🥇भेद्यता स्कैनिंग और सुरक्षित विकास। भाग 1

अपनी व्यावसायिक गतिविधियों के हिस्से के रूप में, डेवलपर्स, पेंटेस्टर और सुरक्षा पेशेवरों को भेद्यता प्रबंधन (वीएम), (सिक्योर) एसडीएलसी जैसी प्रक्रियाओं से निपटना पड़ता है।
इन वाक्यांशों के नीचे उपयोग की जाने वाली प्रथाओं और उपकरणों के विभिन्न सेट हैं जो आपस में जुड़े हुए हैं, हालांकि उनके उपयोगकर्ता अलग-अलग हैं।

तकनीकी प्रगति अभी तक उस बिंदु तक नहीं पहुंची है जहां बुनियादी ढांचे और सॉफ्टवेयर की सुरक्षा का विश्लेषण करने के लिए एक उपकरण किसी व्यक्ति की जगह ले सके।
यह समझना दिलचस्प है कि ऐसा क्यों है, और किन समस्याओं का सामना करना पड़ता है।

Процессы

भेद्यता प्रबंधन प्रक्रिया को बुनियादी ढांचे की सुरक्षा और पैच प्रबंधन की निरंतर निगरानी के लिए डिज़ाइन किया गया है।
सुरक्षित एसडीएलसी प्रक्रिया ("सुरक्षित विकास चक्र") को विकास और संचालन के दौरान एप्लिकेशन सुरक्षा बनाए रखने के लिए डिज़ाइन किया गया है।

इन प्रक्रियाओं का एक समान हिस्सा भेद्यता मूल्यांकन प्रक्रिया है - भेद्यता मूल्यांकन, भेद्यता स्कैनिंग।
वीएम और एसडीएलसी के भीतर स्कैनिंग के बीच मुख्य अंतर यह है कि पहले मामले में, लक्ष्य तीसरे पक्ष के सॉफ़्टवेयर या कॉन्फ़िगरेशन में ज्ञात कमजोरियों को ढूंढना है। उदाहरण के लिए, विंडोज़ का पुराना संस्करण या एसएनएमपी के लिए डिफ़ॉल्ट समुदाय स्ट्रिंग।
दूसरे मामले में, लक्ष्य न केवल तीसरे पक्ष के घटकों (निर्भरता) में कमजोरियों का पता लगाना है, बल्कि मुख्य रूप से नए उत्पाद के कोड में भी है।

इससे उपकरणों और दृष्टिकोणों में अंतर पैदा होता है। मेरी राय में, किसी एप्लिकेशन में नई कमजोरियां ढूंढने का कार्य अधिक दिलचस्प है, क्योंकि यह संस्करण फ़िंगरप्रिंटिंग, बैनर संग्रह, पासवर्ड ब्रूट फ़ोर्स इत्यादि तक सीमित नहीं है।
एप्लिकेशन की कमजोरियों की उच्च गुणवत्ता वाली स्वचालित स्कैनिंग के लिए ऐसे एल्गोरिदम की आवश्यकता होती है जो एप्लिकेशन के शब्दार्थ, उसके उद्देश्य और विशिष्ट खतरों को ध्यान में रखते हैं।

इंफ्रास्ट्रक्चर स्कैनर को अक्सर टाइमर से बदला जा सकता है एवलेओनोव. मुद्दा यह है कि विशुद्ध रूप से सांख्यिकीय रूप से, आप अपने बुनियादी ढांचे को असुरक्षित मान सकते हैं यदि आपने इसे, मान लीजिए, एक महीने तक अपडेट नहीं किया है।

उपकरण

स्कैनिंग, साथ ही सुरक्षा विश्लेषण, ब्लैक बॉक्स या व्हाइट बॉक्स के रूप में किया जा सकता है।

ब्लैक बॉक्स

ब्लैकबॉक्स स्कैनिंग के साथ, टूल को उन्हीं इंटरफेस के माध्यम से सेवा के साथ काम करने में सक्षम होना चाहिए जिसके माध्यम से उपयोगकर्ता इसके साथ काम करते हैं।

