Rünnakute tuvastamise skanneri kasutamine sõltuvuste kontrollimiseks GitlabCI-s

Oluline osa haavatavuste haldamisest seisneb selles, et mõista ja tagada tarkvara komponentide tarneahela turvalisus, millest tänapäevased süsteemid koosnevad. Meeskonnad, kes praktiseerivad paindlikke meetodeid ja DevOps'i, kasutavad laialdaselt avatud lähtekoodiga raamatukogusid ja raame, et vähendada arendamise aega ja kulusid. Kuid sellel medalil on ka tagumine pool: võimalus pärida teiste vigu ja haavatavusi.

Ilmselt peab meeskond kindlasti teadma, millised avatud lähtekoodiga komponendid on nende rakendustes, jälgima, et usaldusväärsed versioonid laaditakse alla usaldusväärsetest allikatest, ning laadima üles värskendatud versioonid komponentidest pärast äsja avastatud haavatavuste parandamist.

Selles postituses vaatame, kuidas kasutada OWASP Dependency Check'i, et peatada kokkupanek, kui teie koodis avastatakse tõsiseid probleeme.

Raamatust «Agile-projektide arenduse turvalisus» on selgitatud järgmist. OWASP Dependency Check on tasuta skanner, mis katalogiseerib kõik rakenduses kasutatud avatud lähtekoodiga komponendid ja näitab nende haavatavusi. Saadaval on versioonid Java, .NET, Ruby (gemspec), PHP (composer), Node.js ja Python jaoks, samuti mõne C/C++ projekti jaoks. Dependency Check integreerub levinud kogu loomisvahenditega, sealhulgas Ant, Maven ja Gradle ning pideva integreerimise serveritega nagu Jenkins.

Dependency Check teatab kõigist komponentidest, kus on teadaolevad haavatavused, USA Rahvusliku Haavatavuste Andmebaasi (NVD) NIST, ja see uuendatakse NVD uudiste kanalite andmete põhjal.

Õnneks saab seda kõike automaatselt teha selliste tööriistade abil nagu OWASP Dependency Check projekt või kommertstooted, näiteks Black Duck, JFrog Xray, Snyk, Nexus Lifecycle Sonatype'i ettevõtte või SourceClear.

Need tööriistad saab integreerida kokkupaneku torustikesse, et automaatselt koostada avatud lähtekoodiga sõltuvuste loetelu, tuvastada aegunud raamatukogude versioonid ja raamatukogud, mis sisaldavad teadaolevaid haavatavusi, ning peatada kokkupanek tõsiste probleemide avastamisel.

OWASP Dependency Check

Dependency Check'i testimiseks ja demonstreerimiseks kasutame seda repositsiooni dependency-check-example.

HTML-aruande vaatamiseks tuleb seadistada nginx veebiserver teie gitlab-runner'is.

Nginx'i minimaalse konfiguratsiooni näide:

server {
    listen       9999;
    listen       [::]:9999;
    server_name  _;
    root         /home/gitlab-runner/builds;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }

}

Kohe kogumise lõpus näete sellist pilti:

Liigume lingile ja näeme Dependency Checki aruannet.

Esimene ekraanipilt on aruande ülemine osa koos lühikese sisuga.

Teine ekraanipilt näitab CVE-2017-5638 detaile. Siin näeme CVE taset ja linke eksploitidele.

Kolmas ekraanipilt toob välja log4j-api-2.7.jar detailid. Näeme, et CVE tasemed on 7.5 ja 9.8.

Neljas ekraanipilt keskendub commons-fileupload-1.3.2.jar detailidele. Näeme, et CVE tasemed on 7.5 ja 9.8.

Kui soovite kasutada gitlab lehti, siis ei õnnestu – ebaõnnestunud ülesanne ei loo artefakti.

Näide siin https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages.

Kogumise väljund: artefakte pole, html aruannet ei näe. Tuleb proovida Artifact: always

https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages/-/jobs/400004246

CVE haavatavuste taseme reguleerimine

Kõige olulisem rida failis gitlab-ci.yaml:

mvn $MAVEN_CLI_OPTS test org.owasp:dependency-check-maven:check -DfailBuildOnCVSS=7

FailBuildOnCVSS parameetriga saate reguleerida CVE haavatavuste taset, millele tuleb reageerida.

Veebi kaudu haavatavuste (NVD) NIST andmebaasi allalaadimine

Olete märganud, et allalaaditakse pidevalt haavatavuste (NVD) NIST andmebaas:

Allalaadimiseks saab kasutada utiliiti nist_data_mirror_golang

Paigaldame ja käivitame selle.

yum -y install yum-plugin-copr
yum copr enable antonpatsev/nist_data_mirror_golang
yum -y install nist-data-mirror
systemctl start nist-data-mirror

Nist-data-mirror laadib CVE JSON NIST andmed kausta /var/www/repos/nist-data-mirror/ käivitamisel ja värskendab andmeid iga 24 tunni järel.

CVE JSON NIST allalaadimiseks on vaja seadistada web-server nginx (näiteks teie gitlab-runneri peal).

Nginx'i minimaalse konfiguratsiooni näide:

server {
    listen       12345;
    listen       [::]:12345;
    server_name  _;
    root         /var/www/repos/nist-data-mirror/;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }

}

Kuna ei soovi teha pikka rida, kus mvn käivitatakse, tõstame parameetrid eraldi muutuja DEPENDENCY_OPTS.

Lõplik minimaalne konfi .gitlab-ci.yml näeb välja selline:

muutujad:
  MAVEN_OPTS: "-Dhttps.protocols=TLSv1.2 -Dmaven.repo.local=$CI_PROJECT_DIR/.m2/repository -Dorg.slf4j.simpleLogger.log.org.apache.maven.cli.transfer.Slf4jMavenTransferListener=WARN -Dorg.slf4j.simpleLogger.showDateTime=true -Djava.awt.headless=true"
  MAVEN_CLI_OPTS: "--batch-mode --errors --fail-at-end --show-version -DinstallAtEnd=true -DdeployAtEnd=true"
  DEPENDENCY_OPTS: "-DfailBuildOnCVSS=7 -DcveUrlModified=http://localhost:12345/nvdcve-1.1-modified.json.gz -DcveUrlBase=http://localhost:12345/nvdcve-1.1-%d.json.gz"

vahemälu:
  teed:
    - .m2/repository

kontrolli:
  etapp: test
  skript:
    - set +e
    - mvn $MAVEN_CLI_OPTS install org.owasp:dependency-check-maven:check $DEPENDENCY_OPTS || EXIT_CODE=$?
    - export PATH_WITHOUT_HOME=$(pwd | sed -e "s//home/gitlab-runner/builds//g")
    - echo "************************* URL Dependency-check-report.html *************************"
    - echo "http://$HOSTNAME:9999$PATH_WITHOUT_HOME/target/dependency-check-report.html"
    - set -e
    - exit ${EXIT_CODE}
  sildid:
    - shell

Telegrami vestlus DevOps ja turvalisuse kohta
Telegrami kanal DevSecOps / SSDLC - Turvaline arendus

Allikas: habr.com