Jenkins Sicherheit

[=DarkEagle=]

Moin,
demnächst wird hier bei mir testweise Jenkins auf einem Ubuntu-Server laufen.
Bzgl. der Sicherheit von Jenkins finde ich nur das Einschränken der Benuterrechte.

https://wiki.jenkins-ci.org/display/JENKINS/Matrix-based+security
http://www.sitepoint.com/installing-securing-jenkins/

Betreibt hier einer Jenkins und nimmt weitere Sicherungsmaßnahmen vor? Gibt es noch weitere?
Es läuft nur noch ein Tomcat auf dem Server, welcher aber bereits abgesichert wurde.

 

[Madman1209]

Hi,

wird der Jenkins nur lokal benutzt oder ist der übers Internet erreichbar?

VG,
Mad

 

[=DarkEagle=]

Direkt aus dem Internet ist er nicht erreichbar, aber er kommuniziert mit Servern aus einem anderen Netz, die direkt erreichbar sind. Sollten also Server aus dem anderen Netz übernommen werden, ist er indirekt gefährdet. Daher gehen wir am Besten davon aus, dass er direkt erreichbar ist.

 

[benneq]

Im Endeffekt ist es doch wie bei jeder Software die im Netz steht: Kennt man URL, Username und Passwort kann man sich einloggen.

Was du sonst tun kannst:
1. Vergib ein möglichst sicheres Passwort.
2. Evtl. kann man den Login nach 3 Fehlschlägen für eine gewisse Zeit sperren.
3. Lass Jenkins als eigenen Benutzer laufen mit möglichst wenig Rechten.
4. Schalt noch einen Webserver mit Basic Auth davor und mach Jenkins nur vom localhost aus erreichbar, dann braucht man übers Netz schon mal 2 Passwörter um ranzukommen.
5. Alternativ kannst auf dem Webserver natürlich auch ein kleines PHP Skript installieren, das dir per E-Mail einen Zugangscode schickt, etc. pp.

Abgesehen von Punkt 5 ist und bleibt es: Kennt man Username und Passwort kommt man ins System und Bruteforce kann jeder.

 

[=DarkEagle=]

Punkt 1 ist hoffentlich für alle selbstvertsändlich, Punkt 2 wird mit Fail2ban realisiert, Punkt 3 steht auch schon auf dem Plan. Punkt 4 und 5 sind noch gute Ansätze, die man sich überlegen kann.
Interessant wäre noch zu wissen, ob Jenkins selbst noch weitere eigene Sicherheitsmechanismen anbietet. Aber scheinbar nicht, da die Dokumentation dazu nichts hergibt.