간단한 유틸리티를 사용하여 프로그램 코드의 취약점을 찾는 방법

Graaudit는 여러 프로그래밍 언어를 지원하며 코드베이스 보안 테스트를 개발 프로세스에 직접 통합할 수 있습니다.

출처 : Unsplash (마커스 스피스케)

테스트는 소프트웨어 개발 수명주기의 중요한 부분입니다. 다양한 유형의 테스트가 있으며 각 유형은 자체 문제를 해결합니다. 오늘은 코드에서 보안 문제를 찾는 방법에 대해 이야기하고 싶습니다.

분명히 현대 소프트웨어 개발 현실에서는 프로세스 보안을 보장하는 것이 중요합니다. 한때 DevSecOps라는 특수 용어도 도입되었습니다. 이 용어는 애플리케이션의 취약점을 식별하고 제거하기 위한 일련의 절차를 나타냅니다. 표준에 따라 취약점을 점검하는 특화된 오픈소스 솔루션이 있습니다. OWASP, 소스 코드에 있는 취약점의 다양한 유형과 동작을 설명합니다.

SAST(정적 애플리케이션 보안 테스트), DAST(동적 애플리케이션 보안 테스트), IAST(대화형 애플리케이션 보안 테스트), 소프트웨어 구성 분석 등과 같은 보안 문제를 해결하는 다양한 접근 방식이 있습니다.

정적 애플리케이션 보안 테스트는 이미 작성된 코드의 오류를 식별합니다. 이 접근 방식에서는 애플리케이션을 실행할 필요가 없으므로 정적 분석이라고 합니다.

정적 코드 분석에 중점을 두고 간단한 오픈 소스 도구를 사용하여 실제로 모든 것을 보여 드리겠습니다.

정적 코드 보안 분석을 위해 오픈 소스 도구를 선택한 이유

여기에는 여러 가지 이유가 있습니다. 첫째, 다른 개발자를 돕고 싶어하는 같은 생각을 가진 사람들의 커뮤니티에서 개발한 도구를 사용하고 있기 때문에 무료입니다. 소규모 팀이나 스타트업이 있는 경우 오픈 소스 소프트웨어를 사용하여 코드베이스의 보안을 테스트함으로써 비용을 절약할 수 있는 좋은 기회가 있습니다. 둘째, 별도의 DevSecOps 팀을 고용할 필요가 없어 비용이 더욱 절감됩니다.

좋은 오픈 소스 도구는 항상 유연성에 대한 증가된 요구 사항을 고려하여 만들어집니다. 따라서 광범위한 작업을 포함하여 거의 모든 환경에서 사용할 수 있습니다. 개발자가 프로젝트를 진행하면서 이미 구축한 시스템에 이러한 도구를 연결하는 것이 훨씬 쉽습니다.

그러나 선택한 도구에서 사용할 수 없는 기능이 필요할 때가 있을 수 있습니다. 이 경우 코드를 포크하고 필요한 기능을 갖춘 이를 기반으로 자체 도구를 개발할 수 있는 기회가 있습니다.

대부분의 경우 오픈 소스 소프트웨어 개발은 ​​커뮤니티의 적극적인 영향을 받기 때문에 변경 결정은 매우 빠르고 명확하게 이루어집니다. 오픈 소스 프로젝트 개발자는 보고서에 대한 사용자의 피드백과 제안에 의존합니다. 발견된 오류 및 기타 문제.

코드 보안 분석을 위해 Graaudit 사용

정적 코드 분석을 위해 다양한 오픈 소스 도구를 사용할 수 있지만 모든 프로그래밍 언어에 대한 범용 도구는 없습니다. 일부 개발자는 OWASP 권장 사항을 따르고 가능한 한 많은 언어를 다루려고 노력합니다.