इन्फ्रास्ट्रक्चर स्कैनर (टेनेबल नेसस, क्वालिस, मैक्सपैट्रोल, रैपिड7 नेक्सपोज़, आदि) खुले नेटवर्क पोर्ट की तलाश करते हैं, "बैनर" इकट्ठा करते हैं, इंस्टॉल किए गए सॉफ़्टवेयर संस्करणों की पहचान करते हैं, और इन संस्करणों में कमजोरियों के बारे में जानकारी के लिए अपने ज्ञान आधार की खोज करते हैं। वे कॉन्फ़िगरेशन त्रुटियों जैसे डिफ़ॉल्ट पासवर्ड या डेटा तक सार्वजनिक पहुंच, कमजोर एसएसएल सिफर इत्यादि का पता लगाने का भी प्रयास करते हैं।

वेब एप्लिकेशन स्कैनर (एक्यूनेटिक्स डब्ल्यूवीएस, नेटस्पार्कर, बर्प सूट, ओडब्ल्यूएएसपी जैप, आदि) ज्ञात घटकों और उनके संस्करणों (जैसे सीएमएस, फ्रेमवर्क, जेएस लाइब्रेरी) का भी पता लगा सकते हैं। क्रॉल के मुख्य चरण क्रॉलिंग और फ़ज़िंग हैं।
क्रॉलिंग के दौरान, क्रॉलर मौजूदा एप्लिकेशन इंटरफ़ेस और HTTP पैरामीटर के बारे में जानकारी एकत्र करता है। फ़ज़िंग के दौरान, त्रुटि उत्पन्न करने और भेद्यता का पता लगाने के लिए सभी ज्ञात मापदंडों को उत्परिवर्तित या उत्पन्न डेटा के साथ प्रतिस्थापित किया जाता है।

ऐसे एप्लिकेशन स्कैनर DAST और IAST वर्गों से संबंधित हैं - क्रमशः डायनेमिक और इंटरएक्टिव एप्लिकेशन सुरक्षा परीक्षण।

सफेद बॉक्स

व्हाइटबॉक्स स्कैनिंग के साथ, अधिक अंतर हैं।
वीएम प्रक्रिया के भाग के रूप में, स्कैनर (वल्नर्स, इंकसिक्योरिटी काउच, वल्स, टेनेबल नेसस, आदि) को अक्सर एक प्रमाणित स्कैन करके सिस्टम तक पहुंच प्रदान की जाती है। इस प्रकार, स्कैनर नेटवर्क सेवा बैनरों से अनुमान लगाए बिना, सिस्टम से सीधे स्थापित पैकेज संस्करण और कॉन्फ़िगरेशन पैरामीटर डाउनलोड कर सकता है।
स्कैन अधिक सटीक और पूर्ण है.

यदि हम अनुप्रयोगों की व्हाइटबॉक्स स्कैनिंग (चेकमार्क्स, एचपी फोर्टिफाई, कवरिटी, आरआईपीएस, फाइंडसेकबग्स इत्यादि) के बारे में बात करते हैं, तो हम आम तौर पर स्थिर कोड विश्लेषण और संबंधित एसएएसटी क्लास टूल - स्टेटिक एप्लिकेशन सुरक्षा परीक्षण के उपयोग के बारे में बात कर रहे हैं।

समस्याओं

स्कैनिंग में होती हैं कई दिक्कतें! बिल्डिंग स्कैनिंग और सुरक्षित विकास प्रक्रियाओं के लिए सेवा के प्रावधान के साथ-साथ सुरक्षा विश्लेषण कार्य करते समय मुझे उनमें से अधिकांश से व्यक्तिगत रूप से निपटना पड़ता है।

मैं समस्याओं के 3 मुख्य समूहों का चयन करूंगा, जिनकी पुष्टि विभिन्न कंपनियों में इंजीनियरों और सूचना सुरक्षा सेवाओं के प्रमुखों के साथ बातचीत से भी होती है।

