দুর্বলতা স্ক্যানিং এবং নিরাপদ উন্নয়ন। অংশ 1

তাদের পেশাগত কার্যক্রমের অংশ হিসেবে, ডেভেলপার, পেন্টেস্টার এবং নিরাপত্তা বিশেষজ্ঞদের ভালনারেবিলিটি ম্যানেজমেন্ট (ভিএম), (সিকিউর) SDLC-এর মতো প্রসেস মোকাবেলা করতে হয়।
এই শব্দগুচ্ছের নীচে বিভিন্ন ধরণের অনুশীলন এবং ব্যবহৃত সরঞ্জাম রয়েছে যা একে অপরের সাথে জড়িত, যদিও তাদের ব্যবহারকারীদের মধ্যে পার্থক্য রয়েছে।

প্রযুক্তিগত অগ্রগতি এখনও এমন পর্যায়ে পৌঁছায়নি যেখানে একটি টুল একজন ব্যক্তিকে পরিকাঠামো এবং সফ্টওয়্যারের নিরাপত্তা বিশ্লেষণ করতে প্রতিস্থাপন করতে পারে।
এটি কেন এমন হয় এবং কোন সমস্যার মুখোমুখি হয় তা বোঝা আকর্ষণীয়।

প্রসেস

ভলনারেবিলিটি ম্যানেজমেন্ট প্রক্রিয়াটি অবকাঠামো নিরাপত্তা এবং প্যাচ ব্যবস্থাপনার ক্রমাগত পর্যবেক্ষণের জন্য ডিজাইন করা হয়েছে।
সিকিউর এসডিএলসি প্রক্রিয়া ("নিরাপদ উন্নয়ন চক্র") উন্নয়ন এবং অপারেশন চলাকালীন অ্যাপ্লিকেশন নিরাপত্তা বজায় রাখার জন্য ডিজাইন করা হয়েছে।

এই প্রক্রিয়াগুলির একটি অনুরূপ অংশ হল দুর্বলতা মূল্যায়ন প্রক্রিয়া - দুর্বলতা মূল্যায়ন, দুর্বলতা স্ক্যানিং।
VM এবং SDLC স্ক্যানিংয়ের মধ্যে প্রধান পার্থক্য হল যে প্রথম ক্ষেত্রে লক্ষ্য হল তৃতীয় পক্ষের সফ্টওয়্যার বা কনফিগারেশনে পরিচিত দুর্বলতা সনাক্ত করা। উদাহরণস্বরূপ, উইন্ডোজের একটি পুরানো সংস্করণ বা SNMP-এর জন্য ডিফল্ট সম্প্রদায় স্ট্রিং।
দ্বিতীয় ক্ষেত্রে, লক্ষ্য শুধুমাত্র তৃতীয় পক্ষের উপাদান (নির্ভরতা) নয়, প্রাথমিকভাবে নতুন পণ্যের কোডে দুর্বলতা সনাক্ত করা।

এটি সরঞ্জাম এবং পদ্ধতির মধ্যে পার্থক্য তৈরি করে। আমার মতে, একটি অ্যাপ্লিকেশনে নতুন দুর্বলতা খুঁজে বের করার কাজটি অনেক বেশি আকর্ষণীয়, কারণ এটি ফিঙ্গারপ্রিন্টিং সংস্করণ, ব্যানার সংগ্রহ, পাশবিক পাসওয়ার্ড ইত্যাদিতে আসে না।
অ্যাপ্লিকেশন দুর্বলতাগুলির উচ্চ-মানের স্বয়ংক্রিয় স্ক্যানিংয়ের জন্য, অ্যালগরিদমগুলির প্রয়োজন যা অ্যাপ্লিকেশনের শব্দার্থবিদ্যা, এর উদ্দেশ্য এবং নির্দিষ্ট হুমকিগুলিকে বিবেচনা করে।

একটি অবকাঠামো স্ক্যানার প্রায়শই একটি টাইমার দিয়ে প্রতিস্থাপন করা যেতে পারে, যেমনটি আমি রেখেছি avleonov. মোদ্দা কথা হল, পরিসংখ্যানগতভাবে, আপনি যদি আপনার অবকাঠামোটিকে এক মাসের জন্য আপডেট না করে থাকেন তবে আপনি এটিকে দুর্বল মনে করতে পারেন।

