Como parte intrínseca da supervisión de IT, os mecanismos de seguridade que aportan estes sistemas son de vital importancia xa que estes adoitan ser sistemas cun alto grao de acceso cara os servizos precisamente para poder efectuar a súa supervisión. Aspectos como a seguridade nas comunicacións ou a resposta fronte a vulnerabilidades do software son importantes neste contexto.

Zabbix soporta cifrado entre o servidor Zabbix, o proxy Zabbix e o axente Zabbix dende a versión 3.0. As comunicacións cífranse usando o protocolo TLS (Security Layer Security) versión 1.2 tendo dúas opcións a seguir: O cifrado baseado en certificado, similar aos certificados nas páxinas web, e o cifrado baseado en claves seguras precompartidas (PSK).

Aquí tamén Zabbix é moi adaptable ao entorno. O cifrado das comunicacións é opcional e pódese configurar a nivel de compoñentes individuais. Por exemplo, algúns proxies e axentes pódense configurar para usar cifrado baseado en certificado co servidor, mentres que outros poden usar un cifrado con claves precompartidas, outros axentes poderán seguir usando comunicacións en claro.

Seguindo co control de acceso, tamén son configurables a nivel de axente os IPs de orixe autorizadas para estabelecer a conexión co axente. Neste caso o axente só acepta conexións entrantes desde IP autorizados reducindo a superficie de exposición a ataques sen necesidade dun control externo a nivel de firewall.

O acceso ao panel de control tamén está, como é lóxico, restrinxido por nivel de acceso. Neste apartado non hai moito que destacar do que poda ser o enfoque seguido por calquera aplicación web deste tipo: Integración con LDAP; diferentes permisos de acceso á información, auditoría de accesos, etc.

En Zabbix a seguridade vai máis aló das funcionalidades presentes na ferramenta propiamente dita e tamén ten a súa incidencia no ciclo de vida do software. O equipo de Zabbix desenvolveu un ciclo de desenvolvemento no que se percibe un alto estándar de madurez. Así pois todas as evolucións e funcionalidades futuras do software están moi ben reflectidas nas follas de ruta do produto, mais tamén a xestión de erros e vulnerabilidades de Zabbix desfruta deste nivel de xestión.

Para cada lanzamento de versión estable, cada ano e medio, Zabbix recibe un servizo de soporte de cinco anos (5 anos). Son as que se coñecen como as versións LTS (Long Time Support) de Zabbix e que na actualidade son Zabbix 2.0, Zabbix 2.2 e Zabbix 3.0 LTS.

Estas versións reciben actualizacións ata alcanzar a súa data de caducidade do ciclo de vida mais, durante todo este tempo, o software recibe as novas actualizacións de mantemento, incluído correccións e reparacións críticas de erros.

Durante os 3 primeiros anos o soporte é completo de problemas xerais e de fallos críticos e de seguridade. Os seguintes 2 anos adicionais, mantense o de soporte limitado para apoio exclusivo de cuestións críticas e de seguridade. Pasado ese tempo o software considérase obsoleto e recoméndase a actualización a unha nova versión con soporte LTS.

Ciclo de vida de Zabbix

A especial vantaxe de Zabbix con respecto a outras alternativas privativas é que non hai custos ou taxas extra ou mesmo recargos ocultos para ter acceso a unha versión Zabbix LTS, é dicir, é un lanzamento de software 100% de código aberto dispoñible para todos.

Un sistema de supervisión e monitorización como é Zabbix goza naturalmente dun nivel de acceso aos sistemas que o converte nun obxectivo moi apetecible para os ataques. O equipo de Zabbix analiza, rexistra, comunica e corrixe todas as vulnerabilidades atopadas non só por eles mesmos senón tamén por auditorías externas ou pola propia comunidade. Despois, para que estas correccións estean dispoñibles nunha reducida marxe de tempo para a súa aplicación nos sistemas en produción, Zabbix establece e publica as actualizacións nas liñas base no ciclo de vida do produto para que sexan dispoñibles para o seu uso dun xeito libre, transparente, profesional e seguro.

 

Artigos da serie

Zabbix: Solución para a monitorización con Software Libre

Zabbix (1/4) : Orientación ITIL da supervisión de servizos

Zabbix (2/4) : Arquitectura

Zabbix (3/4) : Perfeccionamento do despregue Zabbix

Pin It on Pinterest

Share This