ഉപയോഗിച്ച ലൈബ്രറികൾക്കായി ദുർബലത സ്കാനർ ഉപയോഗിക്കുന്നു - GitlabCI-ൽ ആശ്രിതത്വം പരിശോധിക്കുക

ആധുനിക സംവിധാനങ്ങൾ നിർമ്മിക്കുന്ന സോഫ്റ്റ്‌വെയർ ഘടകങ്ങളുടെ വിതരണ ശൃംഖല നന്നായി മനസ്സിലാക്കുകയും സുരക്ഷിതമാക്കുകയും ചെയ്യുക എന്നതാണ് ദുർബലത മാനേജ്മെന്റിന്റെ ഒരു പ്രധാന ഭാഗം. വികസന സമയവും ചെലവും കുറയ്ക്കുന്നതിന് എജൈൽ, DevOps ടീമുകൾ ഓപ്പൺ സോഴ്‌സ് ലൈബ്രറികളും ചട്ടക്കൂടുകളും വിപുലമായി ഉപയോഗിക്കുന്നു. എന്നാൽ ഈ മെഡലിന് ഒരു പോരായ്മയും ഉണ്ട്: മറ്റുള്ളവരുടെ തെറ്റുകളും പരാധീനതകളും അവകാശമാക്കാനുള്ള അവസരം.

വ്യക്തമായും, ഏത് ഓപ്പൺ സോഴ്‌സ് ഘടകങ്ങളാണ് അതിന്റെ ആപ്ലിക്കേഷനുകളിൽ ഉൾപ്പെടുത്തിയിരിക്കുന്നതെന്ന് ടീം അറിഞ്ഞിരിക്കണം, അറിയപ്പെടുന്ന വിശ്വസനീയമായ ഉറവിടങ്ങളിൽ നിന്ന് അറിയപ്പെടുന്ന വിശ്വസനീയമായ പതിപ്പുകൾ ഡൗൺലോഡ് ചെയ്തിട്ടുണ്ടെന്ന് ഉറപ്പാക്കുക, പുതുതായി കണ്ടെത്തിയ കേടുപാടുകൾ പരിഹരിച്ചതിന് ശേഷം ഘടകങ്ങളുടെ അപ്‌ഡേറ്റ് ചെയ്ത പതിപ്പുകൾ ഡൗൺലോഡ് ചെയ്യുക.

ഈ പോസ്റ്റിൽ, നിങ്ങളുടെ കോഡിൽ ഗുരുതരമായ പ്രശ്നങ്ങൾ കണ്ടെത്തിയാൽ, ഒരു ബിൽഡ് നിർത്തലാക്കാൻ OWASP ഡിപൻഡൻസി ചെക്ക് ഉപയോഗിക്കുന്നത് ഞങ്ങൾ നോക്കും.

"ഡെവലപ്മെന്റ് സെക്യൂരിറ്റി ഇൻ എജൈൽ പ്രോജക്ട്സ്" എന്ന പുസ്തകത്തിൽ ഇത് താഴെപ്പറയുന്ന രീതിയിൽ വിവരിച്ചിരിക്കുന്നു. ഒരു ആപ്ലിക്കേഷനിൽ ഉപയോഗിക്കുന്ന എല്ലാ ഓപ്പൺ സോഴ്‌സ് ഘടകങ്ങളെയും കാറ്റലോഗ് ചെയ്യുകയും അവയിൽ അടങ്ങിയിരിക്കുന്ന കേടുപാടുകൾ കാണിക്കുകയും ചെയ്യുന്ന ഒരു സൗജന്യ സ്കാനറാണ് OWASP ഡിപൻഡൻസി ചെക്ക്. Java, .NET, Ruby (gemspec), PHP (composer), Node.js, Python എന്നിവയ്‌ക്കും ചില C/C++ പ്രോജക്‌റ്റുകൾക്കും പതിപ്പുകളുണ്ട്. Ant, Maven, Gradle എന്നിവയുൾപ്പെടെയുള്ള പൊതുവായ ബിൽഡ് ടൂളുകളുമായും ജെങ്കിൻസ് പോലുള്ള തുടർച്ചയായ ഏകീകരണ സെർവറുകളുമായും ഡിപൻഡൻസി ചെക്ക് സംയോജിപ്പിക്കുന്നു.

എൻഐഎസ്‌ടിയുടെ നാഷണൽ വൾനറബിലിറ്റി ഡാറ്റാബേസിൽ (എൻവിഡി) നിന്ന് അറിയപ്പെടുന്ന കേടുപാടുകളുള്ള എല്ലാ ഘടകങ്ങളും ഡിപൻഡൻസി ചെക്ക് റിപ്പോർട്ടുചെയ്യുന്നു കൂടാതെ എൻവിഡി വാർത്താ ഫീഡുകളിൽ നിന്നുള്ള ഡാറ്റ ഉപയോഗിച്ച് അപ്‌ഡേറ്റ് ചെയ്യുന്നു.