যন্ত্র

স্ক্যানিং, নিরাপত্তা বিশ্লেষণের মতো, একটি কালো বাক্স বা একটি সাদা বাক্স ব্যবহার করে সঞ্চালিত হতে পারে।

কালো বাক্স

ব্ল্যাকবক্স স্ক্যান করার সময়, টুলটি অবশ্যই একই ইন্টারফেসের মাধ্যমে পরিষেবার সাথে কাজ করতে সক্ষম হবে যার মাধ্যমে ব্যবহারকারীরা এটির সাথে কাজ করে।

ইনফ্রাস্ট্রাকচার স্ক্যানার (Tenable Nessus, Qualys, MaxPatrol, Rapid7 Nexpose, ইত্যাদি) খোলা নেটওয়ার্ক পোর্টের জন্য অনুসন্ধান করে, "ব্যানার" সংগ্রহ করে, ইনস্টল করা সফ্টওয়্যারগুলির সংস্করণগুলি নির্ধারণ করে এবং এই সংস্করণগুলির দুর্বলতা সম্পর্কে তথ্যের জন্য তাদের জ্ঞানের ভিত্তি অনুসন্ধান করে৷ তারা কনফিগারেশন ত্রুটি যেমন ডিফল্ট পাসওয়ার্ড বা খোলা ডেটা অ্যাক্সেস, দুর্বল SSL সাইফার ইত্যাদি সনাক্ত করার চেষ্টা করে।

ওয়েব অ্যাপ্লিকেশন স্ক্যানার (Acunetix WVS, Netsparker, Burp Suite, OWASP ZAP, ইত্যাদি) এছাড়াও পরিচিত উপাদান এবং তাদের সংস্করণগুলি সনাক্ত করতে পারে (উদাহরণস্বরূপ, CMS, ফ্রেমওয়ার্ক, JS লাইব্রেরি)। স্ক্যানারের প্রধান ধাপগুলি হল হামাগুড়ি দেওয়া এবং ঝাপসা করা।
ক্রল করার সময়, স্ক্যানার বিদ্যমান অ্যাপ্লিকেশন ইন্টারফেস এবং HTTP প্যারামিটার সম্পর্কে তথ্য সংগ্রহ করে। অস্পষ্ট করার সময়, একটি ত্রুটি উস্কে দিতে এবং একটি দুর্বলতা সনাক্ত করার জন্য সমস্ত শনাক্ত করা প্যারামিটারে মিউটেটেড বা জেনারেট করা ডেটা ঢোকানো হয়।

এই ধরনের অ্যাপ্লিকেশন স্ক্যানারগুলি DAST এবং IAST শ্রেণীর অন্তর্গত - যথাক্রমে ডায়নামিক এবং ইন্টারেক্টিভ অ্যাপ্লিকেশন সিকিউরিটি টেস্টিং।

সাদা বাক্স

হোয়াইটবক্স স্ক্যানিংয়ের সাথে আরও পার্থক্য রয়েছে।
ভিএম প্রক্রিয়ার অংশ হিসাবে, স্ক্যানারগুলিকে (ভালনার, ইনসিকিউরিটি কাউচ, ভলস, টেনেবল নেসাস, ইত্যাদি) প্রায়শই একটি প্রমাণীকৃত স্ক্যান করার মাধ্যমে সিস্টেমগুলিতে অ্যাক্সেস দেওয়া হয়। এইভাবে, স্ক্যানার নেটওয়ার্ক পরিষেবা ব্যানার থেকে অনুমান না করে সরাসরি সিস্টেম থেকে ইনস্টল করা প্যাকেজ সংস্করণ এবং কনফিগারেশন প্যারামিটার ডাউনলোড করতে পারে।
স্ক্যানটি আরও সঠিক এবং সম্পূর্ণ।

আমরা যদি অ্যাপ্লিকেশনগুলির হোয়াইটবক্স স্ক্যানিং (চেকমার্কস, এইচপি ফরটিফাই, কভারিটি, RIPS, FindSecBugs, ইত্যাদি) সম্পর্কে কথা বলি, তবে আমরা সাধারণত স্ট্যাটিক কোড বিশ্লেষণ এবং SAST ক্লাসের উপযুক্ত সরঞ্জামগুলির ব্যবহার সম্পর্কে কথা বলি - স্ট্যাটিক অ্যাপ্লিকেশন সিকিউরিটি টেস্টিং।

