loopback_users = none в rabbitmq.conf позволяет входить с guest/guest с любого узла, а listeners=PLAINTEXT://:9092 в Kafka server.properties без механизма авторизации позволяет любому, кто имеет доступ к порту, читать, записывать и удалять топики. Этот навык находит эти и ещё шесть типов ошибок брокеров сообщений до запуска брокера и объясняет, как исправить каждую из них.

Ваш агент запускает сканер конфигураций брокеров: RabbitMQ (rabbitmq.conf, файлы conf.d, advanced.config), Mosquitto (mosquitto.conf), Kafka (server.properties, broker.properties, controller.properties) и NATS (nats.conf, nats-server.conf), а также файлов .conf в папке conf.d или рядом с перечисленными файлами (например, /etc/mosquitto/conf.d/default.conf), формат которых определяется по содержимому. Он читает каждый формат так же, как соответствующий брокер (термы Erlang, настройки Mosquitto для отдельных слушателей, свойства Java с продолжением строк, блоки и массивы NATS), и знает стандартные настройки каждого брокера: RabbitMQ слушает на всех интерфейсах и ограничивает guest адресом localhost, Mosquitto 2.x отклоняет анонимных клиентов при наличии явно заданного слушателя, пустой адрес слушателя Kafka означает привязку ко всем интерфейсам, слушатели контроллера KRaft по умолчанию используют PLAINTEXT, а NATS слушает на 0.0.0.0. Сканер никогда не подключается к брокеру. Он возвращает BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

БЛОКИРОВКА (исправить до выпуска)

• B01: допуск клиентов без учётных данных на сетевом слушателе (Mosquitto allow_anonymous true, Kafka PLAINTEXT или SSL без клиентских сертификатов и механизма авторизации, NATS без авторизации или с no_auth_user, RabbitMQ anonymous_login_user)

• B02: удалённый доступ для пользователя guest в RabbitMQ либо default_pass со значением guest, именем пользователя или распространённым словом

• B03: Kafka allow.everyone.if.no.acl.found=true

• B04: пароли, токены и ключи, записанные в конфигурации (RabbitMQ default_pass и ssl_options.password, Mosquitto bridge remote_password, пароли хранилищ ключей Kafka, встроенные закрытые ключи и sasl.jaas.config, пароли, токены и URL маршрутов NATS)

ТРЕБУЕТ ПРОВЕРКИ (проверить до выпуска)

• B11: доступные из сети слушатели без TLS, включая незашифрованный порт RabbitMQ 5672, оставленный открытым наряду со слушателем TLS

• B12: интерфейс управления RabbitMQ (HTTP или HTTPS) либо порт мониторинга NATS на всех интерфейсах

• B13: включённое автоматическое создание топиков Kafka (auto.create.topics.enable=true либо параметр не задан)

• B14: порты кластера или шлюза NATS без авторизации

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник правил с объяснением причин и более безопасным подходом для каждого правила

• Небезопасный и безопасный примеры проекта (конфигурации RabbitMQ, Mosquitto, Kafka и NATS) и фактический отчёт сканера для небезопасного примера

Ограничения

Сканер читает каждый файл отдельно: настройки из одного файла conf.d или include не объединяются с другим. Не проверяются переменные окружения и флаги командной строки (переменные Docker RABBITMQ_* и KAFKA_*), файлы паролей и ACL, ACL Kafka, хранящиеся в кластере, включённые плагины и межсетевые экраны. Правила Mosquitto рассчитаны на версию 2.x. NOT FLAGGED не является гарантией.

Состав комплекта

Один ZIP-архив с 14 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (каждое правило с объяснением причины и более безопасным подходом) и examples/ (8 файлов примеров и report.md, фактический вывод сканера для небезопасного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков своего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, без установки дополнительных компонентов. Они только читают ваши файлы: доступа к сети нет, данные никуда не отправляются.