loopback_users = none in rabbitmq.conf ermöglicht die Anmeldung mit guest/guest von jedem Host. Und listeners=PLAINTEXT://:9092 in einer Kafka-server.properties ohne Autorisierungsinstanz erlaubt jedem, der den Port erreicht, Topics zu lesen, zu beschreiben und zu löschen. Dieser Skill findet diese und sechs weitere Arten von Message-Broker-Fehlern vor dem Produktivstart des Brokers und erklärt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für Ihre Broker-Konfigurationen aus: RabbitMQ (rabbitmq.conf, conf.d-Dateien, advanced.config), Mosquitto (mosquitto.conf), Kafka (server.properties, broker.properties, controller.properties) und NATS (nats.conf, nats-server.conf), außerdem .conf-Dateien in einem conf.d-Ordner oder neben diesen Dateien (etwa /etc/mosquitto/conf.d/default.conf), deren Format er anhand des Inhalts erkennt. Er liest jedes Format wie der jeweilige Broker (Erlang-Terme, Listener-spezifische Mosquitto-Einstellungen, Java-Properties mit Zeilenfortsetzung, NATS-Blöcke und -Arrays) und kennt die jeweiligen Standardwerte: RabbitMQ lauscht auf allen Schnittstellen und beschränkt guest auf localhost, Mosquitto 2.x lehnt anonyme Clients ab, sobald ein Listener definiert ist, ein leerer Kafka-Listener-Host bindet an alle Schnittstellen und KRaft-Controller-Listener verwenden standardmäßig PLAINTEXT, während NATS auf 0.0.0.0 lauscht. Der Scanner verbindet sich niemals mit einem Broker. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCKIEREN (vor der Auslieferung beheben)

• B01: Clients ohne Zugangsdaten an einem Netzwerk-Listener (Mosquitto allow_anonymous true, Kafka PLAINTEXT oder SSL ohne Client-Zertifikate und ohne Autorisierungsinstanz, NATS ohne Autorisierung oder mit no_auth_user, RabbitMQ anonymous_login_user)

• B02: RabbitMQ-Benutzer guest mit Zugriff von entfernten Hosts oder default_pass mit guest, dem Benutzernamen oder einem häufigen Wort als Wert

• B03: Kafka allow.everyone.if.no.acl.found=true

• B04: in der Konfiguration ausgeschriebene Passwörter, Tokens und Schlüssel (RabbitMQ default_pass und ssl_options.password, Mosquitto-Bridge remote_password, Kafka-Keystore-Passwörter, eingebettete private Schlüssel und sasl.jaas.config, NATS-Passwörter, -Tokens und Route-URLs)

PRÜFEN (vor der Veröffentlichung prüfen)

• B11: aus dem Netzwerk erreichbare Listener ohne TLS, einschließlich eines neben einem TLS-Listener offen gebliebenen unverschlüsselten RabbitMQ-Ports 5672

• B12: RabbitMQ-Verwaltungsoberfläche (HTTP oder HTTPS) oder NATS-Monitoring-Port auf allen Schnittstellen

• B13: aktivierte automatische Topic-Erstellung in Kafka (auto.create.topics.enable=true oder nicht gesetzt)

• B14: NATS-Cluster- oder Gateway-Ports ohne Autorisierung

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen zu jeder Regel

• Ein unsicheres und ein sicheres Beispielprojekt (Konfigurationen für RabbitMQ, Mosquitto, Kafka und NATS) sowie der tatsächliche Scanner-Bericht für das unsichere Beispiel

Grenzen

Der Scanner liest jede Datei einzeln: Einstellungen aus einer conf.d- oder Include-Datei werden nicht mit denen einer anderen zusammengeführt. Umgebungsvariablen und Kommandozeilenoptionen (Docker-Variablen RABBITMQ_* und KAFKA_*), Passwort- und ACL-Dateien, im Cluster gespeicherte Kafka-ACLs, aktivierte Plugins und Firewalls werden nicht geprüft. Die Mosquitto-Regeln setzen Version 2.x voraus. NOT FLAGGED ist keine Garantie.

Inhalt

Ein ZIP-Archiv mit 14 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (8 Beispieldateien sowie report.md, die tatsächliche Scanner-Ausgabe für das unsichere Beispiel).

Verwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer Datei SKILL.md und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/), und bitten Sie Ihren Agenten anschließend, Ihr Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich Ihre Dateien: kein Netzwerkzugriff, keine Datenübertragung.