Използване на скенер за уязвимости в библиотеките Dependency-Check в GitlabCI

Важно управление уязвимостями, при этом необходимо хорошо понимать и обеспечивать безопасность цепочки поставок тех компонентов ПО, из которых состоят современные системы. Команды, использующие гибкие методики и DevOps, активно применяют библиотеки и фреймворки с открытым исходным кодом, чтобы сократить время и затраты на разработку. Но такая ситуация имеет и свои риски: возможность унаследовать чужие ошибки и уязвимости.

Очевидно, что команде необходимо знать, какие компоненты с открытым исходным кодом используются в их приложениях, следить за тем, чтобы надежные версии загружались из проверенных источников, и обновлять компоненты после исправления вновь обнаруженных уязвимостей.

В этом посте мы рассмотрим использование OWASP Dependency Check для прерывания сборки в случае обнаружения серьезных проблем с вашим кодом.

В книге «Безопасность разработки в Agile-проектах» указано, что OWASP Dependency Check — это бесплатный сканер, который каталогизирует все компоненты с открытым исходным кодом, используемые в приложении, и выявляет содержащиеся в них уязвимости. Доступны версии для Java, .NET, Ruby (gemspec), PHP (composer), Node.js и Python, а также для некоторых проектов на C/C++. Dependency Check интегрируется с популярными средствами сборки, такими как Ant, Maven и Gradle, а также с серверами непрерывной интеграции, такими как Jenkins.

Dependency Check сообщает обо всех компонентах с известными уязвимостями из Национальной базы данных уязвимостей (NVD) NIST и обновляется на основе данных из новостных каналов NVD.

К счастью, все это можно выполнять автоматически с помощью таких инструментов, как проект OWASP Dependency Check, или коммерческих программ, таких как Black Duck, JFrog Xray, Snyk, Nexus Lifecycle компания Sonatype или SourceClear.

Эти инструменты можно интегрировать в сборочные конвейеры для автоматического составления перечня зависимостей с открытым исходным кодом, выявления устаревших версий библиотек и библиотек с известными уязвимостями, а также для прерывания сборки в случае выявления серьезных проблем.

OWASP Dependency Check

Для тестирования и демонстрации работы Dependency Check используем этот репозиторий dependency-check-example.

За да видите HTML отчета, трябва да настроите уеб сървър nginx на вашия gitlab-runner.

Пример за минимална конфигурация на nginx:

server {
    listen       9999;
    listen       [::]:9999;
    server_name  _;
    root         /home/gitlab-runner/builds;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }

}

В края на изграждането можете да видите следната картина:

Отиваме на линка и виждаме отчета Dependency Check.

Първият скрийншот — горната част на отчета с кратко съдържание.

Вторият скрийншот представя подробности за CVE-2017-5638. Тук виждаме нивото на CVE и линкове към експлойти.

Третият скрийншот — подробности за log4j-api-2.7.jar. Виждаме, че нивата на CVE са 7.5 и 9.8.

Четвъртият скрийншот — подробности за commons-fileupload-1.3.2.jar. Виждаме, че нивата на CVE са 7.5 и 9.8.

Ако искате да използвате gitlab pages, това не е възможно — провалилата се задача няма да създаде артефакт.

Пример тук https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages.

Изход от изграждането: артефакти няма, html отчета не виждам. Трябва да опитате Artifact: always

https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages/-/jobs/400004246

Регулиране на нивото на CVE уязвимостите

Най-важната линия в файла gitlab-ci.yaml:

mvn $MAVEN_CLI_OPTS test org.owasp:dependency-check-maven:check -DfailBuildOnCVSS=7

С параметъра failBuildOnCVSS можете да регулирате нивото на CVE уязвимостите, на които да реагирате.

Изтегляне на база данни с уязвимости (NVD) NIST от интернет

Забелязахте, че постоянно изтегля бази данни с уязвимости (NVD) NIST от интернет:

За изтегляне можете да използвате утилита nist_data_mirror_golang

Нека я инсталираме и стартираме.

yum -y install yum-plugin-copr
yum copr enable antonpatsev/nist_data_mirror_golang
yum -y install nist-data-mirror
systemctl start nist-data-mirror

Nist-data-mirror изтегля CVE JSON NIST в /var/www/repos/nist-data-mirror/ при стартиране и обновява данните на всеки 24 часа.

За да изтеглите CVE JSON NIST, трябва да настроите уеб сървър nginx (например на вашия gitlab-runner).

Пример за минимална конфигурация на nginx:

server {
    listen       12345;
    listen       [::]:12345;
    server_name  _;
    root         /var/www/repos/nist-data-mirror/;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }

}

За да не правим дълга команда, в която се стартира mvn, да изнесем параметрите в отделна променлива DEPENDENCY_OPTS.

Итоговата минимална конфигурация на .gitlab-ci.yml ще изглежда така:

променливи:
  MAVEN_OPTS: "-Dhttps.protocols=TLSv1.2 -Dmaven.repo.local=$CI_PROJECT_DIR/.m2/repository -Dorg.slf4j.simpleLogger.log.org.apache.maven.cli.transfer.Slf4jMavenTransferListener=WARN -Dorg.slf4j.simpleLogger.showDateTime=true -Djava.awt.headless=true"
  MAVEN_CLI_OPTS: "--batch-mode --errors --fail-at-end --show-version -DinstallAtEnd=true -DdeployAtEnd=true"
  DEPENDENCY_OPTS: "-DfailBuildOnCVSS=7 -DcveUrlModified=http://localhost:12345/nvdcve-1.1-modified.json.gz -DcveUrlBase=http://localhost:12345/nvdcve-1.1-%d.json.gz"

кеш:
  пътища:
    - .m2/repository

проверка:
  етап: тест
  скрипт:
    - set +e
    - mvn $MAVEN_CLI_OPTS install org.owasp:dependency-check-maven:check $DEPENDENCY_OPTS || EXIT_CODE=$?
    - export PATH_WITHOUT_HOME=$(pwd | sed -e "s//home/gitlab-runner/builds//g")
    - echo "************************* URL Dependency-check-report.html *************************"
    - echo "http://$HOSTNAME:9999$PATH_WITHOUT_HOME/target/dependency-check-report.html"
    - set -e
    - exit ${EXIT_CODE}
  етикети:
    - shell

Telegram чат за DevOps и Сигурност
Telegram канал DevSecOps / SSDLC - Безопасна разработка

Източник: habr.com