वेब एप्लिकेशन स्कैनिंग समस्याएँ

क्रियान्वयन में कठिनाई. प्रभावी होने के लिए स्कैनर्स को तैनात करने, कॉन्फ़िगर करने, प्रत्येक एप्लिकेशन के लिए अनुकूलित करने, स्कैन के लिए एक परीक्षण वातावरण आवंटित करने और सीआई/सीडी प्रक्रिया में लागू करने की आवश्यकता है। अन्यथा, यह एक बेकार औपचारिक प्रक्रिया होगी, जो केवल झूठी सकारात्मक बातें जारी करेगी
स्कैन अवधि. स्कैनर्स, 2019 में भी, इंटरफेस को डीडुप्लिकेट करने का खराब काम करते हैं और प्रत्येक 10 पैरामीटर के साथ एक हजार पृष्ठों को अलग-अलग दिनों तक स्कैन कर सकते हैं, हालांकि एक ही कोड उनके लिए जिम्मेदार है। साथ ही, विकास चक्र के भीतर उत्पादन में तैनाती का निर्णय शीघ्रता से लिया जाना चाहिए।
ख़राब सिफ़ारिशें. स्कैनर काफी सामान्य सिफारिशें देते हैं, और किसी डेवलपर के लिए यह हमेशा संभव नहीं होता है कि वह उनसे तुरंत समझ सके कि जोखिम के स्तर को कैसे कम किया जाए, और सबसे महत्वपूर्ण बात यह है कि क्या इसे अभी करने की आवश्यकता है, या यह अभी तक डरावना नहीं है
अनुप्रयोग पर विनाशकारी प्रभाव. स्कैनर आसानी से किसी एप्लिकेशन पर DoS हमला कर सकते हैं, और वे बड़ी संख्या में इकाइयां भी बना सकते हैं या मौजूदा इकाइयों को बदल सकते हैं (उदाहरण के लिए, किसी ब्लॉग पर हजारों टिप्पणियाँ बना सकते हैं), इसलिए आपको बिना सोचे-समझे स्कैन नहीं चलाना चाहिए उत्पाद।
भेद्यता पहचान की ख़राब गुणवत्ता. स्कैनर आमतौर पर पेलोड की एक निश्चित श्रृंखला का उपयोग करते हैं और आसानी से एक भेद्यता को छोड़ सकते हैं जो उनके ज्ञात एप्लिकेशन व्यवहार में फिट नहीं होता है।
स्कैनर एप्लिकेशन के कार्यों को नहीं समझता है। स्कैनर्स स्वयं नहीं जानते कि "इंटरनेट बैंक", "भुगतान", "टिप्पणी" क्या है। उनके लिए, केवल लिंक और पैरामीटर हैं, इसलिए संभावित व्यावसायिक तर्क कमजोरियों की एक बड़ी परत पूरी तरह से खुली रहती है, वे डबल राइट-ऑफ करने, आईडी द्वारा अन्य लोगों के डेटा को देखने या राउंडिंग के माध्यम से शेष राशि को समाप्त करने का अनुमान नहीं लगाएंगे।
स्कैनर द्वारा पृष्ठ शब्दार्थ की ग़लतफ़हमी। स्कैनर अक्सर पूछे जाने वाले प्रश्नों को नहीं पढ़ सकते हैं, कैप्चा को नहीं पहचान सकते हैं, वे स्वयं अनुमान नहीं लगा सकते हैं कि पंजीकरण कैसे करें और फिर पुनः लॉगिन करें, कि आप "लॉगआउट" पर क्लिक नहीं कर सकते हैं, और पैरामीटर मान बदलते समय अनुरोधों पर हस्ताक्षर कैसे करें। परिणामस्वरूप, अधिकांश एप्लिकेशन बिल्कुल भी स्कैन नहीं किया जा सकता है।