সমস্যার

স্ক্যানিং নিয়ে অনেক সমস্যা! স্ক্যানিং এবং নিরাপদ উন্নয়ন প্রক্রিয়া নির্মাণের জন্য একটি পরিষেবা প্রদানের অংশ হিসাবে, সেইসাথে নিরাপত্তা বিশ্লেষণের কাজ পরিচালনা করার সময় আমাকে তাদের বেশিরভাগের সাথে ব্যক্তিগতভাবে মোকাবিলা করতে হবে।

আমি সমস্যাগুলির 3 টি প্রধান গোষ্ঠীকে হাইলাইট করব, যা বিভিন্ন সংস্থার ইঞ্জিনিয়ার এবং তথ্য সুরক্ষা পরিষেবাগুলির প্রধানদের সাথে কথোপকথনের দ্বারা নিশ্চিত করা হয়েছে।

ওয়েব অ্যাপ্লিকেশন স্ক্যানিং সমস্যা

1. বাস্তবায়নে অসুবিধা। প্রতিটি অ্যাপ্লিকেশনের জন্য স্ক্যানার স্থাপন, কনফিগার করা, কাস্টমাইজ করা, স্ক্যানের জন্য একটি পরীক্ষার পরিবেশ বরাদ্দ করা এবং এটি কার্যকর করার জন্য CI/CD প্রক্রিয়ায় প্রয়োগ করা প্রয়োজন। অন্যথায়, এটি একটি অকেজো আনুষ্ঠানিক পদ্ধতি যা শুধুমাত্র মিথ্যা ইতিবাচক উত্পাদন করবে
2. স্ক্যানের সময়কাল। এমনকি 2019 সালে, স্ক্যানাররা ইন্টারফেসগুলিকে ডিডপ্লিকেট করার একটি খারাপ কাজ করে এবং প্রতিটিতে 10টি প্যারামিটার সহ এক হাজার পৃষ্ঠা স্ক্যান করতে দিন কাটাতে পারে, সেগুলিকে আলাদা বিবেচনা করে, যদিও একই কোড তাদের জন্য দায়ী। একই সাথে, উন্নয়ন চক্রের মধ্যে উত্পাদন স্থাপনের সিদ্ধান্ত দ্রুত নিতে হবে
3. দরিদ্র সুপারিশ. স্ক্যানারগুলি মোটামুটি সাধারণ সুপারিশ দেয় এবং বিকাশকারী সবসময় তাদের কাছ থেকে দ্রুত বুঝতে পারে না কিভাবে ঝুঁকির মাত্রা কমানো যায়, এবং সবচেয়ে গুরুত্বপূর্ণ, এটি এখনই করা দরকার কিনা বা এটি এখনও ভীতিজনক নয়
4. প্রয়োগের উপর ধ্বংসাত্মক প্রভাব। স্ক্যানারগুলি একটি অ্যাপ্লিকেশনের উপর একটি DoS আক্রমণ ভালভাবে চালাতে পারে, এবং এছাড়াও প্রচুর সংখ্যক সত্তা তৈরি করতে পারে বা বিদ্যমানগুলিকে পরিবর্তন করতে পারে (উদাহরণস্বরূপ, একটি ব্লগে কয়েক হাজার মন্তব্য তৈরি করুন), তাই আপনার চিন্তা না করে উৎপাদনে একটি স্ক্যান চালু করা উচিত নয়
5. দুর্বলতা সনাক্তকরণের নিম্ন মানের। স্ক্যানাররা সাধারণত পেলোডের একটি নির্দিষ্ট অ্যারে ব্যবহার করে এবং সহজেই এমন একটি দুর্বলতা মিস করতে পারে যা অ্যাপ্লিকেশনটির পরিচিত আচরণের দৃশ্যের সাথে খাপ খায় না।
6. স্ক্যানার অ্যাপ্লিকেশনটির কার্যাবলী বুঝতে পারে না। স্ক্যানাররা নিজেরাই জানেন না "ইন্টারনেট ব্যাঙ্কিং", "পেমেন্ট", "মন্তব্য" কি। তাদের জন্য, শুধুমাত্র লিঙ্ক এবং পরামিতি রয়েছে, তাই সম্ভাব্য ব্যবসায়িক লজিক দুর্বলতার একটি বিশাল স্তর সম্পূর্ণরূপে উন্মোচিত রয়ে গেছে; তারা ডাবল রাইট-অফ করার, আইডি দ্বারা অন্য কারও ডেটা গুপ্তচরবৃত্তি বা রাউন্ডিংয়ের মাধ্যমে ব্যালেন্স বাড়ানোর কথা ভাববে না।
7. স্ক্যানার পৃষ্ঠাগুলির শব্দার্থ বুঝতে পারে না। স্ক্যানাররা প্রায়শই জিজ্ঞাসিত প্রশ্নগুলি পড়তে পারে না, ক্যাপচা চিনতে পারে না এবং তারা নিজেরাই বুঝতে পারে না কিভাবে নিবন্ধন করতে হবে এবং তারপরে পুনরায় লগইন করতে হবে, যে আপনি "লগআউট" এ ক্লিক করতে পারবেন না এবং প্যারামিটার পরিবর্তন করার সময় কীভাবে অনুরোধে স্বাক্ষর করবেন মান ফলস্বরূপ, বেশিরভাগ অ্যাপ্লিকেশনই স্ক্যান করা যাবে না।

