Информация:

Prommetrix — это бесплатный программный инструмент для получения актуальной информации об экземплярах 'Node Exporter', запускаемых с помощью 'Prometheus'.

Prometheus — это решение с открытым исходным кодом для мониторинга событий и оповещения на основе метрик для облачных приложений. Его используют почти 800 cloud-native организаций, включая Uber, Slack, Robinhood и другие. Собирая метрики в реальном времени с различных конечных точек, Prometheus позволяет легко наблюдать за состоянием системы, а также отслеживать аппаратные и программные метрики, такие как использование памяти, сетевой трафик и специальные метрики, определённые программным обеспечением (например, количество неудачных попыток входа в веб-приложение).

https://prometheus.io/docs/guides/node-exporter/

Поскольку числовые метрики, собираемые Prometheus, не считаются чувствительными данными, Prometheus придерживался понятной политики отказа от встроенной поддержки функций безопасности, таких как аутентификация и шифрование, чтобы сосредоточиться на разработке функций, связанных с мониторингом. Это изменилось менее года назад (январь 2021 года) с выходом версии 2.24.0, в которой были представлены поддержка Transport Layer Security (TLS) и базовая аутентификация.

В связи с тем, что поддержка аутентификации и шифрования относительно новая, многие организации, использующие Prometheus, ещё не включили эти функции, и поэтому многие конечные точки Prometheus полностью открыты для Интернета (например, конечные точки, работающие на более ранних версиях), что приводит к утечке данных метрик и меток.

Эта уязвимость может быть описана в пентесте/отчёте следующим образом:

PRM-01-001 Клиент: клиенты раскрывают данные метрик через незащищённую конечную точку (LOW)

"Данные метрик должны собираться для некоторых сервисов, и для этого компоненты должны реализовать клиентскую библиотеку, которая позволяет основному сервису Prometheus собирать эти данные. Клиентская библиотека открывает минимальный HTTP-сервер и предоставляет маршрут, который затем регистрируется в основном сервисе для сбора данных. Эта конечная точка по умолчанию не требует аутентификации, что позволяет любому, кто знает URI, читать данные метрик. Рекомендуется установить какую-либо форму аутентификации. Только основному сервису Prometheus должно быть разрешено читать данные метрик."

Dork (с использованием порта по умолчанию):

inurl:":9100/metrics"

Prommetrix — использует эти метрики для получения актуальной информации об экземпляре Prometheus, а также о машине, на которой он работает.

Установка:

Этот инструмент работает на многих платформах и требует Python (3.x.y).

Запуск:

python prommetrix.py (или python3 prommetrix.py)

Лицензия:

Prommetrix распространяется под GPLv3.

Контакты:

  - psy ([email protected])

Вклад:

Для пожертвований используйте следующий хэш:

 - Bitcoin: 19aXfJtoYJUoXEZtjNwsah2JKN9CK5Pcjw

Prommetrix