स्रोत कोड स्कैनिंग समस्याएँ

झूठी सकारात्मक। स्थैतिक विश्लेषण एक जटिल कार्य है जिसमें कई समझौते शामिल होते हैं। अक्सर आपको सटीकता का त्याग करना पड़ता है, और महंगे एंटरप्राइज स्कैनर भी बड़ी संख्या में गलत सकारात्मक परिणाम देते हैं।
क्रियान्वयन में कठिनाई. स्थैतिक विश्लेषण की सटीकता और पूर्णता बढ़ाने के लिए, स्कैनिंग नियमों को परिष्कृत करना आवश्यक है, और इन नियमों को लिखने में बहुत समय लग सकता है। कभी-कभी ऐसे मामलों का पता लगाने के लिए नियम लिखने की तुलना में कोड में किसी प्रकार के बग वाले सभी स्थानों को ढूंढना और उन्हें ठीक करना आसान होता है।
निर्भरता समर्थन का अभाव. बड़ी परियोजनाएं बड़ी संख्या में पुस्तकालयों और रूपरेखाओं पर निर्भर करती हैं जो प्रोग्रामिंग भाषा की क्षमताओं का विस्तार करती हैं। यदि स्कैनर के ज्ञान आधार में इन रूपरेखाओं में खतरनाक स्थानों ("सिंक") के बारे में जानकारी नहीं है, तो यह एक अंधा स्थान बन जाएगा, और स्कैनर कोड को समझ भी नहीं पाएगा।
स्कैन अवधि. एल्गोरिदम के लिहाज से भी कोड में कमजोरियां ढूंढना एक मुश्किल काम है। इसलिए, प्रक्रिया में देरी हो सकती है और इसके लिए महत्वपूर्ण कंप्यूटिंग संसाधनों की आवश्यकता होगी।
कम कवरेज. संसाधन की खपत और स्कैन अवधि के बावजूद, SAST उपकरण डेवलपर्स को अभी भी समझौते का सहारा लेना पड़ता है और उन सभी स्थितियों का विश्लेषण नहीं करना पड़ता है जिनमें एक प्रोग्राम हो सकता है।
प्रतिलिपि प्रस्तुत करने योग्यता ढूँढना. विशिष्ट लाइन और कॉल स्टैक की ओर इशारा करना जो भेद्यता की ओर ले जाता है, बहुत अच्छा है, लेकिन वास्तव में, अक्सर स्कैनर बाहरी भेद्यता की जांच करने के लिए पर्याप्त जानकारी प्रदान नहीं करता है। आख़िरकार, दोष मृत कोड में भी हो सकता है, जो हमलावर के लिए पहुंच योग्य नहीं है।

इन्फ्रास्ट्रक्चर स्कैनिंग मुद्दे

अपर्याप्त सूची. बड़े बुनियादी ढांचे में, विशेष रूप से भौगोलिक रूप से अलग-अलग, यह पता लगाना अक्सर सबसे कठिन काम होता है कि किस होस्ट को स्कैन करना है। दूसरे शब्दों में, स्कैनिंग का कार्य परिसंपत्ति प्रबंधन के कार्य से निकटता से संबंधित है
ख़राब प्राथमिकता. नेटवर्क स्कैनर अक्सर खामियों के साथ कई परिणाम देते हैं जो व्यवहार में शोषण योग्य नहीं होते हैं, लेकिन औपचारिक रूप से उनके जोखिम का स्तर अधिक होता है। उपभोक्ता को एक रिपोर्ट प्राप्त होती है जिसकी व्याख्या करना कठिन है, और यह स्पष्ट नहीं है कि पहले क्या सुधार करने की आवश्यकता है
ख़राब सिफ़ारिशें. स्कैनर नॉलेज बेस में अक्सर भेद्यता और इसे ठीक करने के तरीके के बारे में केवल बहुत सामान्य जानकारी होती है, इसलिए व्यवस्थापकों को खुद को Google से लैस करना होगा। व्हाइटबॉक्स स्कैनर के साथ स्थिति थोड़ी बेहतर है, जो ठीक करने के लिए एक विशिष्ट कमांड जारी कर सकता है
हस्तनिर्मित। इन्फ्रास्ट्रक्चर में कई नोड हो सकते हैं, जिसका अर्थ है कि संभावित रूप से कई खामियां हैं, जिन पर रिपोर्ट को प्रत्येक पुनरावृत्ति पर मैन्युअल रूप से पार्स और विश्लेषण किया जाना चाहिए
ख़राब कवरेज. बुनियादी ढांचे की स्कैनिंग की गुणवत्ता सीधे तौर पर कमजोरियों और सॉफ्टवेयर संस्करणों के बारे में ज्ञान के आधार के आकार पर निर्भर करती है। वहीं, यह पता चला है, यहां तक कि बाजार के नेताओं के पास भी व्यापक ज्ञान का आधार नहीं है, और मुफ्त समाधानों के डेटाबेस में बहुत सारी जानकारी है जो नेताओं के पास नहीं है
पैचिंग में समस्या. अक्सर, बुनियादी ढांचे की कमजोरियों को दूर करने के लिए किसी पैकेज को अपडेट करना या कॉन्फ़िगरेशन फ़ाइल को बदलना होता है। यहां बड़ी समस्या यह है कि सिस्टम, विशेष रूप से पुराना सिस्टम, अपडेट के परिणामस्वरूप अप्रत्याशित रूप से व्यवहार कर सकता है। वास्तव में, आपको उत्पादन में लाइव बुनियादी ढांचे पर एकीकरण परीक्षण करना होगा।

