പ്രോഗ്രാം കോഡിലെ കേടുപാടുകൾ കണ്ടെത്താൻ ഒരു ലളിതമായ യൂട്ടിലിറ്റി എങ്ങനെ ഉപയോഗിക്കാം

ഗ്രാഡിറ്റ് ഒന്നിലധികം പ്രോഗ്രാമിംഗ് ഭാഷകളെ പിന്തുണയ്‌ക്കുകയും കോഡ്‌ബേസ് സുരക്ഷാ പരിശോധനയെ വികസന പ്രക്രിയയിലേക്ക് നേരിട്ട് സംയോജിപ്പിക്കാൻ നിങ്ങളെ അനുവദിക്കുകയും ചെയ്യുന്നു.

അവലംബം: Unsplash (മാർക്കസ് സ്പൈസ്കെ)

സോഫ്റ്റ്‌വെയർ വികസന ജീവിത ചക്രത്തിന്റെ ഒരു പ്രധാന ഭാഗമാണ് പരിശോധന. നിരവധി തരം പരിശോധനകൾ ഉണ്ട്, അവ ഓരോന്നും സ്വന്തം പ്രശ്നം പരിഹരിക്കുന്നു. ഇന്ന് ഞാൻ കോഡിലെ സുരക്ഷാ പ്രശ്നങ്ങൾ കണ്ടെത്തുന്നതിനെക്കുറിച്ച് സംസാരിക്കാൻ ആഗ്രഹിക്കുന്നു.

വ്യക്തമായും, സോഫ്റ്റ്‌വെയർ വികസനത്തിന്റെ ആധുനിക യാഥാർത്ഥ്യങ്ങളിൽ, പ്രോസസ്സ് സുരക്ഷ ഉറപ്പാക്കേണ്ടത് പ്രധാനമാണ്. ഒരു സമയത്ത്, DevSecOps എന്ന പ്രത്യേക പദം പോലും അവതരിപ്പിക്കപ്പെട്ടു. ഈ പദം ഒരു ആപ്ലിക്കേഷനിലെ കേടുപാടുകൾ തിരിച്ചറിയുന്നതിനും ഇല്ലാതാക്കുന്നതിനും ലക്ഷ്യമിട്ടുള്ള നടപടിക്രമങ്ങളുടെ ഒരു പരമ്പരയെ സൂചിപ്പിക്കുന്നു. മാനദണ്ഡങ്ങൾക്കനുസൃതമായി കേടുപാടുകൾ പരിശോധിക്കുന്നതിന് പ്രത്യേക ഓപ്പൺ സോഴ്സ് സൊല്യൂഷനുകളുണ്ട് OWASP, സോഴ്‌സ് കോഡിലെ കേടുപാടുകളുടെ വ്യത്യസ്ത തരങ്ങളും പെരുമാറ്റവും ഇത് വിവരിക്കുന്നു.

സ്റ്റാറ്റിക് ആപ്ലിക്കേഷൻ സെക്യൂരിറ്റി ടെസ്റ്റിംഗ് (SAST), ഡൈനാമിക് ആപ്ലിക്കേഷൻ സെക്യൂരിറ്റി ടെസ്റ്റിംഗ് (DAST), ഇന്ററാക്ടീവ് ആപ്ലിക്കേഷൻ സെക്യൂരിറ്റി ടെസ്റ്റിംഗ് (IAST), സോഫ്റ്റ്‌വെയർ കോമ്പോസിഷൻ അനാലിസിസ് എന്നിങ്ങനെയുള്ള സുരക്ഷാ പ്രശ്നങ്ങൾ പരിഹരിക്കുന്നതിന് വ്യത്യസ്ത സമീപനങ്ങളുണ്ട്.

