Audit CouchDB: 간단하고 명확한 CouchDB 보안 평가

Audit CouchDB는 간단한 도구이지만 강력한 메시지를 전달합니다. Apache CouchDB URL을 입력하면 보안에 대해 알고 싶은 모든 것을 알려줍니다.

목표

Audit CouchDB는 다음 작업을 수행합니다:

1. Couch에 대한 가능한 모든 정보를 수집합니다. 예를 들어:

• 서버 구성은 무엇인가?
• 어떤 사용자 계정이 존재하는가?
• 어떤 사용자 역할이 존재하는가?
• 어떤 데이터베이스가 존재하는가?
• 각 데이터베이스의 보안 설정은 무엇인가?
• 각 디자인 문서에서 유효성 검사 함수는 무엇인가?

2. 수집된 정보를 서로 비교하고 보안 문제를 암시하는 경우 경고합니다. 예를 들어:

• Futon의 데이터베이스 페이지에서 "Security" 링크를 클릭하지 않은 것이 분명합니다
• 게시된 CVE 경고가 CouchDB 버전에 적용됩니다
• 디자인 문서에 validate_doc_update 함수가 누락되었습니다
• 각 데이터베이스에 액세스할 수 있는 관리자, 일반 사용자 및 익명 사용자 수에 대한 유용한 요약

사용법

현재 Audit CouchDB는 NPM을 통해 배포되는 Node 애플리케이션입니다. npm을 통해 (전역적으로) 설치하세요.

npm install -g audit_couchdb

다음으로, CouchDB URL을 매개변수로 도구를 실행하세요. 관리자 사용자로 연결해야 Audit CouchDB가 구성 등 가능한 모든 정보를 가져올 수 있습니다.

audit_couchdb https://admin:secret@localhost:5984

도구는 Couch의 보안에 대해 알고 있는 모든 것을 출력합니다.

audit_couchdb의 작동 방식을 보려면 로그 수준을 debug로 설정하세요. Couch에 대한 정보를 수집할 때마다 수행하는 각 쿼리를 표시합니다.

audit_couchdb --level=debug https://admin:secret@localhost:5984

브라우저에서 실행

Audit CouchDB는 라이브러리로 구현되어 있으며, 백엔드 request 라이브러리와 출력을 표시하는 프론트엔드(간단한 콘솔 텍스트 출력 또는 설치된 경우 log4j)에 의존합니다.

최근 브라우저에서 request를 jQuery Request로 다시 구현했습니다. 따라서 Audit CouchDB가 브라우저에서 실행되는 것을 기대하고 있지만, 아직 이 작업을 시작하지 않았습니다.