সোর্স কোড স্ক্যান করতে সমস্যা হচ্ছে

1. মিথ্যা ইতিবাচক. স্ট্যাটিক বিশ্লেষণ হল একটি জটিল কাজ যাতে অনেক ট্রেড-অফ জড়িত। যথার্থতা প্রায়শই বলি দিতে হয়, এবং এমনকি ব্যয়বহুল এন্টারপ্রাইজ স্ক্যানারগুলি বিপুল সংখ্যক মিথ্যা ইতিবাচক উত্পাদন করে
2. বাস্তবায়নে অসুবিধা। স্থির বিশ্লেষণের নির্ভুলতা এবং সম্পূর্ণতা বাড়ানোর জন্য, স্ক্যানিং নিয়মগুলি পরিমার্জন করা প্রয়োজন এবং এই নিয়মগুলি লেখার জন্য খুব শ্রম-নিবিড় হতে পারে। কখনও কখনও এই ধরনের কেস শনাক্ত করার জন্য একটি নিয়ম লেখার চেয়ে কোডের সমস্ত জায়গাগুলিকে কিছু ধরণের বাগ দিয়ে খুঁজে বের করা এবং সেগুলি ঠিক করা সহজ।
3. নির্ভরতা সমর্থনের অভাব। বড় প্রকল্পগুলি প্রচুর সংখ্যক লাইব্রেরি এবং কাঠামোর উপর নির্ভর করে যা প্রোগ্রামিং ভাষার ক্ষমতাকে প্রসারিত করে। যদি স্ক্যানারের জ্ঞানের ভিত্তি এই ফ্রেমওয়ার্কগুলিতে "সিঙ্কগুলি" সম্পর্কে তথ্য না থাকে তবে এটি একটি অন্ধ স্পট হয়ে যাবে এবং স্ক্যানার কেবল কোডটি বুঝতেও পারবে না
4. স্ক্যানের সময়কাল। কোডে দুর্বলতা খুঁজে পাওয়া অ্যালগরিদমের ক্ষেত্রে একটি জটিল কাজ। অতএব, প্রক্রিয়াটি দীর্ঘ সময় নিতে পারে এবং উল্লেখযোগ্য কম্পিউটিং সংস্থানগুলির প্রয়োজন হতে পারে।
5. কম কভারেজ। রিসোর্স খরচ এবং স্ক্যান করার সময় সত্ত্বেও, SAST টুল ডেভেলপারদের এখনও আপস করতে হবে এবং সমস্ত স্টেট বিশ্লেষণ করতে হবে যে প্রোগ্রামটি হতে পারে
6. ফলাফলের প্রজননযোগ্যতা। নির্দিষ্ট লাইন এবং কল স্ট্যাকের দিকে ইঙ্গিত করা যা একটি দুর্বলতার দিকে পরিচালিত করে, তবে বাস্তবে, প্রায়শই স্ক্যানার বাইরে থেকে একটি দুর্বলতার উপস্থিতি পরীক্ষা করার জন্য পর্যাপ্ত তথ্য সরবরাহ করে না। সর্বোপরি, ত্রুটিটি ডেড কোডেও হতে পারে, যা একজন আক্রমণকারীর কাছে পৌঁছানো যায় না

