שימוש בסורק הפגיעות עבור ספריות משומשות Dependency-Check ב- GitlabCI

חלק חשוב בניהול פגיעות הוא להבין היטב ולאבטח את שרשרת האספקה ​​של רכיבי התוכנה המרכיבים את המערכות המודרניות. צוותי Agile ו-DevOps עושים שימוש נרחב בספריות ובמסגרות קוד פתוח כדי להפחית את זמן הפיתוח והעלות. אבל למדליה הזו יש גם חיסרון: ההזדמנות לרשת את הטעויות והפגיעות של אנשים אחרים.

ברור שהצוות צריך להיות בטוח לדעת אילו רכיבי קוד פתוח כלולים באפליקציות שלו, לוודא שגרסאות אמינות ידועות יורדו ממקורות אמינים ידועים, ולהוריד גרסאות מעודכנות של רכיבים לאחר תיקון נקודות תורפה שהתגלו לאחרונה.

בפוסט זה, נבחן את השימוש בבדיקת תלות ב-OWASP כדי לבטל בנייה אם היא מזהה בעיות חמורות בקוד שלך.

בספר "אבטחת פיתוח בפרויקטים זריזים" זה מתואר כדלקמן. OWASP Dependency Check הוא סורק חינמי שמקטלג את כל רכיבי הקוד הפתוח המשמשים באפליקציה ומראה את הפגיעויות שהם מכילים. ישנן גרסאות ל-Java, .NET, Ruby (gemspec), PHP (מלחין), Node.js ו-Python, כמו גם לכמה פרויקטים של C/C++. בדיקת תלות משתלבת עם כלי בנייה נפוצים, כולל Ant, Maven ו-Gradle, ושרתי אינטגרציה מתמשכים כמו Jenkins.

בדיקת תלות מדווחת על כל הרכיבים עם פגיעויות ידועות ממסד הנתונים הלאומי הפגיעות של NIST (NVD) ומתעדכנת בנתונים מעדכון חדשות של NVD.

למרבה המזל, כל זה יכול להיעשות באופן אוטומטי באמצעות כלים כמו פרויקט OWASP Dependency Check או תוכניות מסחריות כמו ברווז שחור, JFrog Xray, סניק, מחזור החיים של Nexus סונטיפ או SourceClear.

כלים אלה יכולים להיכלל ב-buildlines למלאי אוטומטית של תלות בקוד פתוח, לזהות גרסאות מיושנות של ספריות וספריות המכילות פגיעויות ידועות, ולבטל בנייה אם מתגלות בעיות חמורות.

בדיקת תלות OWASP

כדי לבדוק ולהדגים כיצד פועלת בדיקת התלות, אנו משתמשים במאגר זה דוגמה לבדיקת תלות.

כדי להציג את דוח ה-HTML, עליך להגדיר את שרת האינטרנט nginx ב-gitlab-runner שלך.

דוגמה לתצורת nginx מינימלית:

server {
    listen       9999;
    listen       [::]:9999;
    server_name  _;
    root         /home/gitlab-runner/builds;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }
}

בסוף ההרכבה תוכלו לראות את התמונה הזו:

עקוב אחר הקישור וראה את דוח בדיקת התלות.

צילום המסך הראשון הוא החלק העליון של הדוח עם סיכום.

פרטי צילום מסך שני CVE-2017-5638. כאן אנו רואים את רמת ה-CVE וקישורים לניצולים.

צילום המסך השלישי הוא פרטים של log4j-api-2.7.jar. אנו רואים שרמות CVE הן 7.5 ו-9.8.

צילום המסך הרביעי הוא הפרטים של commons-fileupload-1.3.2.jar. אנו רואים שרמות CVE הן 7.5 ו-9.8.

אם אתה רוצה להשתמש בדפי gitlab, אז זה לא יעבוד - משימה שנפלה לא תיצור חפץ.

דוגמה כאן https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages.

בניית פלט: אין חפצים, אני לא רואה את דוח ה-html. כדאי לנסות את Artifact: תמיד

https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages/-/jobs/400004246

הסדרת רמת פגיעויות CVE

השורה החשובה ביותר בקובץ gitlab-ci.yaml:

mvn $MAVEN_CLI_OPTS test org.owasp:dependency-check-maven:check -DfailBuildOnCVSS=7

עם הפרמטר failBuildOnCVSS אתה יכול להתאים את רמת הפגיעות של CVE אליה אתה צריך להגיב.

הורדת מסד הנתונים הפגיעות של NIST (NVD) מהאינטרנט

האם שמת לב ש-NIST מוריד כל הזמן את מסדי הנתונים של NIST הפגיעות (NVD) מהאינטרנט:

כדי להוריד, אתה יכול להשתמש בכלי השירות nist_data_mirror_golang

בואו נתקין ונפעיל אותו.

yum -y install yum-plugin-copr
yum copr enable antonpatsev/nist_data_mirror_golang
yum -y install nist-data-mirror
systemctl start nist-data-mirror

Nist-data-mirror מעלה את ה-NIST JSON CVE אל /var/www/repos/nist-data-mirror/ בעת ההפעלה ומעדכנת את הנתונים כל 24 שעות.

כדי להוריד CVE JSON NIST, עליך להגדיר את שרת האינטרנט nginx (לדוגמה, ב-gitlab-runner שלך).

דוגמה לתצורת nginx מינימלית:

server {
    listen       12345;
    listen       [::]:12345;
    server_name  _;
    root         /var/www/repos/nist-data-mirror/;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }

}

כדי לא לעשות שורה ארוכה היכן מופעל mvn, נעביר את הפרמטרים למשתנה נפרד DEPENDENCY_OPTS.

התצורה המינימלית הסופית .gitlab-ci.yml תיראה כך:

variables:
  MAVEN_OPTS: "-Dhttps.protocols=TLSv1.2 -Dmaven.repo.local=$CI_PROJECT_DIR/.m2/repository -Dorg.slf4j.simpleLogger.log.org.apache.maven.cli.transfer.Slf4jMavenTransferListener=WARN -Dorg.slf4j.simpleLogger.showDateTime=true -Djava.awt.headless=true"
  MAVEN_CLI_OPTS: "--batch-mode --errors --fail-at-end --show-version -DinstallAtEnd=true -DdeployAtEnd=true"
  DEPENDENCY_OPTS: "-DfailBuildOnCVSS=7 -DcveUrlModified=http://localhost:12345/nvdcve-1.1-modified.json.gz -DcveUrlBase=http://localhost:12345/nvdcve-1.1-%d.json.gz"

cache:
  paths:
    - .m2/repository

verify:
  stage: test
  script:
    - set +e
    - mvn $MAVEN_CLI_OPTS install org.owasp:dependency-check-maven:check $DEPENDENCY_OPTS || EXIT_CODE=$?
    - export PATH_WITHOUT_HOME=$(pwd | sed -e "s//home/gitlab-runner/builds//g")
    - echo "************************* URL Dependency-check-report.html *************************"
    - echo "http://$HOSTNAME:9999$PATH_WITHOUT_HOME/target/dependency-check-report.html"
    - set -e
    - exit ${EXIT_CODE}
  tags:
    - shell

צ'אט בטלגרם על DevOps ואבטחה
ערוץ טלגרם DevSecOps / SSDLC - פיתוח מאובטח

מקור: www.habr.com