Audit CouchDB: A avaliação de segurança simples e clara para CouchDB

Audit CouchDB é uma ferramenta simples com uma mensagem poderosa. Dado um URL do Apache CouchDB, ela informará tudo o que você sempre quis saber sobre sua segurança.

Objetivo

O Audit CouchDB realizará as seguintes ações:

1. Descobrir todos os fatos possíveis sobre o couch, por exemplo:

• Qual é a configuração do servidor?
• Quais contas de usuário existem?
• Quais funções de usuário existem?
• Quais bancos de dados existem?
• Em cada banco de dados, qual é a configuração de segurança?
• Em cada documento de design, quais são as funções de validação?

2. Com base nos fatos, compará-los entre si e alertar se implicam em uma preocupação de segurança, por exemplo:

• Você obviamente não se preocupou em clicar no link "Segurança" na página do banco de dados no Futon
• Alertas CVE publicados se aplicam à sua versão do CouchDB
• Um documento de design está sem uma função validate_doc_update
• Resumos úteis de quantos administradores, usuários normais e usuários anônimos podem acessar cada banco de dados

Uso

Atualmente, o Audit CouchDB é uma aplicação Node distribuída via NPM. Instale-a (globalmente) via npm.

npm install -g audit_couchdb

Em seguida, execute a ferramenta com o URL do seu CouchDB como parâmetro. Você deve conectar-se como um usuário administrador, para que o Audit CouchDB possa buscar todas as informações possíveis (como a configuração).

audit_couchdb https://admin:secret@localhost:5984

A ferramenta exibirá tudo o que sabe sobre a segurança do seu couch.

Para ver como o audit_couchdb está funcionando, defina seu nível de log como debug. Ele mostrará cada consulta que faz ao descobrir fatos sobre o seu couch.

audit_couchdb --level=debug https://admin:secret@localhost:5984

Executando a partir do Navegador

O Audit CouchDB é implementado como uma biblioteca, dependendo de uma biblioteca request de back-end e de um front-end para exibir a saída (saída de texto simples no console, ou log4j se estiver instalado).

Recentemente, reimplementei o request no navegador como jQuery Request. Portanto, estou animado para ver o Audit CouchDB rodar no navegador, mas ainda não comecei esse trabalho.