ഭാഗ്യവശാൽ, OWASP ഡിപൻഡൻസി ചെക്ക് പ്രോജക്റ്റ് അല്ലെങ്കിൽ വാണിജ്യ പ്രോഗ്രാമുകൾ പോലുള്ള ഉപകരണങ്ങൾ ഉപയോഗിച്ച് ഇതെല്ലാം സ്വയമേവ ചെയ്യാനാകും കറുത്ത താറാവ്, JFrog Xray, സ്നിക്, Nexus ലൈഫ് സൈക്കിൾ സോണടൈപ്പ് അല്ലെങ്കിൽ ഉറവിടം ക്ലിയർ.

ഓപ്പൺ സോഴ്‌സ് ഡിപൻഡൻസികൾ സ്വയമേവ ഇൻവെന്ററി ചെയ്യുന്നതിനും, അറിയപ്പെടുന്ന കേടുപാടുകൾ അടങ്ങിയ ലൈബ്രറികളുടെയും ലൈബ്രറികളുടെയും കാലഹരണപ്പെട്ട പതിപ്പുകൾ തിരിച്ചറിയുന്നതിനും ഗുരുതരമായ പ്രശ്‌നങ്ങൾ കണ്ടെത്തിയാൽ ബിൽഡുകൾ അവസാനിപ്പിക്കുന്നതിനും ഈ ടൂളുകൾ ബിൽഡ് പൈപ്പ് ലൈനുകളിൽ ഉൾപ്പെടുത്താം.

OWASP ആശ്രിത പരിശോധന

ഡിപൻഡൻസി ചെക്ക് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് പരിശോധിക്കുന്നതിനും പ്രദർശിപ്പിക്കുന്നതിനും, ഞങ്ങൾ ഈ ശേഖരം ഉപയോഗിക്കുന്നു ഡിപൻഡൻസി-ചെക്ക്-ഉദാഹരണം.

HTML റിപ്പോർട്ട് കാണുന്നതിന്, നിങ്ങളുടെ gitlab-runner-ൽ nginx വെബ് സെർവർ കോൺഫിഗർ ചെയ്യേണ്ടതുണ്ട്.

ഒരു മിനിമൽ nginx കോൺഫിഗറിൻറെ ഉദാഹരണം:

server {
    listen       9999;
    listen       [::]:9999;
    server_name  _;
    root         /home/gitlab-runner/builds;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }
}

അസംബ്ലിയുടെ അവസാനം നിങ്ങൾക്ക് ഈ ചിത്രം കാണാം:

ലിങ്ക് പിന്തുടർന്ന് ഡിപൻഡൻസി ചെക്ക് റിപ്പോർട്ട് കാണുക.

ആദ്യത്തെ സ്ക്രീൻഷോട്ട് ഒരു സംഗ്രഹത്തോടുകൂടിയ റിപ്പോർട്ടിന്റെ മുകളിലെ ഭാഗമാണ്.

രണ്ടാമത്തെ സ്ക്രീൻഷോട്ട് വിശദാംശങ്ങൾ CVE-2017-5638. ഇവിടെ നമ്മൾ CVE ലെവലും ചൂഷണത്തിലേക്കുള്ള ലിങ്കുകളും കാണുന്നു.

മൂന്നാമത്തെ സ്ക്രീൻഷോട്ട് log4j-api-2.7.jar-ന്റെ വിശദാംശങ്ങളാണ്. CVE ലെവലുകൾ 7.5 ഉം 9.8 ഉം ആണെന്ന് നമ്മൾ കാണുന്നു.

നാലാമത്തെ സ്ക്രീൻഷോട്ട് Commons-fileupload-1.3.2.jar-ന്റെ വിശദാംശങ്ങളാണ്. CVE ലെവലുകൾ 7.5 ഉം 9.8 ഉം ആണെന്ന് നമ്മൾ കാണുന്നു.

നിങ്ങൾക്ക് ഗിറ്റ്‌ലാബ് പേജുകൾ ഉപയോഗിക്കാൻ താൽപ്പര്യമുണ്ടെങ്കിൽ, അത് പ്രവർത്തിക്കില്ല - വീണുപോയ ഒരു ടാസ്‌ക് ഒരു പുരാവസ്തു സൃഷ്ടിക്കില്ല.

ഉദാഹരണം ഇവിടെ https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages.

