Haavatavuste skannaatori kasutamine Dependency-Check raamatukogudes GitlabCI-s

Oluline osa haavatavuste juhtimisest on hästi mõista ja tagada tarkvara koostisosade tarnete ahela turvalisus, millest moodustuvad tänapäevased süsteemid. Agiilsed ja DevOps meetodeid praktiseerivad meeskonnad kasutavad laialdaselt avatud lähtekoodiga raamatukogusid ja raame, et vähendada arendamise aega ja kulusid. Kuid sellel medalil on ka teine külg: võimalus pärida teiste vigasid ja haavatavusi.

Ilmselt peab meeskond kindlasti teadma, millised avatud lähtekoodiga komponendid on nende rakendustes, jälgima, et usaldusväärsed versioonid allalaaditakse usaldusväärsetest allikatest, ning laadima värskendatud versioonid komponente pärast hiljuti avastatud haavatavuste parendamist.

Selles postituses vaatleme OWASP Dependency Check kasutamist, et katkestada ehitamine, kui teie koodis tuvastatakse tõsiseid probleeme.

Raamatus „Agile-projektide arendamise turvalisus” on see kirjas. OWASP Dependency Check on tasuta skanner, mis kataloogib kõik rakenduses kasutatavad avatud lähtekoodiga komponendid ja näitab nende haavatavusi. Saadaval on versioonid Java, .NET, Ruby (gemspec), PHP (composer), Node.js ja Python jaoks, samuti mõnede C/C++ projektide jaoks. Dependency Check integreerub laialdaselt kasutatavatesse ehitustööriistadesse, sealhulgas Ant, Maven ja Gradle, ning pideva integreerimise serveritesse nagu Jenkins.

Dependency Check teatab kõigist komponentidest, millel on tuntud haavatavused, mis on kajastatud Rahvuslikus Haavatavuste Andmebaasis (NVD) NIST ja värskendab andmeid NVD uudiste kanalite alusel.

Õnneks saab seda kõike automaatselt teha selliste tööriistade abil nagu OWASP Dependency Check projekt või kaubanduslikud programmid tüüpi Black Duck, JFrog Xray, Snyk, Nexus Lifecycle Sonatype ettevõtte poolt või SourceClear.

Need tööriistad saab integreerida ehitustootmisse, et automaatselt koostada avatud lähtekoodiga sõltuvuste loetelu, tuvastada vananenud raamatukogude versioone ja raamatukogusid, mis sisaldavad tuntud haavatavusi, ning peatada ehituse, kui avastatakse tõsiseid probleeme.

OWASP Dependency Check

Kasutame selle repositooriumi Dependency Check'i testimiseks ja demonstreerimiseks dependency-check-example.

HTML-aruande vaatamiseks peate seadistama veebiserveri nginx oma gitlab-runner'is.

Näide minimaalsetest nginx-i seadistustest:

server {
    listen       9999;
    listen       [::]:9999;
    server_name  _;
    root         /home/gitlab-runner/builds;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }
}

Kogumise lõpus võite näha sellist pilti:

Minge lingile ja näete Dependency Check'i aruannet.

Esimene ekraanipilt — aruande ülemine osa kokkuvõttega.

Teine ekraanipilt CVE-2017-5638 detailidega. Siin näeme CVE taset ja linke eksploitidele.

Kolmas ekraanipilt log4j-api-2.7.jar detailidest. Näeme, et CVE tasemed on 7.5 ja 9.8.

Neljas ekraanipilt commons-fileupload-1.3.2.jar detailidest. Näeme, et CVE tasemed on 7.5 ja 9.8.

Kui soovite kasutada gitlab pages, siis see ei õnnestu — ebaõnnestunud ülesanne ei loo artefakti.

Näide siin https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages.

Kogumise väljund: artefakte pole, html aruannet ei näe. Peab proovima Artifact: always

https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages/-/jobs/400004246

CVE haavatavuste taseme reguleerimine

Kõige olulisem rida failis gitlab-ci.yaml:

mvn $MAVEN_CLI_OPTS test org.owasp:dependency-check-maven:check -DfailBuildOnCVSS=7

FailBuildOnCVSS parameeteriga saate reguleerida CVE haavatavuste taset, millele tuleb reageerida.

Allalaadimine internetist haavatavuste andmebaasist (NVD) NIST

Olete märganud, et allalaadite pidevalt haavatavuste andmebaase (NVD) NIST internetist:

Allalaadimiseks saate kasutada utiliiti nist_data_mirror_golang

Paigaldame ja käivitame selle.

yum -y install yum-plugin-copr
yum copr enable antonpatsev/nist_data_mirror_golang
yum -y install nist-data-mirror
systemctl start nist-data-mirror

Nist-data-mirror laadib CVE JSON NIST alla /var/www/repos/nist-data-mirror/ käivitamisel ja uuendab andmeid iga 24 tunni järel.

CVE JSON NIST allalaadimiseks on vaja seadistada web-server nginx (nt teie gitlab-runneris).

Näide minimaalsetest nginx-i seadistustest:

server {
    listen       12345;
    listen       [::]:12345;
    server_name  _;
    root         /var/www/repos/nist-data-mirror/;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }

}

Kuna mvn käivitamiseks on pikk rida, siis viime parameetrid eraldi muutujasse DEPENDENCY_OPTS.

Lõplik minimaalne .gitlab-ci.yml konfiguratsioon saab olema järgmine:

muutujad:
  MAVEN_OPTS: "-Dhttps.protocols=TLSv1.2 -Dmaven.repo.local=$CI_PROJECT_DIR/.m2/repository -Dorg.slf4j.simpleLogger.log.org.apache.maven.cli.transfer.Slf4jMavenTransferListener=WARN -Dorg.slf4j.simpleLogger.showDateTime=true -Djava.awt.headless=true"
  MAVEN_CLI_OPTS: "--batch-mode --errors --fail-at-end --show-version -DinstallAtEnd=true -DdeployAtEnd=true"
  DEPENDENCY_OPTS: "-DfailBuildOnCVSS=7 -DcveUrlModified=http://localhost:12345/nvdcve-1.1-modified.json.gz -DcveUrlBase=http://localhost:12345/nvdcve-1.1-%d.json.gz"

vahehoidla:
  teed:
    - .m2/repository

kontroll:
  etapp: test
  skript:
    - set +e
    - mvn $MAVEN_CLI_OPTS install org.owasp:dependency-check-maven:check $DEPENDENCY_OPTS || EXIT_CODE=$?
    - export PATH_WITHOUT_HOME=$(pwd | sed -e "s//home/gitlab-runner/builds//g")
    - echo "************************* URL Dependency-check-report.html *************************"
    - echo "http://$HOSTNAME:9999$PATH_WITHOUT_HOME/target/dependency-check-report.html"
    - set -e
    - exit ${EXIT_CODE}
  sildid:
    - shell

Telegrami vestlus DevOpsi ja turvalisuse teemal
Telegrami kanal DevSecOps / SSDLC - Turvaline arendamine

Allikas: habr.com