Audit CouchDB: Простая и понятная оценка безопасности CouchDB

Audit CouchDB — это простой инструмент с мощной идеей. Передайте ему URL Apache CouchDB, и он расскажет вам всё, что вы хотели знать о его безопасности.

Цель

Audit CouchDB выполняет следующие действия:

1. Узнает все возможные факты об экземпляре Couch, например:

• Какова конфигурация сервера?
• Какие учётные записи существуют?
• Какие роли пользователей существуют?
• Какие базы данных существуют?
• В каждой базе данных: какие настройки безопасности?
• В каждом проектном документе: какие функции проверки?

2. На основе полученных фактов сравнивает их друг с другом и предупреждает, если они указывают на проблему безопасности, например:

• Вы, очевидно, не удосужились нажать на ссылку «Безопасность» на странице базы данных в Futon
• Опубликованные предупреждения CVE применимы к вашей версии CouchDB
• В проектном документе отсутствует функция validate_doc_update
• Полезные сводки о том, сколько администраторов, обычных пользователей и анонимных пользователей имеют доступ к каждой базе данных

Использование

В настоящее время Audit CouchDB — это Node-приложение, распространяемое через NPM. Установите его (глобально) с помощью npm.

npm install -g audit_couchdb

Затем запустите инструмент, указав URL вашего CouchDB в качестве параметра. Подключайтесь как администратор, чтобы Audit CouchDB мог получить всю возможную информацию (например, конфигурацию).

audit_couchdb https://admin:secret@localhost:5984

Инструмент выведет всё, что он знает о безопасности вашего экземпляра Couch.

Чтобы увидеть, как работает audit_couchdb, установите уровень журнала в debug. Он покажет каждый запрос, который делает по мере изучения фактов о вашем экземпляре Couch.

audit_couchdb --level=debug https://admin:secret@localhost:5984

Запуск из браузера

Audit CouchDB реализован как библиотека, зависящая от серверной библиотеки request и клиентской части для отображения вывода (простой текст в консоли или log4j, если он установлен).

Недавно я перереализовал request в браузере как jQuery Request. Поэтому мне было бы интересно увидеть Audit CouchDB в браузере, однако я ещё не начал эту работу.