സ്റ്റാറ്റിക് ആപ്ലിക്കേഷൻ സെക്യൂരിറ്റി ടെസ്റ്റിംഗ് ഇതിനകം എഴുതിയ കോഡിലെ പിശകുകൾ തിരിച്ചറിയുന്നു. ഈ സമീപനത്തിന് ആപ്ലിക്കേഷൻ പ്രവർത്തിപ്പിക്കേണ്ട ആവശ്യമില്ല, അതിനാലാണ് ഇതിനെ സ്റ്റാറ്റിക് അനാലിസിസ് എന്ന് വിളിക്കുന്നത്.

ഞാൻ സ്റ്റാറ്റിക് കോഡ് വിശകലനത്തിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കുകയും പ്രായോഗികമായി എല്ലാം പ്രദർശിപ്പിക്കാൻ ലളിതമായ ഒരു ഓപ്പൺ സോഴ്സ് ടൂൾ ഉപയോഗിക്കുകയും ചെയ്യും.

എന്തുകൊണ്ടാണ് ഞാൻ സ്റ്റാറ്റിക് കോഡ് സുരക്ഷാ വിശകലനത്തിനായി ഒരു ഓപ്പൺ സോഴ്സ് ടൂൾ തിരഞ്ഞെടുത്തത്

ഇതിന് നിരവധി കാരണങ്ങളുണ്ട്: ആദ്യം, മറ്റ് ഡെവലപ്പർമാരെ സഹായിക്കാൻ ആഗ്രഹിക്കുന്ന സമാന ചിന്താഗതിക്കാരായ ആളുകളുടെ ഒരു കമ്മ്യൂണിറ്റി വികസിപ്പിച്ച ഒരു ടൂൾ നിങ്ങൾ ഉപയോഗിക്കുന്നതിനാൽ ഇത് സൗജന്യമാണ്. നിങ്ങൾക്ക് ഒരു ചെറിയ ടീമോ സ്റ്റാർട്ടപ്പോ ഉണ്ടെങ്കിൽ, നിങ്ങളുടെ കോഡ്ബേസിന്റെ സുരക്ഷ പരിശോധിക്കുന്നതിന് ഓപ്പൺ സോഴ്‌സ് സോഫ്‌റ്റ്‌വെയർ ഉപയോഗിച്ച് പണം ലാഭിക്കാൻ നിങ്ങൾക്ക് മികച്ച അവസരമുണ്ട്. രണ്ടാമതായി, ഒരു പ്രത്യേക DevSecOps ടീമിനെ വാടകയ്‌ക്കെടുക്കേണ്ടതിന്റെ ആവശ്യകത ഇത് ഇല്ലാതാക്കുന്നു, ഇത് നിങ്ങളുടെ ചെലവ് കൂടുതൽ കുറയ്ക്കുന്നു.

നല്ല ഓപ്പൺ സോഴ്‌സ് ടൂളുകൾ എപ്പോഴും സൃഷ്‌ടിക്കപ്പെടുന്നത് വഴക്കത്തിന്റെ വർദ്ധിച്ച ആവശ്യകതകൾ കണക്കിലെടുത്താണ്. അതിനാൽ, വിശാലമായ ജോലികൾ ഉൾക്കൊള്ളുന്ന ഏത് പരിതസ്ഥിതിയിലും അവ ഉപയോഗിക്കാൻ കഴിയും. ഡവലപ്പർമാർക്ക് അവരുടെ പ്രോജക്റ്റുകളിൽ പ്രവർത്തിക്കുമ്പോൾ അവർ ഇതിനകം നിർമ്മിച്ച സിസ്റ്റവുമായി അത്തരം ഉപകരണങ്ങൾ ബന്ധിപ്പിക്കുന്നത് വളരെ എളുപ്പമാണ്.

എന്നാൽ നിങ്ങൾ തിരഞ്ഞെടുക്കുന്ന ടൂളിൽ ലഭ്യമല്ലാത്ത ഒരു ഫീച്ചർ ആവശ്യമായി വന്നേക്കാം. ഈ സാഹചര്യത്തിൽ, അതിന്റെ കോഡ് ഫോർക്ക് ചെയ്യാനും നിങ്ങൾക്കാവശ്യമായ പ്രവർത്തനക്ഷമത ഉപയോഗിച്ച് അതിനെ അടിസ്ഥാനമാക്കി നിങ്ങളുടെ സ്വന്തം ഉപകരണം വികസിപ്പിക്കാനും നിങ്ങൾക്ക് അവസരമുണ്ട്.

