પ્રોગ્રામ કોડમાં નબળાઈઓ શોધવા માટે સરળ ઉપયોગિતાનો ઉપયોગ કેવી રીતે કરવો

ગ્રેડિટ બહુવિધ પ્રોગ્રામિંગ ભાષાઓને સપોર્ટ કરે છે અને તમને વિકાસ પ્રક્રિયામાં સીધા જ કોડબેઝ સુરક્ષા પરીક્ષણને એકીકૃત કરવાની મંજૂરી આપે છે.

સોર્સ: અનસ્પ્લેશ (માર્કસ સ્પિસ્કે)

પરીક્ષણ એ સોફ્ટવેર વિકાસ જીવન ચક્રનો એક મહત્વપૂર્ણ ભાગ છે. ત્યાં ઘણા પ્રકારનાં પરીક્ષણો છે, તેમાંથી દરેક તેની પોતાની સમસ્યા હલ કરે છે. આજે હું કોડમાં સુરક્ષા સમસ્યાઓ શોધવા વિશે વાત કરવા માંગુ છું.

દેખીતી રીતે, સોફ્ટવેર ડેવલપમેન્ટની આધુનિક વાસ્તવિકતાઓમાં, પ્રક્રિયાની સુરક્ષા સુનિશ્ચિત કરવી મહત્વપૂર્ણ છે. એક સમયે, ખાસ શબ્દ DevSecOps પણ રજૂ કરવામાં આવ્યો હતો. આ શબ્દ એપ્લિકેશનમાં નબળાઈઓને ઓળખવા અને દૂર કરવાના હેતુથી પ્રક્રિયાઓની શ્રેણીનો સંદર્ભ આપે છે. ધોરણો અનુસાર નબળાઈઓ તપાસવા માટે વિશિષ્ટ ઓપન સોર્સ સોલ્યુશન્સ છે ઓડબ્લ્યુએસપી, જે સ્રોત કોડમાં નબળાઈઓના વિવિધ પ્રકારો અને વર્તનનું વર્ણન કરે છે.

સુરક્ષા સમસ્યાઓ ઉકેલવા માટે વિવિધ અભિગમો છે, જેમ કે સ્ટેટિક એપ્લિકેશન સિક્યોરિટી ટેસ્ટિંગ (SAST), ડાયનેમિક એપ્લિકેશન સિક્યુરિટી ટેસ્ટિંગ (DAST), ઇન્ટરેક્ટિવ એપ્લિકેશન સિક્યુરિટી ટેસ્ટિંગ (IAST), સૉફ્ટવેર કમ્પોઝિશન એનાલિસિસ, વગેરે.

સ્ટેટિક એપ્લીકેશન સિક્યોરિટી ટેસ્ટીંગ પહેલાથી લખેલા કોડમાં ભૂલોને ઓળખે છે. આ અભિગમને એપ્લિકેશન ચલાવવાની જરૂર નથી, તેથી જ તેને સ્થિર વિશ્લેષણ કહેવામાં આવે છે.

હું સ્ટેટિક કોડ વિશ્લેષણ પર ધ્યાન કેન્દ્રિત કરીશ અને વ્યવહારમાં બધું દર્શાવવા માટે એક સરળ ઓપન સોર્સ ટૂલનો ઉપયોગ કરીશ.

મેં સ્ટેટિક કોડ સુરક્ષા વિશ્લેષણ માટે ઓપન સોર્સ ટૂલ કેમ પસંદ કર્યું

આના માટે ઘણા કારણો છે: પ્રથમ, તે મફત છે કારણ કે તમે સમાન વિચારધારા ધરાવતા લોકોના સમુદાય દ્વારા વિકસિત સાધનનો ઉપયોગ કરી રહ્યાં છો જે અન્ય વિકાસકર્તાઓને મદદ કરવા માંગે છે. જો તમારી પાસે નાની ટીમ અથવા સ્ટાર્ટઅપ હોય, તો તમારી પાસે તમારા કોડબેઝની સુરક્ષાને ચકાસવા માટે ઓપન સોર્સ સોફ્ટવેરનો ઉપયોગ કરીને નાણાં બચાવવા માટે એક શ્રેષ્ઠ તક છે. બીજું, તે તમારા ખર્ચમાં વધુ ઘટાડો કરીને, એક અલગ DevSecOps ટીમને ભાડે રાખવાની જરૂરિયાતને દૂર કરે છે.