অবকাঠামো স্ক্যানিং সমস্যা

1. অপর্যাপ্ত জায়. বড় পরিকাঠামোতে, বিশেষ করে যারা ভৌগলিকভাবে বিভক্ত, কোন হোস্ট স্ক্যান করতে হবে তা জানা প্রায়ই সবচেয়ে কঠিন। অন্য কথায়, স্ক্যানিং টাস্কটি অ্যাসেট ম্যানেজমেন্ট টাস্কের সাথে ঘনিষ্ঠভাবে সম্পর্কিত
2. দুর্বল অগ্রাধিকার। নেটওয়ার্ক স্ক্যানারগুলি প্রায়শই ত্রুটিগুলি সহ অনেক ফলাফল দেয় যা অনুশীলনে কাজে লাগানো যায় না, তবে আনুষ্ঠানিকভাবে তাদের ঝুঁকির মাত্রা বেশি। ভোক্তা এমন একটি প্রতিবেদন পায় যা ব্যাখ্যা করা কঠিন, এবং প্রথমে কী সংশোধন করা দরকার তা স্পষ্ট নয়।
3. দরিদ্র সুপারিশ. স্ক্যানারের জ্ঞানের ভিত্তিতে প্রায়শই দুর্বলতা এবং কীভাবে এটি ঠিক করা যায় সে সম্পর্কে খুব সাধারণ তথ্য থাকে, তাই প্রশাসকদের নিজেদেরকে Google এর সাথে সজ্জিত করতে হবে। হোয়াইটবক্স স্ক্যানারগুলির সাথে পরিস্থিতি কিছুটা ভাল, যা ঠিক করার জন্য একটি নির্দিষ্ট কমান্ড জারি করতে পারে
4. হস্তনির্মিত। ইনফ্রাস্ট্রাকচারে অনেক নোড থাকতে পারে, যার অর্থ সম্ভাব্য অনেক ত্রুটি, প্রতিটি পুনরাবৃত্তিতে ম্যানুয়ালি পার্স এবং বিশ্লেষণ করা আবশ্যক।
5. দরিদ্র কভারেজ. অবকাঠামো স্ক্যানিংয়ের গুণমান দুর্বলতা এবং সফ্টওয়্যার সংস্করণ সম্পর্কে জ্ঞানের ভিত্তির আকারের উপর সরাসরি নির্ভর করে। যার মধ্যে, এটি দেখা যাচ্ছে, এমনকি বাজারের নেতাদের একটি ব্যাপক জ্ঞানের ভিত্তি নেই, এবং বিনামূল্যে সমাধানের ডাটাবেসগুলিতে অনেক তথ্য থাকে যা নেতাদের কাছে নেই
6. প্যাচিং নিয়ে সমস্যা। প্রায়শই, পরিকাঠামোগত দুর্বলতাগুলি প্যাচ করার জন্য একটি প্যাকেজ আপডেট করা বা একটি কনফিগারেশন ফাইল পরিবর্তন করা জড়িত। এখানে বড় সমস্যা হল একটি সিস্টেম, বিশেষ করে একটি উত্তরাধিকার, একটি আপডেটের ফলে অপ্রত্যাশিতভাবে আচরণ করতে পারে। মূলত, আপনাকে উৎপাদনে লাইভ অবকাঠামোতে ইন্টিগ্রেশন পরীক্ষা করতে হবে।

পন্থা

কিভাবে হতে হবে?
আমি আপনাকে উদাহরণগুলি সম্পর্কে আরও বলব এবং নিম্নলিখিত অংশগুলিতে তালিকাভুক্ত অনেক সমস্যা কীভাবে মোকাবেলা করা যায়, তবে আপাতত আমি প্রধান দিক নির্দেশ করব যেখানে আপনি কাজ করতে পারেন:

