Общее описание

Плугин проверяет настройки политики контейнеризации на узле.

Проверка идет по следующим параметрам:

файл policy.json установки транспортов и политик доступа к регистраторам:

    Параметр контроля пользователей                                                                                           | Вес метрики


    --------------------------------------------------------------------------------------------------------------------------|-------------


    имеющих `defaultPolicy != reject`, но не входящих в группу `podman_dev`                                                   | 102


    не имеющих не имеющих `registry.local` в списке регистраторов для которых проверяется наличие электронной подписи образов | 103


    имеющих в политике регистраторы для которых не проверяется наличие электронной подписи образов                            | 104


    имеющих в списке поддерживаемых транспорты отличные от `docker` (транспорт получения образов с регистратора)              | 105

файлы привязки регистраторов к серверам хранящим электронные подписи (файл привязки о умолчанию default.yaml и файлы привязки регистраторов *.yaml каталога registries.d). Наличие (число) пользователей:

    Параметр контроля  пользователей                                                                             | Вес метрики


    -------------------------------------------------------------------------------------------------------------|-------------


    не использующих хранилище подписей  `http://sigstore.local:81/sigstore/` как хранилище подписей по умолчанию | 106

•

контроль групп пользователей

наличие пользователей имеющих образы, но не входящих в группу podman:

        Параметр контроля пользователей                                        | Вес метрики


        -----------------------------------------------------------------------|-------------


        наличие пользователей имеющих образы, но не входящих в группу `podman` | 101

* наличие пользователей группы `podman` (за исключением входящих в группу `podman_dev`):

        Параметр контроля  пользователей                                     | Вес метрики


        ---------------------------------------------------------------------|-------------


        входящих в группу `wheel`                                            | 107


        имеющих каталог `.config/containers/` открытым на запись и изменения | 90 * `доля_нарушителей`


        не имеющих файла конфигурации `.config/containers/storage.conf`      | 90 * `доля_нарушителей

доля_нарушителей считается как: число_нарушителей / число_пользователей_группы_podman

Все веса метрик суммируются и формируется итоговая метрика.

Системные логи

Для системных логов уровень опасности определяется для каждого сообщения. Интервалы уровней опасностей, заданные параметрами просматриваются в порядке от большого к меньшему. Уровень сообщения определяется по первому найденному соответствию (не забываете, что триггер срабатывает при нахождении метрики ВНЕ интервала). Если соответствие не найдено, сообщение в системный лог не выводится.

Исходя найденного уровня определяет приоритет сообщения и его тег (префикс). В системный лог командой logger посылается сообщение с указанным приоритетом и тегом:

# logger -p приоритет -t тег "тег: сообщение"

Кроме основного сообщения для nagios формируются:

• список пользователей нарушителей;
• укороченные сообщения для уровня детализации 1.

Логи nagios

Форматы сообщений и кодов завершения плугина описаны в Plugin Output for Nagios https://nagios-plugins.org/doc/guidelines.html#PLUGOUTPUT.

Уровень опасности для логов nagios определяется СУММАРНОЙ метрике. Суммарная метрика определяется для определения уровня сравнивается с интервалами, задаваемыми флагами

• -c - Critical
• -w - Warning

Если соответствие не найдено, в nagios выводится сообщение:

POLICY OK: Политики контейнеризации не нарушены

Код завершение программы (которое обрабатывается на стороне сервера nagios) - 0.

Формат логов для nagios зависит от уровня детализации, задаваемый флагом -v[vv] (см. Verbose Output https://nagios-plugins.org/doc/guidelines.html#AEN41):

Флаг        | Уровень
------------|--------
отcутствует | 0
-v          | 1
-vv         | 2
-vvv        | 3

Для всех уровней формируется префикс сообщение формата:

POLICY $prefix:

Где prefix в зависимости от уровня опасности принимает значения:

• -c - Critical
• -w - Warning

Если уровень детализации - 0, то выводится укороченное сообщение.

POLICY $prefix: Нарушение политик контейнеризации пользователей users

Где users - список пользователей у которых обнаружены нарушения.

Если уровень детализации - 1, то к сообщению с префиксом Есть пользователи: добавляется первый уровень детализации из списка укороченных сообщений сформированных при формировании системных логов.

POLICY $prefix: Нарушение политик контейнеризации пользователей $users | Есть пользователи:
укороченное сообщение

Если уровень детализации - 2, то к сообщению добавляется второй уровень детализации из списка полных сообщений сформированных при формировании системных логов.

POLICY $prefix: Нарушение политик контейнеризации пользователей $users | Есть пользователи:
укороченное сообщение
укороченное сообщение |
полное сообщение

После вывода сообщений плугин завершается кодом завершения:

• Critical - 2
• Warning - 1

•

создайте в /etc/nagios/commands/ конфигурационный файл nagios-plugins-podsec.cfg для всех podsec планинов

define command{


        command_name    podsec-inotify-check-policy


        command_line    $USER1$/check_by_ssh -H $HOSTADDRESS$ -l root -C ´/usr/lib/nagios/plugins/podsec-inotify-check-policy -vvv -w $ARG1$ -l $ARG1$ -c $ARG2$ ´


        }

В command_name надо указать имя плагина которое будет использоваться в секции define service файла конфигурации в каталоге /etc/nagios/objects. В command_line не забудьте если в этом есть необходимость указать флаг -l root для запуска скрипта под пользователем root на удаленной машине. Если для плагина достаточно прав обыкновенного пользователя nagios, флаг -l не нужен.

Переменныe $ARG1, $ARG2, ... берутся из командной строки описания сервиса в каталоге /etc/nagios/objects.

define service {


        use generic-service


        host_name       <host>


        service_description     Check containers policy


        check_command podsec-inotify-check-policy!0!100


        }

В строке service_description укахите иям сервиска которое будет отображаться в WEB-интерейсе nagios. В check_command имя команды, из вышеописанного файла nagios-plugins-podsec.cfg каталога /etc/nagios/commands/. Параметры использумые в команде указываются через символ |.

Запуск сервиса через systemd/Timers

Кроме запуска скрипта через nagios скрипт может запускаться через systemd/Timers. В состав пакета входит systemd-файлы podsec-inotify-check-policy.service, podsec-inotify-check-policy.timer. Файл сервисов podsec-inotify-check-policy.service описывает в параметре ExecStart строку с описанием режима запуска скрипта podsec-inotify-check-policy. Скрипт запускается с флагами -vvv -c 100 - выводить подробную информацию, все сообщения имеют уровень c - критический. Если во время работы скрипта обнаружены некорректные настройки политики, они выводятся в системный лог и передаются почтой системному администратору (root).

Расписание запуска сервиса podsec-inotify-check-policy.service описывается в параметре OnCalendar файла расписания podsec-inotify-check-policy.timer. Сервис вызывается ежечасно.

По умолчанию таймер запуска сервиса выключен. Для его включения наберите команду:

#  systemctl enable --now podsec-inotify-check-policy.timer

Если необходимо изменить режим запуска скрипта отредактируйте параметр OnCalendar файла расписания podsec-inotify-check-policy.timer.