સારા ઓપન સોર્સ ટૂલ્સ હંમેશા લવચીકતા માટે વધેલી જરૂરિયાતોને ધ્યાનમાં લઈને બનાવવામાં આવે છે. તેથી, તેઓ કાર્યોની વિશાળ શ્રેણીને આવરી લેતા લગભગ કોઈપણ વાતાવરણમાં ઉપયોગ કરી શકાય છે. વિકાસકર્તાઓ માટે તેમના પ્રોજેક્ટ્સ પર કામ કરતી વખતે તેઓ પહેલેથી જ બનાવેલ સિસ્ટમ સાથે આવા ટૂલ્સને કનેક્ટ કરવાનું ખૂબ સરળ છે.

પરંતુ એવા સમયે હોઈ શકે છે જ્યારે તમને કોઈ સુવિધાની જરૂર હોય જે તમે પસંદ કરેલ સાધનમાં ઉપલબ્ધ ન હોય. આ કિસ્સામાં, તમારી પાસે તેના કોડને ફોર્ક કરવાની અને તમને જરૂરી કાર્યક્ષમતા સાથે તેના આધારે તમારું પોતાનું સાધન વિકસાવવાની તક છે.

મોટાભાગના કિસ્સાઓમાં ઓપન સોર્સ સૉફ્ટવેરનો વિકાસ સમુદાય દ્વારા સક્રિયપણે પ્રભાવિત થતો હોવાથી, ફેરફારો કરવાનો નિર્ણય ખૂબ જ ઝડપથી અને મુદ્દા પર લેવામાં આવે છે: ઓપન સોર્સ પ્રોજેક્ટના વિકાસકર્તાઓ તેમના અહેવાલો પર વપરાશકર્તાઓના પ્રતિસાદ અને સૂચનો પર આધાર રાખે છે. ભૂલો મળી અને અન્ય સમસ્યાઓ.

કોડ સુરક્ષા વિશ્લેષણ માટે ગ્રેડિટનો ઉપયોગ કરવો

તમે સ્ટેટિક કોડ વિશ્લેષણ માટે વિવિધ ઓપન સોર્સ ટૂલ્સનો ઉપયોગ કરી શકો છો; બધી પ્રોગ્રામિંગ ભાષાઓ માટે કોઈ સાર્વત્રિક સાધન નથી. તેમાંથી કેટલાકના વિકાસકર્તાઓ OWASP ભલામણોને અનુસરે છે અને શક્ય તેટલી ભાષાઓને આવરી લેવાનો પ્રયાસ કરે છે.

અહીં આપણે ઉપયોગ કરીશું ગ્રેડિટ, એક સરળ આદેશ વાક્ય ઉપયોગિતા જે અમને અમારા કોડબેઝમાં નબળાઈઓ શોધવા માટે પરવાનગી આપશે. તે વિવિધ ભાષાઓને સપોર્ટ કરે છે, પરંતુ તેમ છતાં તેમનો સમૂહ મર્યાદિત છે. ગ્રેપ યુટિલિટી યુટિલિટી પર આધારિત ગ્રેડિટ વિકસાવવામાં આવે છે, જે એકવાર GNU લાયસન્સ હેઠળ બહાર પાડવામાં આવી હતી.

સ્ટેટિક કોડ એનાલિસિસ માટે સમાન સાધનો છે - રફ ઑડિટિંગ ટૂલ ફોર સિક્યુરિટી (RATS), સિક્યુરિટીકોમ્પાસ વેબ એપ્લિકેશન એનાલિસિસ ટૂલ (SWAAT), ફ્લોફાઇન્ડર અને બીજું. પરંતુ ગ્રેડિટ ખૂબ જ લવચીક છે અને તેમાં ન્યૂનતમ તકનીકી આવશ્યકતાઓ છે. જો કે, તમારી પાસે એવી સમસ્યાઓ હોઈ શકે છે જેને Graudit હલ કરી શકતું નથી. પછી તમે અહીં અન્ય વિકલ્પો શોધી શકો છો આ યાદીમાં.

અમે આ ટૂલને ચોક્કસ પ્રોજેક્ટમાં એકીકૃત કરી શકીએ છીએ, અથવા તેને પસંદ કરેલા વપરાશકર્તા માટે ઉપલબ્ધ કરાવી શકીએ છીએ, અથવા અમારા બધા પ્રોજેક્ટ્સમાં એકસાથે તેનો ઉપયોગ કરી શકીએ છીએ. આ તે છે જ્યાં ગ્રેડિટની લવચીકતા રમતમાં આવે છે. તો ચાલો પહેલા રેપોને ક્લોન કરીએ:

$ git clone https://github.com/wireghoul/graudit

હવે ચાલો Graudit માટે તેને કમાન્ડ ફોર્મેટમાં વાપરવા માટે સાંકેતિક લિંક બનાવીએ

$ cd ~/bin && mkdir graudit
$ ln --symbolic ~/graudit/graudit ~/bin/graudit

ચાલો .bashrc (અથવા તમે જે પણ રૂપરેખાંકન ફાઇલનો ઉપયોગ કરી રહ્યાં છો) માં ઉપનામ ઉમેરીએ:

#------ .bashrc ------
alias graudit="~/bin/graudit"

રીબૂટ કરો:

$ source ~/.bashrc # OR
$ exex $SHELL

ચાલો તપાસીએ કે ઇન્સ્ટોલેશન સફળ હતું કે નહીં:

$ graudit -h

જો તમે કંઈક સમાન જોશો, તો બધું સારું છે.

હું મારા હાલના પ્રોજેક્ટ્સમાંથી એકનું પરીક્ષણ કરીશ. ટૂલ ચલાવતા પહેલા, તેને જે ભાષામાં મારો પ્રોજેક્ટ લખવામાં આવ્યો છે તેને અનુરૂપ ડેટાબેઝ પાસ કરવાની જરૂર છે. ડેટાબેસેસ ~/gradit/signatures ફોલ્ડરમાં સ્થિત છે:

$ graudit -d ~/gradit/signatures/js.db

તેથી, મેં મારા પ્રોજેક્ટમાંથી બે js ફાઇલોનું પરીક્ષણ કર્યું, અને Graudit એ મારા કોડમાં નબળાઈઓ વિશેની માહિતી કન્સોલ પર પ્રદર્શિત કરી:

તમે તે જ રીતે તમારા પ્રોજેક્ટ્સનું પરીક્ષણ કરવાનો પ્રયાસ કરી શકો છો. તમે વિવિધ પ્રોગ્રામિંગ ભાષાઓ માટે ડેટાબેઝની સૂચિ જોઈ શકો છો અહીં.

ગ્રેડિટના ફાયદા અને ગેરફાયદા

ગ્રેડિટ ઘણી પ્રોગ્રામિંગ ભાષાઓને સપોર્ટ કરે છે. તેથી, તે વપરાશકર્તાઓની વિશાળ શ્રેણી માટે યોગ્ય છે. તે કોઈપણ મફત અથવા પેઇડ એનાલોગ સાથે પર્યાપ્ત રીતે સ્પર્ધા કરી શકે છે. અને તે ખૂબ જ મહત્વપૂર્ણ છે કે પ્રોજેક્ટમાં હજુ પણ સુધારાઓ કરવામાં આવી રહ્યા છે, અને સમુદાય માત્ર વિકાસકર્તાઓને જ નહીં, પણ અન્ય વપરાશકર્તાઓને પણ મદદ કરે છે જેઓ સાધનને શોધવાનો પ્રયાસ કરી રહ્યાં છે.

આ એક સરળ સાધન છે, પરંતુ અત્યાર સુધી તે હંમેશા કોડના શંકાસ્પદ ભાગ સાથે સમસ્યા શું છે તે બરાબર નિર્ધારિત કરી શકતું નથી. વિકાસકર્તાઓ Graudit સુધારવાનું ચાલુ રાખે છે.

પરંતુ કોઈ પણ સંજોગોમાં, આના જેવા સાધનોનો ઉપયોગ કરતી વખતે કોડમાં સંભવિત સુરક્ષા સમસ્યાઓ પર ધ્યાન આપવું ઉપયોગી છે.

શરૂઆત...

આ લેખમાં, મેં નબળાઈઓ શોધવા માટેની ઘણી રીતોમાંથી માત્ર એક તરફ જોયું - સ્થિર એપ્લિકેશન સુરક્ષા પરીક્ષણ. સ્ટેટિક કોડ વિશ્લેષણ કરવું સરળ છે, પરંતુ તે માત્ર શરૂઆત છે. તમારા કોડબેઝની સુરક્ષા વિશે વધુ જાણવા માટે, તમારે તમારા સોફ્ટવેર ડેવલપમેન્ટ જીવનચક્રમાં અન્ય પ્રકારનાં પરીક્ષણોને એકીકૃત કરવાની જરૂર છે.

જાહેરાતના અધિકારો પર

વિશ્વસનીય VPS અને ટેરિફ પ્લાનની સાચી પસંદગી તમને અપ્રિય સમસ્યાઓ દ્વારા વિકાસથી ઓછા વિચલિત થવા દેશે - બધું નિષ્ફળતા વિના અને ખૂબ ઊંચા અપટાઇમ સાથે કામ કરશે!

સોર્સ: www.habr.com