Metrics未授权访问致敏感信息泄露，绿盟如何修复？

Question

问题：某企业使用绿盟安全设备后，发现其暴露在公网的Metrics接口（如Prometheus端点）未配置访问控制，导致敏感监控数据（如系统负载、服务状态、内部IP等）可被未授权访问，存在信息泄露风险。请问针对此类Metrics未授权访问漏洞，绿盟设备应如何通过访问策略或安全加固实现有效修复？

Answer 1

针对Metrics接口未授权访问漏洞的绿盟安全设备防护策略与深度加固方案

1. 问题背景与风险分析

随着微服务架构和云原生技术的普及，Prometheus等监控系统广泛用于采集应用和服务的运行指标。然而，许多企业在部署过程中忽视了对/metrics端点的安全配置，导致该接口直接暴露在公网环境中。

攻击者可通过简单HTTP请求获取系统负载、JVM内存使用、内部服务拓扑、IP地址等敏感信息，为后续横向渗透提供情报支持。此类信息泄露虽不直接导致系统被控，但极大提升了整体攻击面。

绿盟科技作为国内领先的网络安全厂商，其防火墙（NF）、Web应用防护系统（WAF）及统一安全管理平台（UTS）均可在此类场景中发挥关键作用。

2. 常见暴露路径与检测方法

• Spring Boot Actuator默认开启/actuator/prometheus
• Prometheus Node Exporter监听0.0.0.0:9100/metrics
• Kubernetes Pod中容器暴露未认证的/metrics端口
• Nginx或Ingress未设置访问控制规则

可通过以下方式快速识别暴露风险：

1. 使用nmap扫描开放端口（如9100, 8080）
2. 利用Burp Suite或curl探测常见metrics路径
3. 通过Censys/Shodan搜索“metrics”关键词暴露资产
4. 结合绿盟NF日志审计模块分析外连请求行为

3. 绿盟设备访问控制策略配置流程

步骤	操作内容	对应设备
1	定义敏感URL特征：/metrics, /prometheus, /actuator/prometheus	NF/WAF
2	创建自定义应用识别规则	NF
3	配置基于源IP的白名单访问策略	NF
4	启用HTTP头部校验（如X-Api-Key）	WAF
5	设置阻断响应码（403/404）并记录日志	UTS联动

4. 安全加固实施建议

仅依赖边界设备无法根除风险，需结合纵深防御理念进行多层加固：

# 示例：Spring Boot配置关闭非必要端点
management.endpoints.web.exposure.include=health,info
management.endpoint.prometheus.enabled=false

# 或启用安全认证
management.metrics.export.prometheus.enabled=true
management.security.enabled=true

对于无法修改代码的服务，可采用Sidecar模式部署Envoy代理，结合绿盟WAF实现外部认证拦截。

5. 自动化响应与威胁狩猎机制

graph TD A[外部扫描请求] --> B{绿盟NF检测} B -->|匹配metrics路径| C[触发IPS规则] C --> D[阻断连接+生成告警] D --> E[同步至UTS平台] E --> F[关联SIEM日志] F --> G[自动封禁恶意IP]

通过绿盟UTS平台实现策略统一管理，并与SOAR系统集成，完成从检测到响应的闭环处理。

6. 长期运维与合规审计建议

建立常态化监控机制：

• 每月执行一次公网暴露面扫描
• 将/metrics访问日志纳入SOC审计范围
• 定期审查绿盟设备策略有效性
• 推动DevSecOps流程嵌入安全基线检查
• 遵循等保2.0中“访问控制”与“安全审计”要求
• 对第三方组件实施SBOM管理
• 开展红蓝对抗演练验证防护能力
• 配置SSL/TLS加密传输metrics数据
• 使用Basic Auth或OAuth2增强身份验证
• 部署网络微隔离限制横向访问