현되어 있으며, 백엔드 request 라이브러리와 출력을 표시하기 위한 프론트엔드(간단한 콘솔 텍스트 출력, 또는 설치된 경우 log4j)에 의존합니다.

최근에 브라우저에서 request를 jQuery Request로 다시 구현했습니다. 따라서 Audit CouchDB가 브라우저에서 실행되는 것을 보고 싶지만, 아직 이 작업을 시작하지는 않았습니다.