כיצד להשתמש בכלי שירות פשוט כדי למצוא נקודות תורפה בקוד התוכנית

Graudit תומך במספר שפות תכנות ומאפשר לך לשלב בדיקות אבטחה של בסיס קוד ישירות בתהליך הפיתוח.

מקור: Unsplash (מרקוס ספיסקה)

בדיקות הן חלק חשוב ממחזור החיים של פיתוח התוכנה. ישנם סוגים רבים של בדיקות, כל אחד מהם פותר את הבעיה שלו. היום אני רוצה לדבר על מציאת בעיות אבטחה בקוד.

ברור שבמציאות המודרנית של פיתוח תוכנה, חשוב להבטיח אבטחת תהליכים. פעם, המונח המיוחד DevSecOps אפילו הוצג. מונח זה מתייחס לסדרה של נהלים שמטרתם לזהות ולחסל נקודות תורפה באפליקציה. ישנם פתרונות קוד פתוח מיוחדים לבדיקת נקודות תורפה בהתאם לתקנים OWASP, המתארים את הסוגים וההתנהגות השונים של פגיעויות בקוד המקור.

ישנן גישות שונות לפתרון בעיות אבטחה, כגון בדיקת אבטחת יישומים סטטית (SAST), בדיקת אבטחת יישומים דינמית (DAST), בדיקת אבטחת יישומים אינטראקטיבית (IAST), ניתוח הרכב תוכנה וכו'.

בדיקות אבטחה סטטיות של יישומים מזהות שגיאות בקוד שכבר נכתב. גישה זו אינה מחייבת את היישום לפעול, וזו הסיבה שהיא נקראת ניתוח סטטי.

אני אתמקד בניתוח קוד סטטי ואשתמש בכלי קוד פתוח פשוט כדי להדגים הכל בפועל.

מדוע בחרתי בכלי קוד פתוח לניתוח אבטחת קוד סטטי

יש לכך מספר סיבות: ראשית, זה בחינם כי אתה משתמש בכלי שפותח על ידי קהילה של אנשים בעלי דעות דומות שרוצים לעזור למפתחים אחרים. אם יש לך צוות קטן או סטארטאפ, יש לך הזדמנות מצוינת לחסוך כסף על ידי שימוש בתוכנת קוד פתוח כדי לבדוק את האבטחה של בסיס הקוד שלך. שנית, זה מבטל את הצורך שלך לשכור צוות DevSecOps נפרד, ומפחית עוד יותר את העלויות שלך.

כלי קוד פתוח טובים נוצרים תמיד תוך התחשבות בדרישות מוגברות לגמישות. לכן, ניתן להשתמש בהם כמעט בכל סביבה, המכסה מגוון רחב של משימות. הרבה יותר קל למפתחים לחבר כלים כאלה עם המערכת שהם כבר בנו תוך כדי עבודה על הפרויקטים שלהם.

אבל עשויים להיות מקרים שבהם אתה צריך תכונה שאינה זמינה בכלי שתבחר. במקרה זה, יש לך הזדמנות לחלק את הקוד שלו ולפתח כלי משלך המבוסס עליו עם הפונקציונליות הדרושה לך.

מכיוון שברוב המקרים פיתוח תוכנת קוד פתוח מושפע באופן פעיל מהקהילה, ההחלטה על ביצוע שינויים מתקבלת די מהר ולעניין: מפתחי פרויקט הקוד הפתוח מסתמכים על משוב והצעות מהמשתמשים, על דיווחיהם של נמצאו שגיאות ובעיות אחרות.

שימוש ב-Graudit עבור ניתוח אבטחת קוד

אתה יכול להשתמש בכלי קוד פתוח שונים לניתוח קוד סטטי; אין כלי אוניברסלי לכל שפות התכנות. המפתחים של חלקם פועלים לפי המלצות OWASP ומנסים לכסות כמה שיותר שפות.