ബിൽഡ് ഔട്ട്‌പുട്ട്: ആർട്ടിഫാക്‌റ്റുകളൊന്നുമില്ല, ഞാൻ html റിപ്പോർട്ട് കാണുന്നില്ല. നിങ്ങൾ ആർട്ടിഫാക്റ്റ് പരീക്ഷിക്കണം: എപ്പോഴും

https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages/-/jobs/400004246

CVE കേടുപാടുകളുടെ അളവ് നിയന്ത്രിക്കുന്നു

gitlab-ci.yaml ഫയലിലെ ഏറ്റവും പ്രധാനപ്പെട്ട ലൈൻ:

mvn $MAVEN_CLI_OPTS test org.owasp:dependency-check-maven:check -DfailBuildOnCVSS=7

failBuildOnCVSS പാരാമീറ്റർ ഉപയോഗിച്ച് നിങ്ങൾക്ക് പ്രതികരിക്കേണ്ട CVE കേടുപാടുകളുടെ നില ക്രമീകരിക്കാൻ കഴിയും.

ഇൻറർനെറ്റിൽ നിന്ന് NIST Vulnerability Database (NVD) ഡൗൺലോഡ് ചെയ്യുന്നു

NIST ഇന്റർനെറ്റിൽ നിന്ന് NIST വൾനറബിലിറ്റി ഡാറ്റാബേസുകൾ (NVD) നിരന്തരം ഡൗൺലോഡ് ചെയ്യുന്നത് നിങ്ങൾ ശ്രദ്ധിച്ചിട്ടുണ്ടോ:

ഡൗൺലോഡ് ചെയ്യാൻ, നിങ്ങൾക്ക് യൂട്ടിലിറ്റി ഉപയോഗിക്കാം nist_data_mirror_golang

നമുക്ക് അത് ഇൻസ്റ്റാൾ ചെയ്ത് ലോഞ്ച് ചെയ്യാം.

yum -y install yum-plugin-copr
yum copr enable antonpatsev/nist_data_mirror_golang
yum -y install nist-data-mirror
systemctl start nist-data-mirror

Nist-data-mirror സ്റ്റാർട്ടപ്പിൽ NIST JSON CVE /var/www/repos/nist-data-mirror/ എന്നതിലേക്ക് അപ്‌ലോഡ് ചെയ്യുകയും ഓരോ 24 മണിക്കൂറിലും ഡാറ്റ അപ്‌ഡേറ്റ് ചെയ്യുകയും ചെയ്യുന്നു.

CVE JSON NIST ഡൗൺലോഡ് ചെയ്യുന്നതിന്, നിങ്ങൾ nginx വെബ് സെർവർ കോൺഫിഗർ ചെയ്യേണ്ടതുണ്ട് (ഉദാഹരണത്തിന്, നിങ്ങളുടെ gitlab-runner-ൽ).

ഒരു മിനിമൽ nginx കോൺഫിഗറിൻറെ ഉദാഹരണം:

server {
    listen       12345;
    listen       [::]:12345;
    server_name  _;
    root         /var/www/repos/nist-data-mirror/;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }

}

mvn ലോഞ്ച് ചെയ്തിരിക്കുന്നിടത്ത് ഒരു നീണ്ട ലൈൻ ഉണ്ടാക്കാതിരിക്കാൻ, ഞങ്ങൾ പരാമീറ്ററുകൾ ഒരു പ്രത്യേക വേരിയബിളിലേക്ക് DEPENDENCY_OPTS നീക്കും.

അവസാന മിനിമൽ കോൺഫിഗറേഷൻ .gitlab-ci.yml ഇതുപോലെ കാണപ്പെടും:

variables:
  MAVEN_OPTS: "-Dhttps.protocols=TLSv1.2 -Dmaven.repo.local=$CI_PROJECT_DIR/.m2/repository -Dorg.slf4j.simpleLogger.log.org.apache.maven.cli.transfer.Slf4jMavenTransferListener=WARN -Dorg.slf4j.simpleLogger.showDateTime=true -Djava.awt.headless=true"
  MAVEN_CLI_OPTS: "--batch-mode --errors --fail-at-end --show-version -DinstallAtEnd=true -DdeployAtEnd=true"
  DEPENDENCY_OPTS: "-DfailBuildOnCVSS=7 -DcveUrlModified=http://localhost:12345/nvdcve-1.1-modified.json.gz -DcveUrlBase=http://localhost:12345/nvdcve-1.1-%d.json.gz"

cache:
  paths:
    - .m2/repository

verify:
  stage: test
  script:
    - set +e
    - mvn $MAVEN_CLI_OPTS install org.owasp:dependency-check-maven:check $DEPENDENCY_OPTS || EXIT_CODE=$?
    - export PATH_WITHOUT_HOME=$(pwd | sed -e "s//home/gitlab-runner/builds//g")
    - echo "************************* URL Dependency-check-report.html *************************"
    - echo "http://$HOSTNAME:9999$PATH_WITHOUT_HOME/target/dependency-check-report.html"
    - set -e
    - exit ${EXIT_CODE}
  tags:
    - shell

DevOps, സുരക്ഷ എന്നിവയെ കുറിച്ചുള്ള ടെലിഗ്രാം ചാറ്റ്
ടെലിഗ്രാം ചാനൽ DevSecOps / SSDLC - സുരക്ഷിത വികസനം

അവലംബം: www.habr.com