മിക്ക കേസുകളിലും ഓപ്പൺ സോഴ്‌സ് സോഫ്‌റ്റ്‌വെയറിന്റെ വികസനം കമ്മ്യൂണിറ്റിയെ സജീവമായി സ്വാധീനിക്കുന്നതിനാൽ, മാറ്റങ്ങൾ വരുത്താനുള്ള തീരുമാനം വളരെ വേഗത്തിലും പോയിന്റിലും എടുക്കുന്നു: ഓപ്പൺ സോഴ്‌സ് പ്രോജക്റ്റിന്റെ ഡെവലപ്പർമാർ ഉപയോക്താക്കളിൽ നിന്നുള്ള ഫീഡ്‌ബാക്കും നിർദ്ദേശങ്ങളും അവരുടെ റിപ്പോർട്ടുകളിൽ ആശ്രയിക്കുന്നു. കണ്ടെത്തിയ പിശകുകളും മറ്റ് പ്രശ്നങ്ങളും.

കോഡ് സുരക്ഷാ വിശകലനത്തിനായി ഗ്രാഡിറ്റ് ഉപയോഗിക്കുന്നു

സ്റ്റാറ്റിക് കോഡ് വിശകലനത്തിനായി നിങ്ങൾക്ക് വിവിധ ഓപ്പൺ സോഴ്‌സ് ടൂളുകൾ ഉപയോഗിക്കാം; എല്ലാ പ്രോഗ്രാമിംഗ് ഭാഷകൾക്കും സാർവത്രിക ടൂൾ ഒന്നുമില്ല. അവയിൽ ചിലതിന്റെ ഡെവലപ്പർമാർ OWASP ശുപാർശകൾ പിന്തുടരുകയും കഴിയുന്നത്ര ഭാഷകൾ ഉൾക്കൊള്ളാൻ ശ്രമിക്കുകയും ചെയ്യുന്നു.

ഇവിടെ ഞങ്ങൾ ഉപയോഗിക്കും ഗ്രാഡിറ്റ്, ഞങ്ങളുടെ കോഡ്ബേസിലെ കേടുപാടുകൾ കണ്ടെത്താൻ ഞങ്ങളെ അനുവദിക്കുന്ന ഒരു ലളിതമായ കമാൻഡ് ലൈൻ യൂട്ടിലിറ്റി. ഇത് വ്യത്യസ്ത ഭാഷകളെ പിന്തുണയ്ക്കുന്നു, പക്ഷേ ഇപ്പോഴും അവയുടെ സെറ്റ് പരിമിതമാണ്. ഗ്രാഡിറ്റ് വികസിപ്പിച്ചെടുത്തത് ഗ്രെപ്പ് യൂട്ടിലിറ്റി യൂട്ടിലിറ്റിയെ അടിസ്ഥാനമാക്കിയാണ്, അത് ഒരിക്കൽ ഗ്നു ലൈസൻസിന് കീഴിൽ പുറത്തിറങ്ങി.

സ്റ്റാറ്റിക് കോഡ് വിശകലനത്തിന് സമാനമായ ടൂളുകൾ ഉണ്ട് - റഫ് ഓഡിറ്റിംഗ് ടൂൾ ഫോർ സെക്യൂരിറ്റി (RATS), സെക്യൂരിറ്റികോംപസ് വെബ് ആപ്ലിക്കേഷൻ അനാലിസിസ് ടൂൾ (SWAAT), ഫ്ലാഫൈൻഡർ തുടങ്ങിയവ. എന്നാൽ ഗ്രാഡിറ്റ് വളരെ വഴക്കമുള്ളതും കുറഞ്ഞ സാങ്കേതിക ആവശ്യകതകളുള്ളതുമാണ്. എന്നിരുന്നാലും, ഗ്രാഡിറ്റിന് പരിഹരിക്കാൻ കഴിയാത്ത പ്രശ്നങ്ങൾ നിങ്ങൾക്ക് ഉണ്ടായേക്കാം. തുടർന്ന് നിങ്ങൾക്ക് മറ്റ് ഓപ്ഷനുകൾ ഇവിടെ നോക്കാം ഈ പട്ടികയിൽ.

