Стек мониторинга, скопированный из демопримера, часто содержит GF_AUTH_ANONYMOUS_ORG_ROLE=Admin и GF_SECURITY_ADMIN_PASSWORD=${GRAFANA_ADMIN_PASSWORD:-admin} в docker-compose.yml, источник данных с паролем в provisioning/datasources/datasources.yml и стандартный secret_key, которым шифруются все сохранённые пароли источников данных. Любой, кто получит доступ к порту 3000, сможет редактировать дашборды, запрашивать все источники данных и читать учётные данные. Этот навык находит эти и другие распространённые ошибки Grafana и Prometheus до запуска стека и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для проекта: grafana.ini и custom.ini, переменных GF_* сервиса Grafana в файлах Docker Compose, YAML-файлов провижининга Grafana (источники данных, точки контакта для оповещений, устаревшие средства уведомления, приложения-плагины) и prometheus.yml. Он читает INI-файлы так же, как Grafana (комментарии с ; и #, значения """...""", приоритет последнего значения), поэтому неизменённый grafana.ini из поставки Grafana, в котором все настройки закомментированы, получает NOT FLAGGED. Значение со ссылкой $__file{}, $__env{}, $ENV_NAME или ${ENV_NAME} в любом месте (например, Bearer ${LOKI_TOKEN}) либо переменная GF_*__FILE считаются вынесенными из файла, а явно заданное резервное значение вроде ${VAR:-admin} - нет. Другие YAML-файлы проекта, включая файлы значений чартов Helm, игнорируются. Сканер никогда не запускает Grafana или Prometheus и не подключается к ним. Он возвращает BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

БЛОКИРОВКА (исправить до выпуска)

• G01: admin_password или GF_SECURITY_ADMIN_PASSWORD со стандартным значением admin либо явно записанным паролем, включая резервное значение Compose вроде ${VAR:-admin}

• G02: анонимный доступ с ролью Editor или Admin

• G03: пароли, токены и ключи в файлах провижининга: поля password и basicAuthPassword источников данных, значения secureJsonData, секреты точек контакта, URL вебхуков Slack, Discord, Teams и Google Chat, пароли в URL

• G04: другие учётные данные в grafana.ini или окружении сервиса Grafana: пароли базы данных и SMTP, OAuth client_secret, пароли подключения к кешу, ключи хранилища, токены рендерера

ТРЕБУЕТ ПРОВЕРКИ (проверить до выпуска)

• G11: secret_key, записанный в файле, включая опубликованное Grafana стандартное значение

• G12: отключённый cookie_secure (или HTTPS без него) и cookie_samesite со значением none либо disabled

• G13: allow_embedding = true

• G14: открытая регистрация и вход через GitHub, GitLab или Google без ограничения разрешённой организацией, командой, группой или доменом

• G15: анонимный доступ с ролью Viewer

• G16: прокси аутентификации без белого списка

• G17: пароли basic_auth, учётные данные authorization, bearer-токены и пароли в URL Prometheus, записанные в prometheus.yml

• G18: отключённая проверка TLS (insecure_skip_verify, tlsSkipVerify, tls_skip_verify_insecure, skip_verify)

• G19: отключённая защита входа от перебора паролей

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник правил с объяснением причин и более безопасным подходом для каждого правила

• Небезопасный и безопасный примеры стека мониторинга (grafana.ini, docker-compose.yml, провижининг источников данных и точек контакта, prometheus.yml) и фактический отчёт сканера для небезопасного примера

Ограничения

Сканер читает каждый файл в исходном виде и оценивает его отдельно. Он не видит значения чартов Helm, переменные окружения, заданные вне файлов Compose (Kubernetes, systemd, файлы .env), настройки, изменённые в интерфейсе Grafana, настройки SSO, ldap.toml, конфигурацию Alertmanager и содержимое файлов по ссылкам $__file{}, поэтому настройка, переопределённая в другом месте, может попасть в отчёт или остаться незамеченной. NOT FLAGGED не является гарантией.

Состав комплекта

Один ZIP-архив с 17 файлами: SKILL.md, сканер в scripts/ (4 файла Python), references/rules.md (каждое правило с объяснением причины и более безопасным подходом) и examples/ (10 файлов примеров и report.md, фактический вывод сканера для небезопасного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков своего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, без установки дополнительных компонентов. Они только читают ваши файлы: доступа к сети нет, данные никуда не отправляются.