Audit CouchDB: A avaliação de segurança simples e clara do CouchDB

O Audit CouchDB é uma ferramenta simples com uma mensagem poderosa. Dada uma URL do Apache CouchDB, ele informará tudo o que você sempre quis saber sobre sua segurança.

Objetivo

O Audit CouchDB realizará as seguintes ações:

1. Aprender todos os fatos possíveis sobre o couch, por exemplo:

• Qual é a configuração do servidor?
• Quais contas de usuário existem?
• Quais funções de usuário existem?
• Quais bancos de dados existem?
• Em cada banco de dados, qual é a configuração de segurança?
• Em cada documento de design, quais são as funções de validação?

2. Com base nos fatos, compará-los entre si e alertar se implicarem em um problema de segurança, por exemplo:

• Você obviamente não se preocupou em clicar no link "Segurança" na página do banco de dados no Futon
• Alertas de CVE publicados se aplicam à sua versão do CouchDB
• Um documento de design está sem uma função validate_doc_update
• Resumos úteis de quantos administradores, usuários comuns e usuários anônimos podem acessar cada banco de dados

Uso

Atualmente, o Audit CouchDB é uma aplicação Node distribuída via NPM. Instale-a (globalmente) via npm.

npm install -g audit_couchdb

Em seguida, execute a ferramenta com sua URL do CouchDB como parâmetro. Você deve se conectar como um usuário administrador, para que o Audit CouchDB possa buscar todas as informações possíveis (como a configuração).

audit_couchdb https://admin:secret@localhost:5984

A ferramenta exibirá tudo o que sabe sobre a segurança do seu couch.

Para ver como o audit_couchdb está funcionando, defina seu nível de log como debug. Ele mostrará cada consulta que faz enquanto aprende fatos sobre seu couch.

audit_couchdb --level=debug https://admin:secret@localhost:5984

Executando a partir do Navegador

O Audit CouchDB é implementado como uma biblioteca, dependendo de uma biblioteca request de back-end e de um front-end para exibir a saída (saída de texto simples no console ou log4j se estiver instalado).

Recentemente, reimplementei o request no navegador como jQuery Request. Portanto, estou animado para ver o Audit CouchDB rodar no navegador, embora ainda não tenha iniciado este trabalho.