ഞങ്ങൾക്ക് ഈ ടൂൾ ഒരു നിർദ്ദിഷ്ട പ്രോജക്റ്റിലേക്ക് സംയോജിപ്പിക്കാം, അല്ലെങ്കിൽ തിരഞ്ഞെടുത്ത ഒരു ഉപയോക്താവിന് ഇത് ലഭ്യമാക്കാം, അല്ലെങ്കിൽ ഞങ്ങളുടെ എല്ലാ പ്രോജക്റ്റുകളിലും ഇത് ഒരേസമയം ഉപയോഗിക്കാം. ഗ്രാഡിറ്റിന്റെ വഴക്കം പ്രസക്തമാകുന്നതും ഇവിടെയാണ്. അതിനാൽ നമുക്ക് ആദ്യം റിപ്പോ ക്ലോൺ ചെയ്യാം:

$ git clone https://github.com/wireghoul/graudit

ഇപ്പോൾ ഗ്രാഡിറ്റിന് കമാൻഡ് ഫോർമാറ്റിൽ ഉപയോഗിക്കുന്നതിന് ഒരു പ്രതീകാത്മക ലിങ്ക് ഉണ്ടാക്കാം

$ cd ~/bin && mkdir graudit
$ ln --symbolic ~/graudit/graudit ~/bin/graudit

നമുക്ക് .bashrc-ലേക്ക് ഒരു അപരനാമം ചേർക്കാം (അല്ലെങ്കിൽ നിങ്ങൾ ഉപയോഗിക്കുന്ന ഏത് കോൺഫിഗറേഷൻ ഫയലും):

#------ .bashrc ------
alias graudit="~/bin/graudit"

റീബൂട്ട്:

$ source ~/.bashrc # OR
$ exex $SHELL

ഇൻസ്റ്റാളേഷൻ വിജയകരമാണോ എന്ന് പരിശോധിക്കാം:

$ graudit -h

നിങ്ങൾ സമാനമായ എന്തെങ്കിലും കണ്ടാൽ, എല്ലാം ശരിയാണ്.

എന്റെ നിലവിലുള്ള പ്രോജക്‌റ്റുകളിലൊന്ന് ഞാൻ പരീക്ഷിക്കും. ഉപകരണം പ്രവർത്തിപ്പിക്കുന്നതിന് മുമ്പ്, എന്റെ പ്രോജക്റ്റ് എഴുതിയിരിക്കുന്ന ഭാഷയുമായി ബന്ധപ്പെട്ട ഒരു ഡാറ്റാബേസ് അത് കൈമാറേണ്ടതുണ്ട്. ഡാറ്റാബേസുകൾ ~/gradit/signatures ഫോൾഡറിലാണ് സ്ഥിതി ചെയ്യുന്നത്:

$ graudit -d ~/gradit/signatures/js.db

അതിനാൽ, എന്റെ പ്രോജക്‌റ്റിൽ നിന്ന് ഞാൻ രണ്ട് js ഫയലുകൾ പരീക്ഷിച്ചു, കൂടാതെ ഗ്രാഡിറ്റ് എന്റെ കോഡിലെ കേടുപാടുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ കൺസോളിൽ പ്രദർശിപ്പിച്ചു:

നിങ്ങളുടെ പ്രോജക്‌ടുകളും അതേ രീതിയിൽ പരീക്ഷിക്കാൻ നിങ്ങൾക്ക് ശ്രമിക്കാം. വ്യത്യസ്ത പ്രോഗ്രാമിംഗ് ഭാഷകൾക്കായുള്ള ഡാറ്റാബേസുകളുടെ ഒരു ലിസ്റ്റ് നിങ്ങൾക്ക് കാണാൻ കഴിയും ഇവിടെ.

