প্রোগ্রাম কোডে দুর্বলতা খুঁজে পেতে একটি সাধারণ ইউটিলিটি কীভাবে ব্যবহার করবেন

Graudit একাধিক প্রোগ্রামিং ল্যাঙ্গুয়েজ সমর্থন করে এবং আপনাকে কোডবেস সিকিউরিটি টেস্টিংকে সরাসরি ডেভেলপমেন্ট প্রক্রিয়ায় সংহত করতে দেয়।

উত্স: Unsplash (মার্কাস স্পিসকে)

পরীক্ষা সফ্টওয়্যার বিকাশের জীবনচক্রের একটি গুরুত্বপূর্ণ অংশ। অনেক ধরণের পরীক্ষা রয়েছে, তাদের প্রতিটি তার নিজস্ব সমস্যা সমাধান করে। আজ আমি কোডে নিরাপত্তা সমস্যা খুঁজে বের করার বিষয়ে কথা বলতে চাই।

স্পষ্টতই, সফ্টওয়্যার বিকাশের আধুনিক বাস্তবতায়, প্রক্রিয়া সুরক্ষা নিশ্চিত করা গুরুত্বপূর্ণ। এক সময়ে, বিশেষ শব্দ DevSecOps এমনকি চালু করা হয়েছিল। এই শব্দটি একটি অ্যাপ্লিকেশনে দুর্বলতা সনাক্তকরণ এবং দূর করার লক্ষ্যে পদ্ধতির একটি সিরিজকে বোঝায়। মান অনুযায়ী দুর্বলতা পরীক্ষা করার জন্য বিশেষ ওপেন সোর্স সমাধান আছে OWASP, যা উৎস কোডে দুর্বলতার বিভিন্ন প্রকার এবং আচরণ বর্ণনা করে।

নিরাপত্তা সমস্যা সমাধানের জন্য বিভিন্ন পন্থা রয়েছে, যেমন স্ট্যাটিক অ্যাপ্লিকেশন সিকিউরিটি টেস্টিং (SAST), ডাইনামিক অ্যাপ্লিকেশন সিকিউরিটি টেস্টিং (DAST), ইন্টারেক্টিভ অ্যাপ্লিকেশন সিকিউরিটি টেস্টিং (IAST), সফটওয়্যার কম্পোজিশন অ্যানালাইসিস ইত্যাদি।

স্ট্যাটিক অ্যাপ্লিকেশন নিরাপত্তা পরীক্ষা ইতিমধ্যে লিখিত কোডে ত্রুটি সনাক্ত করে। এই পদ্ধতির জন্য অ্যাপ্লিকেশন চালানোর প্রয়োজন হয় না, তাই এটিকে স্ট্যাটিক বিশ্লেষণ বলা হয়।

আমি স্ট্যাটিক কোড বিশ্লেষণে ফোকাস করব এবং অনুশীলনে সবকিছু প্রদর্শন করার জন্য একটি সহজ ওপেন সোর্স টুল ব্যবহার করব।

কেন আমি স্ট্যাটিক কোড নিরাপত্তা বিশ্লেষণের জন্য একটি ওপেন সোর্স টুল বেছে নিলাম

এর জন্য বেশ কয়েকটি কারণ রয়েছে: প্রথমত, এটি বিনামূল্যে কারণ আপনি সমমনা ব্যক্তিদের একটি সম্প্রদায় দ্বারা তৈরি একটি টুল ব্যবহার করছেন যারা অন্যান্য বিকাশকারীদের সাহায্য করতে চান৷ আপনার যদি একটি ছোট দল বা স্টার্টআপ থাকে, তাহলে আপনার কোডবেসের নিরাপত্তা পরীক্ষা করার জন্য ওপেন সোর্স সফ্টওয়্যার ব্যবহার করে অর্থ সঞ্চয় করার একটি দুর্দান্ত সুযোগ রয়েছে৷ দ্বিতীয়ত, এটি আপনাকে একটি পৃথক DevSecOps টিম নিয়োগের প্রয়োজনীয়তা দূর করে, আপনার খরচ আরও কমিয়ে দেয়।

