प्रोग्राम कोडमधील भेद्यता शोधण्यासाठी एक साधी उपयुक्तता कशी वापरायची

Graudit एकाधिक प्रोग्रामिंग भाषांना समर्थन देते आणि तुम्हाला कोडबेस सुरक्षा चाचणी थेट विकास प्रक्रियेत समाकलित करण्याची परवानगी देते.

स्त्रोत: Unsplash (मार्कस स्पिस्के)

चाचणी हा सॉफ्टवेअर डेव्हलपमेंट लाइफ सायकलचा एक महत्त्वाचा भाग आहे. चाचणीचे अनेक प्रकार आहेत, त्यापैकी प्रत्येक स्वतःच्या समस्येचे निराकरण करते. आज मला कोडमध्ये सुरक्षा समस्या शोधण्याबद्दल बोलायचे आहे.

अर्थात, सॉफ्टवेअर डेव्हलपमेंटच्या आधुनिक वास्तविकतेमध्ये, प्रक्रियेची सुरक्षा सुनिश्चित करणे महत्वाचे आहे. एकेकाळी, DevSecOps ही विशेष संज्ञा देखील सादर करण्यात आली होती. हा शब्द अनुप्रयोगातील असुरक्षा ओळखणे आणि दूर करण्याच्या उद्देशाने प्रक्रियांच्या मालिकेचा संदर्भ देतो. मानकांनुसार भेद्यता तपासण्यासाठी विशेष मुक्त स्रोत उपाय आहेत ओएसएएसपी, जे स्त्रोत कोडमधील भेद्यतेच्या विविध प्रकारांचे आणि वर्तनाचे वर्णन करतात.

स्टॅटिक अॅप्लिकेशन सिक्युरिटी टेस्टिंग (SAST), डायनॅमिक अॅप्लिकेशन सिक्युरिटी टेस्टिंग (DAST), इंटरएक्टिव्ह अॅप्लिकेशन सिक्युरिटी टेस्टिंग (IAST), सॉफ्टवेअर कंपोझिशन अॅनालिसिस आणि यासारख्या सुरक्षिततेच्या समस्या सोडवण्यासाठी वेगवेगळ्या पद्धती आहेत.

स्टॅटिक अॅप्लिकेशन सिक्युरिटी टेस्टिंग आधीच लिहिलेल्या कोडमधील त्रुटी ओळखते. या दृष्टिकोनासाठी अनुप्रयोग चालविण्याची आवश्यकता नाही, म्हणूनच त्याला स्थिर विश्लेषण म्हणतात.

मी स्टॅटिक कोड विश्लेषणावर लक्ष केंद्रित करेन आणि व्यवहारात सर्वकाही प्रदर्शित करण्यासाठी एक साधे मुक्त स्त्रोत साधन वापरेन.

स्टॅटिक कोड सुरक्षा विश्लेषणासाठी मी ओपन सोर्स टूल का निवडले

याची अनेक कारणे आहेत: प्रथम, हे विनामूल्य आहे कारण तुम्ही समविचारी लोकांच्या समुदायाने विकसित केलेले साधन वापरत आहात जे इतर विकासकांना मदत करू इच्छितात. तुमच्याकडे एक लहान टीम किंवा स्टार्टअप असल्यास, तुमच्या कोडबेसच्या सुरक्षिततेची चाचणी घेण्यासाठी ओपन सोर्स सॉफ्टवेअर वापरून तुम्हाला पैसे वाचवण्याची उत्तम संधी आहे. दुसरे म्हणजे, तुमची एक वेगळी DevSecOps टीम भाड्याने घेण्याची तुमची गरज नाहीशी होते, ज्यामुळे तुमचा खर्च आणखी कमी होतो.

