Quais são os riscos de segurança de tornar o Nagios publicamente visível?

Question

Quais são os perigos de uma organização pública, como uma faculdade ou universidade, publicando serviços de monitoramento como o Nagios em um formato somente leitura publicamente disponível?

    

Answer 1

Eu acho que o maior risco de fornecer interface pública para o Nagios é que os CGIs Nagios não foram escritos de forma endurecida (pelo menos eles nunca afirmaram ser). Uma interface Nagios vaza informações internas como uma peneira.

Não há nada intrinsecamente inseguro sobre o compartilhamento de informações (contanto que você leve em conta o valor das informações que você está dando), e você está ciente de diminuir sua segurança através da obscuridade.

A melhor solução pode ser usar o NagVis ( link ) para criar uma página de fácil utilização onde as pessoas possam ver atualizações de status em um maneira que é mais significativa para eles do que a lista de serviços brutos do Nagios.

Se você decidir apenas exibir a saída, certifique-se de ler a página de considerações de segurança do Nagios ( link )

    

Answer 2

Quando eu estava na faculdade, eles costumavam fornecer o Big Brother como um serviço público somente para leitura, então não é algo inédito. Conhecer a topologia da rede pode abrir riscos se as máquinas não estiverem todas seguras e, se você também estiver relatando números de versão, essa informação será útil para determinar possíveis vulnerabilidades.

Você pode e deve limitar as informações disponíveis ao público, mas descobrimos que sabíamos quais serviços estavam inativos e quando eles voltaram valiosos para nossa equipe de suporte na comunicação com o restante da faculdade.

    

Answer 3

Eu acho que pode ser mais fácil do ponto de vista da segurança, bem como do ponto de vista do usuário, que um script gere uma página HTML estática com o status dos serviços / servidores que são importantes para os usuários. Isso seria muito mais simples para a maioria das pessoas entender - acho que muitos acharão que estados suaves e duros, etc, são confusos. Além disso, nenhuma interface do Nagios será exposta.