ഗ്രാഡിറ്റിന്റെ ഗുണങ്ങളും ദോഷങ്ങളും

ഗ്രാഡിറ്റ് നിരവധി പ്രോഗ്രാമിംഗ് ഭാഷകളെ പിന്തുണയ്ക്കുന്നു. അതിനാൽ, ഇത് വിശാലമായ ഉപയോക്താക്കൾക്ക് അനുയോജ്യമാണ്. സൗജന്യമോ പണമടച്ചതോ ആയ ഏതെങ്കിലും അനലോഗുകളുമായി ഇതിന് വേണ്ടത്ര മത്സരിക്കാൻ കഴിയും. പ്രോജക്റ്റിൽ ഇപ്പോഴും മെച്ചപ്പെടുത്തലുകൾ വരുത്തുന്നത് വളരെ പ്രധാനമാണ്, മാത്രമല്ല കമ്മ്യൂണിറ്റി ഡവലപ്പർമാരെ മാത്രമല്ല, ഉപകരണം കണ്ടുപിടിക്കാൻ ശ്രമിക്കുന്ന മറ്റ് ഉപയോക്താക്കളെയും സഹായിക്കുന്നു.

ഇതൊരു സുലഭമായ ഉപകരണമാണ്, എന്നാൽ ഇതുവരെ സംശയാസ്പദമായ ഒരു കോഡിലെ പ്രശ്നം എന്താണെന്ന് കൃത്യമായി ചൂണ്ടിക്കാണിക്കാൻ ഇതിന് കഴിയില്ല. ഡെവലപ്പർമാർ ഗ്രാഡിറ്റ് മെച്ചപ്പെടുത്തുന്നത് തുടരുന്നു.

എന്നാൽ ഏത് സാഹചര്യത്തിലും, ഇതുപോലുള്ള ഉപകരണങ്ങൾ ഉപയോഗിക്കുമ്പോൾ കോഡിലെ സുരക്ഷാ പ്രശ്നങ്ങൾ ശ്രദ്ധിക്കുന്നത് ഉപയോഗപ്രദമാണ്.

ആരംഭിക്കുന്നു...

ഈ ലേഖനത്തിൽ, കേടുപാടുകൾ കണ്ടെത്തുന്നതിനുള്ള നിരവധി മാർഗങ്ങളിൽ ഒന്ന് മാത്രമാണ് ഞാൻ നോക്കിയത് - സ്റ്റാറ്റിക് ആപ്ലിക്കേഷൻ സുരക്ഷാ പരിശോധന. സ്റ്റാറ്റിക് കോഡ് വിശകലനം നടത്തുന്നത് എളുപ്പമാണ്, പക്ഷേ ഇത് ഒരു തുടക്കം മാത്രമാണ്. നിങ്ങളുടെ കോഡ്‌ബേസിന്റെ സുരക്ഷയെക്കുറിച്ച് കൂടുതലറിയാൻ, നിങ്ങളുടെ സോഫ്‌റ്റ്‌വെയർ ഡെവലപ്‌മെന്റ് ലൈഫ് സൈക്കിളിലേക്ക് മറ്റ് തരത്തിലുള്ള പരിശോധനകൾ സമന്വയിപ്പിക്കേണ്ടതുണ്ട്.

ഒരു പരസ്യമായി

വിശ്വസനീയമായ VPS കൂടാതെ താരിഫ് പ്ലാനിന്റെ ശരിയായ തിരഞ്ഞെടുപ്പ് അസുഖകരമായ പ്രശ്‌നങ്ങളാൽ വികസനത്തിൽ നിന്ന് വ്യതിചലിക്കാതിരിക്കാൻ നിങ്ങളെ അനുവദിക്കും - എല്ലാം പരാജയങ്ങളില്ലാതെ വളരെ ഉയർന്ന സമയത്തോടെ പ്രവർത്തിക്കും!

അവലംബം: www.habr.com