Използване на скенер за уязвимости в библиотеките Dependency-Check в GitlabCI

Важна част от управлението на уязвимостите е да се разбира добре и да се осигури безопасността на верига за доставки на компонентите на софтуера, от които се изграждат съвременните системи. Екипи, практикуващи гъвкави методологии и DevOps, широко използват библиотеки и рамки с отворен код, за да съкратят времето и разходите за разработка. Но обратната страна на медала е възможността да наследим грешките и уязвимостите на другите.

Очевидно е, че екипът трябва задължително да знае какви компоненти с отворен код са включени в неговите приложения, да следи за сваляне на очевидно надеждни версии от очевидно надеждни източници и да качва актуализирани версии на компонентите след коригиране на новооткритите уязвимости.

В този пост ще разгледаме използването на OWASP Dependency Check за прекратяване на сборката в случай на откриване на сериозни проблеми с вашия код.

В книгата „Сигурност на разработката в Agile проекти“ е описано така. OWASP Dependency Check е безплатен скенер, който каталогизира всички използвани в приложението компоненти с отворен код и показва съществуващите в тях уязвимости. Има версии за Java, .NET, Ruby (gemspec), PHP (composer), Node.js и Python, както и за някои проекти на C/C++. Dependency Check се интегрира с разпространени средства за сборка, включително Ant, Maven и Gradle и сървъри за непрекъсната интеграция като Jenkins.

Dependency Check информира за всички компоненти с известни уязвимости от Националната база данни за уязвимости (NVD) NIST и се обновява на основата на данни от новинарски канали NVD.

За щастие, всичко това може да се прави автоматично с помощта на инструменти като проекта OWASP Dependency Check или търговски програми като Black Duck, JFrog Xray, Snyk, Nexus Lifecycle компанията Sonatype или SourceClear.

Тези инструменти могат да бъдат интегрирани в сборъчни конвейери, за да автоматично се съставя списък на зависимостите с отворен код, да се идентифицират остарели версии на библиотеки и библиотеки, съдържащи известни уязвимости, и да се прекрати сборката в случай на откриване на сериозни проблеми.

OWASP Dependency Check

За тестване и демонстрация на работата на Dependency Check ще използваме това хранилище dependency-check-example.

За да разгледате HTML отчета, трябва да настроите уеб сървъра nginx на вашия gitlab-runner.

Пример за минимална конфигурация на nginx:

server {
    listen       9999;
    listen       [::]:9999;
    server_name  _;
    root         \/home\/gitlab-runner\/builds;

    location \/ {
        autoindex on;
    }

    error_page 404 \/404.html;
        location = \/40x.html {
    }

    error_page 500 502 503 504 \/50x.html;
        location = \/50x.html {
    }

}

В края на компилацията можете да видите следната картина:

Преминаваме по линка и виждаме отчета Dependency Check.

Първият екранен момент — горната част на отчета с кратко съдържание.

Вторият екранен момент показва подробности за CVE-2017-5638. Тук виждаме нивото на CVE и връзки към експлойти.

Третият екранен момент — подробности за log4j-api-2.7.jar. Виждаме нивата CVE 7.5 и 9.8.

Четвъртият екранен момент — подробности за commons-fileupload-1.3.2.jar. Виждаме нивата CVE 7.5 и 9.8.

Ако искате да използвате gitlab pages, това няма да е възможно — падналата задача няма да създаде артефакт.

Пример тук https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages.

Изход от компилацията: артефакти няма, HTML отчета не виждам. Трябва да пробвате Artifact: always

https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages/-/jobs/400004246

Регулиране на нивото на уязвимостите CVE

Най-важната линия в файла gitlab-ci.yaml:

mvn $MAVEN_CLI_OPTS test org.owasp:dependency-check-maven:check -DfailBuildOnCVSS=7

С параметъра failBuildOnCVSS можете да регулирате нивото на CVE уязвимостите, на които трябва да реагирате.

Сваляне на базата данни с уязвимости (NVD) NIST от интернет

Забелязахте ли, че постоянно сваля бази данни с уязвимости (NVD) NIST от интернет:

За сваляне можете да използвате утилита nist_data_mirror_golang

Нека я инсталираме и стартираме.

yum -y install yum-plugin-copr
yum copr enable antonpatsev\/nist_data_mirror_golang
yum -y install nist-data-mirror
systemctl start nist-data-mirror

Nist-data-mirror сваля CVE JSON NIST в \/var\/www\/repos\/nist-data-mirror\/ при стартиране и обновява данните на всеки 24 часа.

За сваляне на CVE JSON NIST е необходимо да настроите уеб сървъра nginx (например на вашия gitlab-runner).

Пример за минимална конфигурация на nginx:

server {
    listen       12345;
    listen       [::]:12345;
    server_name  _;
    root         \/var\/www\/repos\/nist-data-mirror\/;

    location \/ {
        autoindex on;
    }

    error_page 404 \/404.html;
        location = \/40x.html {
    }

    error_page 500 502 503 504 \/50x.html;
        location = \/50x.html {
    }

}

За да не правим дълга команда, където се изпълнява mvn, ще изведем параметрите в отделна променлива DEPENDENCY_OPTS.

Крайната минимална конфигурация на .gitlab-ci.yml ще изглежда така:

променливи:
  MAVEN_OPTS: "-Dhttps.protocols=TLSv1.2 -Dmaven.repo.local=$CI_PROJECT_DIR/.m2/repository -Dorg.slf4j.simpleLogger.log.org.apache.maven.cli.transfer.Slf4jMavenTransferListener=WARN -Dorg.slf4j.simpleLogger.showDateTime=true -Djava.awt.headless=true"
  MAVEN_CLI_OPTS: "--batch-mode --errors --fail-at-end --show-version -DinstallAtEnd=true -DdeployAtEnd=true"
  DEPENDENCY_OPTS: "-DfailBuildOnCVSS=7 -DcveUrlModified=http://localhost:12345/nvdcve-1.1-modified.json.gz -DcveUrlBase=http://localhost:12345/nvdcve-1.1-%d.json.gz"

кеш:
  пътища:
    - .m2/repository

проверка:
  етап: тест
  скрипт:
    - set +e
    - mvn $MAVEN_CLI_OPTS install org.owasp:dependency-check-maven:check $DEPENDENCY_OPTS || EXIT_CODE=$?
    - export PATH_WITHOUT_HOME=$(pwd | sed -e "s//home/gitlab-runner/builds//g")
    - echo "************************* URL Dependency-check-report.html *************************"
    - echo "http://$HOSTNAME:9999$PATH_WITHOUT_HOME/target/dependency-check-report.html"
    - set -e
    - exit ${EXIT_CODE}
  тагове:
    - shell

Telegram чат за DevOps и сигурност
Telegram канал DevSecOps / SSDLC - Безопасна разработка

Източник: habr.com