mongoaudit은 MongoDB 서버를 감사하고, 취약한 보안 설정을 탐지하며, 자동화된 침투 테스트를 수행하는 CLI 도구입니다.

설치

이 저장소를 클론하고 셋업을 실행하세요:

> git clone https://github.com/stampery/mongoaudit.git
> cd mongoaudit
> python setup.py install
> mongoaudit

소개

MongoDB의 기본 설정에 여러 보안 취약점이 있다는 것은 널리 알려져 있습니다. 이 사실과 게으른 시스템 관리자 및 개발자들이 결합되어, 언론에서 MongoDB 종말이라고 부르는 상황이 발생했습니다.

mongoaudit은 잘못된 설정, 알려진 취약점 및 버그를 탐지할 뿐만 아니라, 이를 수정하는 방법에 대한 조언을 제공하고, 모범 사례를 권장하며, DevOps를 프로처럼 다루는 방법을 알려줍니다!

실제 앱은 다음과 같은 모습입니다:

네, 이것은 콘솔 라인 인터페이스에서의 머티리얼 디자인입니다. (urwid 기반)

지원되는 테스트

• MongoDB가 기본 포트가 아닌 다른 포트에서 수신 대기 중
• 서버가 화이트리스트에 등록된 호스트/네트워크에서만 연결 수락
• MongoDB HTTP 상태 인터페이스가 포트 28017에서 접근 불가능
• MongoDB가 버전 번호를 노출하지 않음
• MongoDB 버전이 2.4보다 최신
• TLS/SSL 암호화 활성화
• 인증 활성화
• SCRAM-SHA-1 인증 방식 활성화
• 서버 측 JavaScript 금지 *
• 사용자에게 부여된 역할이 CRUD 작업만 허용 *
• 사용자가 단일 데이터베이스에 대한 권한 보유 *
• 보안 버그 CVE-2015-7882
• 보안 버그 CVE-2015-2705
• 보안 버그 CVE-2014-8964
• 보안 버그 CVE-2015-1609
• 보안 버그 CVE-2014-3971
• 보안 버그 CVE-2014-2917
• 보안 버그 CVE-2013-4650
• 보안 버그 CVE-2013-3969
• 보안 버그 CVE-2012-6619
• 보안 버그 CVE-2013-1892
• 보안 버그 CVE-2013-2132

별표(*)로 표시된 테스트는 유효한 인증 자격 증명이 필요합니다.

MongoDB를 가장 잘 보호하려면 어떻게 해야 하나요?

__mongoaudit__에서 제공하는 테스트 스위트 중 하나를 실행하면, 이메일을 통해 상세한 보고서를 받을 수 있는 옵션이 제공됩니다. 이 맞춤형 보고서는 각 특정 문제를 해결하고 MongoDB 배포를 강화하는 방법에 대한 유용한 가이드 시리즈로 연결됩니다.

편의를 위해 mongoaudit 가이드를 Medium 게시물에도 게시했습니다.

기여하기

기여하고 싶으시다면 감사합니다! 다양한 방법으로 도움을 주실 수 있습니다:

• 개선 제안이나 겪고 있는 오류에 대한 이슈를 열어주세요.
• 이 저장소를 포크하고 풀 리퀘스트를 제출해주세요.
• 문서를 개선해주세요.

풀 리퀘스트를 제출하려면 mongoaudit 저장소를 포크한 다음 포크를 클론하세요:

git clone [email protected]:<your-name>/mongoaudit.git

제안하는 변경 사항을 적용하고, git push한 후 풀 리퀘스트를 제출하세요.

법적 고지

라이선스

면책 조항

"With great power comes great responsibility"

• 소유하지 않은 서버에서 이 도구를 절대 사용하지 마세요. 승인되지 않은 타인 컴퓨터 시스템에 대한 무단 접근은 많은 국가에서 범죄입니다.
• 이 도구는 사용자의 책임 하에 사용하시기 바랍니다. 발생할 수 있는 모든 손실이나 손해에 대해 어떠한 책임도 지지 않습니다.
• 악의를 품지 마세요! :trollface:

지원 및 상표