ভাল ওপেন সোর্স টুল সবসময় নমনীয়তার জন্য বর্ধিত প্রয়োজনীয়তা বিবেচনা করে তৈরি করা হয়। অতএব, এগুলি প্রায় কোনও পরিবেশে ব্যবহার করা যেতে পারে, বিস্তৃত কাজগুলিকে কভার করে। ডেভেলপারদের জন্য তাদের প্রকল্পে কাজ করার সময় ইতিমধ্যেই তৈরি করা সিস্টেমের সাথে এই জাতীয় সরঞ্জামগুলিকে সংযুক্ত করা অনেক সহজ।

কিন্তু এমন সময় থাকতে পারে যখন আপনার এমন একটি বৈশিষ্ট্যের প্রয়োজন যা আপনার চয়ন করা টুলটিতে উপলব্ধ নেই। এই ক্ষেত্রে, আপনার কাছে এটির কোড ফর্ক করার সুযোগ রয়েছে এবং আপনার প্রয়োজনীয় কার্যকারিতা সহ এটির উপর ভিত্তি করে আপনার নিজস্ব টুল বিকাশ করার সুযোগ রয়েছে।

যেহেতু বেশিরভাগ ক্ষেত্রে ওপেন সোর্স সফ্টওয়্যারের বিকাশ সম্প্রদায়ের দ্বারা সক্রিয়ভাবে প্রভাবিত হয়, তাই পরিবর্তন করার সিদ্ধান্তটি বেশ দ্রুত এবং বিন্দু পর্যন্ত করা হয়: ওপেন সোর্স প্রকল্পের বিকাশকারীরা তাদের রিপোর্টের উপর ব্যবহারকারীদের প্রতিক্রিয়া এবং পরামর্শের উপর নির্ভর করে ত্রুটি পাওয়া গেছে এবং অন্যান্য সমস্যা।

কোড নিরাপত্তা বিশ্লেষণের জন্য Graudit ব্যবহার করা

স্ট্যাটিক কোড বিশ্লেষণের জন্য আপনি বিভিন্ন ওপেন সোর্স টুল ব্যবহার করতে পারেন; সমস্ত প্রোগ্রামিং ভাষার জন্য কোনো সার্বজনীন টুল নেই। তাদের মধ্যে কিছু ডেভেলপার OWASP সুপারিশ অনুসরণ করে এবং যতটা সম্ভব ভাষা কভার করার চেষ্টা করে।

এখানে আমরা ব্যবহার করব গ্রাউডিট, একটি সাধারণ কমান্ড লাইন ইউটিলিটি যা আমাদের কোডবেসে দুর্বলতা খুঁজে পেতে অনুমতি দেবে। এটি বিভিন্ন ভাষা সমর্থন করে, তবে এখনও তাদের সেট সীমিত। গ্রেপ ইউটিলিটি ইউটিলিটির উপর ভিত্তি করে গ্রাউডিট তৈরি করা হয়েছে, যা একবার GNU লাইসেন্সের অধীনে প্রকাশিত হয়েছিল।

স্ট্যাটিক কোড বিশ্লেষণের জন্য অনুরূপ সরঞ্জাম আছে - নিরাপত্তার জন্য রাফ অডিটিং টুল (RATS), Securitycompass Web Application Analysis Tool (SWAAT), ফ্লাফাইন্ডার এবং আরও অনেক কিছু। কিন্তু Graudit খুবই নমনীয় এবং ন্যূনতম প্রযুক্তিগত প্রয়োজনীয়তা রয়েছে। যাইহোক, আপনার এমন সমস্যা থাকতে পারে যা Graudit সমাধান করতে পারে না। তারপরে আপনি এখানে অন্যান্য বিকল্পগুলি সন্ধান করতে পারেন এই তালিকায়.

আমরা এই টুলটিকে একটি নির্দিষ্ট প্রজেক্টে একীভূত করতে পারি, বা এটিকে একজন নির্বাচিত ব্যবহারকারীর কাছে উপলব্ধ করতে পারি, অথবা আমাদের সমস্ত প্রকল্পে একযোগে ব্যবহার করতে পারি। এখানেও Graudit এর নমনীয়তা কার্যকর হয়। তাই প্রথমে রেপো ক্লোন করা যাক:

$ git clone https://github.com/wireghoul/graudit

এখন কমান্ড বিন্যাসে এটি ব্যবহার করার জন্য Graudit-এর জন্য একটি প্রতীকী লিঙ্ক তৈরি করা যাক

