Audit CouchDB: Простая и понятная оценка безопасности CouchDB

Audit CouchDB — это простой инструмент с мощным посылом. Если указать URL Apache CouchDB, он расскажет всё, что вы когда-либо хотели знать о его безопасности.

Цель

Audit CouchDB выполняет следующие действия:

1. Узнать все возможные факты о couch, например:

• Какова конфигурация сервера?
• Какие учётные записи существуют?
• Какие роли пользователей существуют?
• Какие базы данных существуют?
• Какие настройки безопасности в каждой базе данных?
• Какие функции проверки в каждом проектном документе?

2. Учитывая факты, сравнить их друг с другом и предупредить, если они указывают на проблему безопасности, например:

• Вы, очевидно, не удосужились нажать ссылку «Безопасность» на странице базы данных в Futon
• Опубликованные предупреждения CVE относятся к вашей версии CouchDB
• В проектном документе отсутствует функция validate_doc_update
• Полезные сводки о том, сколько администраторов, обычных пользователей и анонимных пользователей могут получить доступ к каждой базе данных

Использование

В настоящее время Audit CouchDB — это приложение Node, распространяемое через NPM. Установите его (глобально) с помощью npm.

npm install -g audit_couchdb

Затем запустите инструмент, указав URL CouchDB в качестве параметра. Подключаться следует как администратор, чтобы Audit CouchDB мог получить всю возможную информацию (например, конфигурацию).

audit_couchdb https://admin:secret@localhost:5984

Инструмент выведет всё, что он знает о безопасности вашего couch.

Чтобы увидеть, как работает audit_couchdb, установите уровень логирования на debug. Он покажет каждый запрос, который выполняет, узнавая факты о вашем couch.

audit_couchdb --level=debug https://admin:secret@localhost:5984

Запуск из браузера

Audit CouchDB реализован как библиотека, зависящая от бэкенд-библиотеки request и фронтенда для отображения вывода (простой вывод текста в консоль или log4j, если он установлен).

Недавно я перереализовал request в браузере как jQuery Request. Поэтому я рад возможности увидеть Audit CouchDB, работающий в браузере, однако я ещё не начал эту работу.