כאן נשתמש גראודיט, כלי שורת פקודה פשוט שיאפשר לנו למצוא נקודות תורפה בבסיס הקוד שלנו. זה תומך בשפות שונות, אבל עדיין הסט שלהם מוגבל. גראודיט פותח על בסיס כלי השירות grep, אשר שוחרר פעם תחת רישיון GNU.

ישנם כלים דומים לניתוח קוד סטטי – Rough Auditing Tool for Security (RATS), Securitycompass Web Application Analysis Tool (SWAAT), Flawfinder וכן הלאה. אבל גראודיט מאוד גמיש ויש לו דרישות טכניות מינימליות. עם זאת, ייתכן שיש לך בעיות ש-Graudit לא יכול לפתור. אז אתה יכול לחפש אפשרויות אחרות כאן ברשימה זו.

אנחנו יכולים לשלב את הכלי הזה בפרויקט ספציפי, או להפוך אותו לזמין למשתמש נבחר, או להשתמש בו בו-זמנית בכל הפרויקטים שלנו. כאן גם נכנסת לתמונה הגמישות של גראודיט. אז בוא נשכפל את המאגר תחילה:

$ git clone https://github.com/wireghoul/graudit

כעת בואו ניצור קישור סמלי עבור Graudit להשתמש בו בפורמט פקודה

$ cd ~/bin && mkdir graudit
$ ln --symbolic ~/graudit/graudit ~/bin/graudit

בוא נוסיף כינוי ל-bashrc (או כל קובץ תצורה שאתה משתמש בו):

#------ .bashrc ------
alias graudit="~/bin/graudit"

לְאַתחֵל:

$ source ~/.bashrc # OR
$ exex $SHELL

בוא נבדוק אם ההתקנה הצליחה:

$ graudit -h

אם אתה רואה משהו דומה, אז הכל בסדר.

אני אבדוק את אחד מהפרויקטים הקיימים שלי. לפני הפעלת הכלי, יש להעביר לו מסד נתונים המתאים לשפה בה נכתב הפרוייקט שלי. מסדי הנתונים ממוקמים בתיקייה ~/gradit/signatures:

$ graudit -d ~/gradit/signatures/js.db

אז בדקתי שני קבצי js מהפרויקט שלי, ו-Graudit הציג מידע על נקודות תורפה בקוד שלי לקונסולה:

אתה יכול לנסות לבדוק את הפרויקטים שלך באותו אופן. אתה יכול לראות רשימה של מסדי נתונים עבור שפות תכנות שונות כאן.

יתרונות וחסרונות של גראודיט

Graudit תומך בשפות תכנות רבות. לכן, הוא מתאים למגוון רחב של משתמשים. זה יכול להתחרות בצורה מספקת עם כל אנלוגים בחינם או בתשלום. וחשוב מאוד שעדיין מתבצעים שיפורים בפרויקט, והקהילה לא רק עוזרת למפתחים, אלא גם למשתמשים אחרים שמנסים להבין את הכלי.

זהו כלי שימושי, אך עד כה הוא לא תמיד יכול לאתר בדיוק מה הבעיה עם פיסת קוד חשודה. המפתחים ממשיכים לשפר את Graudit.

אבל בכל מקרה, כדאי לשים לב לבעיות אבטחה אפשריות בקוד בעת שימוש בכלים כמו זה.

מתחיל…

במאמר זה, בדקתי רק דרך אחת מני רבות למצוא נקודות תורפה - בדיקות אבטחה סטטיות של יישומים. ביצוע ניתוח קוד סטטי הוא קל, אבל זו רק ההתחלה. כדי ללמוד עוד על האבטחה של בסיס הקוד שלך, עליך לשלב סוגים אחרים של בדיקות במחזור החיים של פיתוח התוכנה שלך.

על זכויות הפרסום

VPS אמין ובחירה נכונה של תוכנית התעריף תאפשר לך להיות פחות מוסחת מהפיתוח על ידי בעיות לא נעימות - הכל יעבוד ללא תקלות ועם זמן פעולה גבוה מאוד!

מקור: www.habr.com