Безопасность мониторинга: auth и authz — Prometheus

Безопасность мониторинга: аутентификация и авторизация

«Безопасность мониторинга — это безопасность всей системы»

#Угрозы

Несанкционированный доступ к метрикам
Утечка чувствительных данных
Manipulation алертов

#TLS

Prometheus не имеет встроенного TLS. Используйте reverse proxy:

server {
    listen 443 ssl;
    server_name prometheus.example.com;
    
    ssl_certificate /etc/ssl/certs/prometheus.crt;
    ssl_certificate_key /etc/ssl/private/prometheus.key;
    
    location / {
        proxy_pass http://localhost:9090;
    }
}

#Аутентификация

#oauth2_proxy

# Docker Compose
oauth2-proxy:
  image: quay.io/oauth2-proxy/oauth2-proxy
  command:
    - --provider=github
    - --email-domain=example.com
    - --upstream=http://prometheus:9090

#Basic Auth (для внутренних систем)

# htpasswd файл
htpasswd -c auth admin

#RBAC в Grafana

Роль	Разрешения
Viewer	Просмотр дашбордов
Editor	Создание/редактирование дашбордов
Admin	Полный доступ

#Audit Logging

# grafana.ini
[audit]
enabled = true

#Security Алерты

- alert: FailedLoginSpike
  expr: rate(grafana_login_failed_total[5m]) > 10
  severity: warning

- alert: ConfigChanged
  expr: changes(grafana_dashboards_total[5m]) > 0
  severity: info

#Network Segmentation

Prometheus в отдельной subnet
Доступ к targets через VPC peering
Grafana доступна только через VPN/bastion

Роль

Разрешения

Viewer

Просмотр дашбордов

Editor

Создание/редактирование дашбордов

Admin

Полный доступ