여기서 우리는 사용할 것입니다 그라우디트, 코드베이스에서 취약점을 찾을 수 있는 간단한 명령줄 유틸리티입니다. 다양한 언어를 지원하지만 여전히 해당 언어 세트가 제한되어 있습니다. Graaudit는 한때 GNU 라이선스로 출시되었던 grep 유틸리티 유틸리티를 기반으로 개발되었습니다.

정적 코드 분석을 위한 유사한 도구(RATS(Rough Auditing Tool for Security), Securitycompass Web Application Analysis Tool(SWAAT), Flawfinder 등)가 있습니다. 그러나 Graaudit은 매우 유연하며 최소한의 기술 요구 사항을 가지고 있습니다. 그러나 Graaudit이 해결할 수 없는 문제가 있을 수 있습니다. 그런 다음 여기에서 다른 옵션을 찾을 수 있습니다. 이 목록에.

이 도구를 특정 프로젝트에 통합하거나, 선택한 사용자에게 제공하거나, 모든 프로젝트에서 동시에 사용할 수 있습니다. 이것은 또한 Graaudit의 유연성이 발휘되는 곳입니다. 먼저 저장소를 복제해 보겠습니다.

$ git clone https://github.com/wireghoul/graudit

이제 Graaudit가 명령 형식으로 사용할 수 있도록 심볼릭 링크를 만들어 보겠습니다.

$ cd ~/bin && mkdir graudit
$ ln --symbolic ~/graudit/graudit ~/bin/graudit

.bashrc(또는 사용 중인 구성 파일)에 별칭을 추가해 보겠습니다.

#------ .bashrc ------
alias graudit="~/bin/graudit"

재부팅:

$ source ~/.bashrc # OR
$ exex $SHELL

설치가 성공했는지 확인해 보겠습니다.

$ graudit -h

비슷한 것이 보이면 모든 것이 괜찮은 것입니다.

기존 프로젝트 중 하나를 테스트하겠습니다. 도구를 실행하기 전에 내 프로젝트가 작성된 언어에 해당하는 데이터베이스를 전달해야 합니다. 데이터베이스는 ~/gradit/signatures 폴더에 있습니다.

$ graudit -d ~/gradit/signatures/js.db

그래서 내 프로젝트에서 두 개의 js 파일을 테스트했고 Graaudit는 내 코드의 취약점에 대한 정보를 콘솔에 표시했습니다.

동일한 방식으로 프로젝트를 테스트해 볼 수 있습니다. 다양한 프로그래밍 언어에 대한 데이터베이스 목록을 볼 수 있습니다. 여기에.

Graudit의 장점과 단점

Graaudit는 다양한 프로그래밍 언어를 지원합니다. 따라서 광범위한 사용자에게 적합합니다. 무료 또는 유료 아날로그와 적절하게 경쟁할 수 있습니다. 그리고 프로젝트가 계속해서 개선되고 있다는 점이 매우 중요하며, 커뮤니티는 개발자뿐만 아니라 도구를 알아내려는 다른 사용자에게도 도움이 됩니다.

이것은 편리한 도구이지만 지금까지는 의심스러운 코드 조각에 문제가 무엇인지 항상 정확히 찾아낼 수는 없습니다. 개발자들은 계속해서 Graaudit를 개선하고 있습니다.

그러나 어떤 경우에도 이와 같은 도구를 사용할 때는 코드의 잠재적인 보안 문제에 주의를 기울이는 것이 유용합니다.

시작…

이 기사에서는 취약점을 찾는 여러 가지 방법 중 하나인 정적 애플리케이션 보안 테스트를 살펴보았습니다. 정적 코드 분석을 수행하는 것은 쉽지만 시작에 불과합니다. 코드베이스의 보안에 대해 자세히 알아보려면 다른 유형의 테스트를 소프트웨어 개발 수명주기에 통합해야 합니다.

광고의 권리에

안정적인 VPS 요금제를 올바르게 선택하면 불쾌한 문제로 인해 개발에 방해가 되는 일이 줄어듭니다. 모든 것이 실패 없이 매우 높은 가동 시간으로 작동할 것입니다!

출처 : habr.com