详细内容或原文请订阅后点击阅览
你的 Prometheus 服务器和导出器安全吗？可能不安全
信息安全简介 另外：Netscaler 暴力破解攻击；BeyondTrust API 密钥被盗；还有更多 Prometheus 开源监控工具包的用户面临着一个巨大的问题：数十万台服务器和导出器暴露在互联网上，造成了重大的安全风险，使组织容易受到攻击。
来源:The Register _恶意软件信息安全简介 Prometheus 开源监控工具包的用户面临着一个巨大的问题：数十万台服务器和导出器暴露在互联网上，造成重大安全风险并使组织容易受到攻击。
信息安全简介Aqua Security 上周报告称，它发现了超过 296,000 个面向互联网的 Prometheus 导出器（将信息从其他信息安全工具导出到 Prometheus 的工具），40,000 台服务器面临潜在风险。
报告不幸的是，这并不是 Prometheus 本身的问题，因为该工具的文档“假定，如果不采取适当的措施保护实例免受更广泛的互联网的影响，不受信任的用户可以查看有关 Prometheus 的信息，特别是 Prometheus HTTP 端点、日志和调试信息”，Aqua 解释说。
“通过可公开访问的 Prometheus 服务器或导出器泄露信息的概念并不新鲜，”Aqua 补充道，并引用了之前关于该问题的大量报告。尽管之前曾发出警告，“暴露实例的数量仍然高得惊人。”
Aqua 的研究人员写道，这远非理论上的风险。他们能够访问未经身份验证的 Prometheus 服务器来检索数据，包括身份验证令牌、API 密钥、Docker 注册表、系统映像和各种公司信息。Prometheus 导出器也容易受到“RepoJacking”的攻击——接管 GitHub 项目以植入恶意代码。
Aqua 研究人员还发现，/debug/pprof 端点（旨在分析远程主机）可被利用来对受影响的系统执行拒绝服务攻击。安全部门发现，pprof 的问题之前曾被指出，但似乎尚未解决。
换句话说，您需要做一些工作来锁定您的 Prometheus 服务器和导出器。Aqua 的报告中包含了缓解建议。