1. বিভিন্ন স্ক্যানিং টুলের সমষ্টি। বেশ কয়েকটি স্ক্যানারের সঠিক ব্যবহারের মাধ্যমে, আপনি জ্ঞানের ভিত্তি এবং সনাক্তকরণের গুণমানে উল্লেখযোগ্য বৃদ্ধি অর্জন করতে পারেন। আপনি আলাদাভাবে চালু হওয়া সমস্ত স্ক্যানারগুলির থেকে আরও বেশি দুর্বলতা খুঁজে পেতে পারেন, যখন আপনি ঝুঁকির মাত্রা আরও সঠিকভাবে মূল্যায়ন করতে পারেন এবং আরও সুপারিশ করতে পারেন
2. SAST এবং DAST এর ইন্টিগ্রেশন। তাদের মধ্যে তথ্য বিনিময়ের মাধ্যমে DAST-এর কভারেজ এবং SAST-এর যথার্থতা বাড়ানো সম্ভব। উত্সগুলি থেকে আপনি বিদ্যমান রুট সম্পর্কে তথ্য পেতে পারেন এবং DAST ব্যবহার করে আপনি বাইরে থেকে দুর্বলতা দৃশ্যমান কিনা তা পরীক্ষা করতে পারেন
3. মেশিন লার্নিং™। 2015 সালে আই বলা (এবং অধিক) স্ক্যানারদের হ্যাকারের অন্তর্দৃষ্টি দিতে এবং তাদের গতি বাড়াতে পরিসংখ্যান ব্যবহার করার বিষয়ে। ভবিষ্যতে স্বয়ংক্রিয় নিরাপত্তা বিশ্লেষণের বিকাশের জন্য এটি অবশ্যই খাদ্য।
4. অটোটেস্ট এবং OpenAPI-এর সাথে IAST-এর ইন্টিগ্রেশন। CI/CD পাইপলাইনের মধ্যে, HTTP প্রক্সি হিসেবে কাজ করে এমন টুলের উপর ভিত্তি করে একটি স্ক্যানিং প্রক্রিয়া তৈরি করা সম্ভব এবং HTTP-তে কাজ করে এমন কার্যকরী পরীক্ষা। OpenAPI/Swagger পরীক্ষা এবং চুক্তিগুলি স্ক্যানারকে ডেটা প্রবাহ সম্পর্কে অনুপস্থিত তথ্য দেবে এবং বিভিন্ন রাজ্যে অ্যাপ্লিকেশন স্ক্যান করা সম্ভব করবে
5. সঠিক কনফিগারেশন। প্রতিটি অ্যাপ্লিকেশন এবং অবকাঠামোর জন্য, আপনাকে ইন্টারফেসের সংখ্যা এবং প্রকৃতি এবং ব্যবহৃত প্রযুক্তিগুলি বিবেচনা করে একটি উপযুক্ত স্ক্যানিং প্রোফাইল তৈরি করতে হবে।
6. স্ক্যানার কাস্টমাইজেশন। প্রায়শই স্ক্যানার পরিবর্তন না করে একটি অ্যাপ্লিকেশন স্ক্যান করা যায় না। একটি উদাহরণ হল একটি পেমেন্ট গেটওয়ে, যেখানে প্রতিটি অনুরোধ স্বাক্ষর করতে হবে। গেটওয়ে প্রোটোকলের সাথে একটি সংযোগকারী না লিখে, স্ক্যানাররা ভুল স্বাক্ষরের সাথে অনুরোধের সাথে বোমাবাজি করবে। এটি একটি নির্দিষ্ট ধরনের ত্রুটির জন্য বিশেষায়িত স্ক্যানার লিখতেও প্রয়োজন, যেমন অনিরাপদ সরাসরি অবজেক্ট রেফারেন্স
7. ঝুকি ব্যবস্থাপনা. অ্যাসেট ম্যানেজমেন্ট এবং থ্রেট ম্যানেজমেন্টের মতো বাহ্যিক সিস্টেমের সাথে বিভিন্ন স্ক্যানারের ব্যবহার এবং একীকরণ ঝুঁকির মাত্রা মূল্যায়ন করতে অনেক প্যারামিটার ব্যবহার করার অনুমতি দেবে, যাতে ব্যবস্থাপনা উন্নয়ন বা অবকাঠামোর বর্তমান নিরাপত্তা অবস্থার একটি পর্যাপ্ত ছবি পেতে পারে।

সাথে থাকুন এবং আসুন দুর্বলতা স্ক্যানিং ব্যাহত করি!

উত্স: www.habr.com