दृष्टिकोण

कैसे हो सकता है?
मैं निम्नलिखित भागों में उदाहरणों और इनमें से कई समस्याओं से निपटने के तरीके के बारे में अधिक विस्तार से बताऊंगा, लेकिन अभी मैं उन मुख्य क्षेत्रों का संकेत दूंगा जिनमें आप काम कर सकते हैं:

विभिन्न स्कैनिंग उपकरणों का एकत्रीकरण। एकाधिक स्कैनर के सही उपयोग से, ज्ञान के आधार और पहचान की गुणवत्ता में उल्लेखनीय वृद्धि हासिल की जा सकती है। आप व्यक्तिगत रूप से चलाए गए सभी स्कैनरों की तुलना में और भी अधिक कमजोरियाँ पा सकते हैं, जबकि आप जोखिम के स्तर का अधिक सटीक आकलन कर सकते हैं और अधिक सिफारिशें कर सकते हैं
SAST और DAST का एकीकरण. उनके बीच जानकारी साझा करके DAST कवरेज और SAST सटीकता को बढ़ाना संभव है। स्रोत से आप मौजूदा मार्गों के बारे में जानकारी प्राप्त कर सकते हैं, और DAST की मदद से आप जांच सकते हैं कि भेद्यता बाहर से दिखाई दे रही है या नहीं
मशीन लर्निंग™. 2015 में मैं मुझे बताया गया है (और अधिक) स्कैनर्स को हैकर का अंतर्ज्ञान देने और उन्हें गति देने के लिए आंकड़ों का उपयोग करने के बारे में। यह निश्चित रूप से भविष्य में स्वचालित सुरक्षा विश्लेषण के विकास के लिए भोजन है।
ऑटोटेस्ट और ओपनएपीआई के साथ आईएएसटी एकीकरण। सीआई/सीडी-पाइपलाइन के भीतर, HTTP प्रॉक्सी और HTTP पर काम करने वाले कार्यात्मक परीक्षणों के रूप में काम करने वाले उपकरणों के आधार पर एक स्कैनिंग प्रक्रिया बनाना संभव है। ओपनएपीआई/स्वैगर परीक्षण और अनुबंध स्कैनर को डेटा प्रवाह के बारे में गुम जानकारी देंगे, जिससे विभिन्न राज्यों में एप्लिकेशन को स्कैन करना संभव हो जाएगा।
सही विन्यास. प्रत्येक एप्लिकेशन और बुनियादी ढांचे के लिए, आपको इंटरफ़ेस की संख्या और प्रकृति, उपयोग की जाने वाली तकनीकों को ध्यान में रखते हुए एक उपयुक्त स्कैनिंग प्रोफ़ाइल बनाने की आवश्यकता है
स्कैनर अनुकूलन. अक्सर, स्कैनर को संशोधित किए बिना किसी एप्लिकेशन को स्कैन नहीं किया जा सकता है। एक उदाहरण भुगतान गेटवे है जहां प्रत्येक अनुरोध पर हस्ताक्षर होना चाहिए। गेटवे प्रोटोकॉल के लिए कनेक्टर लिखे बिना, स्कैनर बिना सोचे-समझे गलत हस्ताक्षर वाले अनुरोधों पर ध्यान देंगे। विशिष्ट प्रकार की खामियों के लिए विशेष स्कैनर लिखना भी आवश्यक है, जैसे असुरक्षित प्रत्यक्ष वस्तु संदर्भ
जोखिम प्रबंधन। विभिन्न स्कैनर के उपयोग और बाहरी प्रणालियों जैसे कि एसेट मैनेजमेंट और थ्रेट मैनेजमेंट के साथ एकीकरण जोखिम के स्तर का आकलन करने के लिए कई मापदंडों का उपयोग करने की अनुमति देगा, ताकि प्रबंधन को विकास या बुनियादी ढांचे की वर्तमान सुरक्षा स्थिति की पर्याप्त तस्वीर मिल सके।

बने रहें और आइए भेद्यता स्कैनिंग को बाधित करें!

स्रोत: www.habr.com

भेद्यता स्कैनिंग और सुरक्षित विकास। भाग ---- पहला