$ cd ~/bin && mkdir graudit
$ ln --symbolic ~/graudit/graudit ~/bin/graudit

চলুন .bashrc (বা আপনি যে কনফিগারেশন ফাইল ব্যবহার করছেন) একটি উপনাম যোগ করি:

#------ .bashrc ------
alias graudit="~/bin/graudit"

রিবুট:

$ source ~/.bashrc # OR
$ exex $SHELL

ইনস্টলেশন সফল হয়েছে কিনা তা পরীক্ষা করা যাক:

$ graudit -h

আপনি যদি অনুরূপ কিছু দেখতে পান তবে সবকিছু ঠিক আছে।

আমি আমার বিদ্যমান প্রকল্পগুলির একটি পরীক্ষা করা হবে. টুলটি চালানোর আগে, আমার প্রকল্পটি যে ভাষায় লেখা হয়েছে তার সাথে সম্পর্কিত একটি ডাটাবেস পাস করতে হবে। ডাটাবেস ~/gradit/signatures ফোল্ডারে অবস্থিত:

$ graudit -d ~/gradit/signatures/js.db

সুতরাং, আমি আমার প্রকল্প থেকে দুটি js ফাইল পরীক্ষা করেছি, এবং Graudit কনসোলে আমার কোডে দুর্বলতা সম্পর্কে তথ্য প্রদর্শন করেছে:

আপনি একই ভাবে আপনার প্রকল্পগুলি পরীক্ষা করার চেষ্টা করতে পারেন। আপনি বিভিন্ন প্রোগ্রামিং ভাষার জন্য ডাটাবেসের একটি তালিকা দেখতে পারেন এখানে.

Graudit এর সুবিধা এবং অসুবিধা

Graudit অনেক প্রোগ্রামিং ভাষা সমর্থন করে। অতএব, এটি ব্যবহারকারীদের বিস্তৃত পরিসরের জন্য উপযুক্ত। এটি পর্যাপ্তভাবে কোনো বিনামূল্যে বা অর্থ প্রদানের অ্যানালগগুলির সাথে প্রতিদ্বন্দ্বিতা করতে পারে। এবং এটি অত্যন্ত গুরুত্বপূর্ণ যে প্রকল্পে এখনও উন্নতি করা হচ্ছে, এবং সম্প্রদায়টি কেবল বিকাশকারীদেরই নয়, অন্যান্য ব্যবহারকারীদেরও সাহায্য করে যারা টুলটি বের করার চেষ্টা করছে।

এটি একটি সহজ টুল, কিন্তু এখনও পর্যন্ত এটি একটি সন্দেহজনক কোডের সাথে সমস্যাটি ঠিক কী তা চিহ্নিত করতে পারে না। বিকাশকারীরা Graudit উন্নত করতে থাকে।

তবে যে কোনও ক্ষেত্রে, এই জাতীয় সরঞ্জামগুলি ব্যবহার করার সময় কোডে সম্ভাব্য সুরক্ষা সমস্যার দিকে মনোযোগ দেওয়া কার্যকর।

শুরু হচ্ছে…

এই নিবন্ধে, আমি দুর্বলতাগুলি খুঁজে পাওয়ার অনেকগুলি উপায়ের মধ্যে একটির দিকে তাকিয়েছি - স্ট্যাটিক অ্যাপ্লিকেশন সুরক্ষা পরীক্ষা। স্ট্যাটিক কোড বিশ্লেষণ পরিচালনা করা সহজ, তবে এটি কেবল শুরু। আপনার কোডবেসের নিরাপত্তা সম্পর্কে আরও জানতে, আপনাকে আপনার সফ্টওয়্যার ডেভেলপমেন্ট লাইফসাইকেলে অন্যান্য ধরনের টেস্টিং সংহত করতে হবে।

বিজ্ঞাপনের অধিকারগুলিতে

নির্ভরযোগ্য ভিপিএস এবং ট্যারিফ পরিকল্পনার সঠিক পছন্দ আপনাকে অপ্রীতিকর সমস্যাগুলির দ্বারা উন্নয়ন থেকে কম বিভ্রান্ত হতে দেবে - সবকিছু ব্যর্থতা ছাড়াই এবং খুব উচ্চ আপটাইম সহ কাজ করবে!

উত্স: www.habr.com