Скрипты и безопасность

Painless и Elasticsearch реализуют уровни безопасности, чтобы создать стратегию защиты в глубину для безопасного выполнения скриптов.

Painless использует детализированный белый список. Всё, что не входит в белый список, приводит к ошибке компиляции. Эта возможность является первым уровнем безопасности в стратегии защиты в глубину для скриптов.

Вторым уровнем безопасности является Java Security Manager. Elasticsearch при запуске включает Java Security Manager, чтобы ограничить действия, которые могут выполнять части кода. Painless использует Java Security Manager в качестве дополнительного уровня защиты, предотвращая выполнение скриптов таких действий, как запись файлов и прослушивание сокетов.

Elasticsearch использует seccomp в Linux, Seatbelt в macOS и ActiveProcessLimit в Windows в качестве дополнительных уровней безопасности, чтобы предотвратить создание виртуальных копий или запуск других процессов Elasticsearch.

Вы можете изменить следующие параметры скрипта, чтобы ограничить типы разрешенных скриптов и контролировать доступные контексты для выполнения скриптов. Чтобы реализовать дополнительные уровни в вашей стратегии защиты в глубину, следуйте принципам безопасности Elasticsearch.

Elasticsearch поддерживает два типа скриптов: inline и stored. По умолчанию Elasticsearch настроен на выполнение обоих типов скриптов. Чтобы ограничить типы выполняемых скриптов, установите script.allowed_types на inline или stored. Чтобы предотвратить выполнение любых скриптов, установите script.allowed_types на none.

Например, чтобы выполнить скрипты типа inline, но не скрипты типа stored:

script.allowed_types: inline

По умолчанию разрешены все контексты скриптов. Используйте параметр script.allowed_contexts, чтобы указать разрешенные контексты. Чтобы не разрешить никакие контексты, установите script.allowed_contexts на none.

Например, чтобы разрешить выполнение скриптов только в контекстах scoring и update:

script.allowed_contexts: score, update