चांगली मुक्त स्रोत साधने नेहमी लवचिकतेसाठी वाढलेल्या गरजा लक्षात घेऊन तयार केली जातात. म्हणून, ते जवळजवळ कोणत्याही वातावरणात वापरले जाऊ शकतात, विस्तृत कार्ये व्यापून. विकासकांसाठी त्यांच्या प्रकल्पांवर काम करत असताना त्यांनी आधीच तयार केलेल्या सिस्टमशी अशी साधने जोडणे खूप सोपे आहे.

परंतु असे काही वेळा असू शकतात जेव्हा तुम्हाला एखादे वैशिष्ट्य हवे असते जे तुम्ही निवडलेल्या टूलमध्ये उपलब्ध नसते. या प्रकरणात, तुम्हाला त्याचा कोड फोर्क करण्याची आणि तुम्हाला आवश्यक असलेल्या कार्यक्षमतेसह त्यावर आधारित तुमचे स्वतःचे साधन विकसित करण्याची संधी आहे.

बहुतेक प्रकरणांमध्ये ओपन सोर्स सॉफ्टवेअरच्या विकासाचा समुदायावर सक्रियपणे प्रभाव पडत असल्याने, बदल करण्याचा निर्णय अगदी त्वरीत आणि बिंदूपर्यंत घेतला जातो: ओपन सोर्स प्रकल्पाचे विकसक वापरकर्त्यांच्या अभिप्राय आणि सूचनांवर अवलंबून असतात, त्यांच्या अहवालांवर त्रुटी आढळल्या आणि इतर समस्या.

कोड सुरक्षा विश्लेषणासाठी Graudit वापरणे

तुम्ही स्टॅटिक कोड विश्लेषणासाठी विविध मुक्त स्रोत साधने वापरू शकता; सर्व प्रोग्रामिंग भाषांसाठी कोणतेही सार्वत्रिक साधन नाही. त्यापैकी काही विकासक OWASP शिफारशींचे पालन करतात आणि शक्य तितक्या भाषा कव्हर करण्याचा प्रयत्न करतात.

येथे आपण वापरणार आहोत Graudit, एक साधी कमांड लाइन युटिलिटी जी आम्हाला आमच्या कोडबेसमध्ये भेद्यता शोधण्यास अनुमती देईल. हे वेगवेगळ्या भाषांना समर्थन देते, परंतु तरीही त्यांचा संच मर्यादित आहे. ग्रेप युटिलिटी युटिलिटीवर आधारित ग्रॅडिट विकसित केले गेले आहे, जी एकदा GNU परवान्याअंतर्गत प्रसिद्ध झाली होती.

स्थिर कोड विश्लेषणासाठी समान साधने आहेत - सुरक्षिततेसाठी रफ ऑडिटिंग टूल (RATS), Securitycompass Web Application Analysis Tool (SWAAT), फ्लॉफाइंडर आणि असेच. परंतु Graudit अतिशय लवचिक आहे आणि किमान तांत्रिक आवश्यकता आहेत. तथापि, तुम्हाला समस्या असू शकतात ज्याचे निराकरण Graudit करू शकत नाही. मग तुम्ही येथे इतर पर्याय शोधू शकता या यादीत.

आम्ही हे साधन एका विशिष्ट प्रकल्पात समाकलित करू शकतो, किंवा निवडलेल्या वापरकर्त्यासाठी ते उपलब्ध करून देऊ शकतो किंवा आमच्या सर्व प्रकल्पांमध्ये एकाच वेळी वापरू शकतो. येथे देखील Graudit ची लवचिकता लागू होते. तर प्रथम रेपो क्लोन करूया:

$ git clone https://github.com/wireghoul/graudit

आता कमांड फॉरमॅटमध्ये वापरण्यासाठी Graudit साठी एक प्रतीकात्मक लिंक बनवू

$ cd ~/bin && mkdir graudit
$ ln --symbolic ~/graudit/graudit ~/bin/graudit

चला .bashrc (किंवा तुम्ही वापरत असलेली कोणतीही कॉन्फिगरेशन फाइल):

#------ .bashrc ------
alias graudit="~/bin/graudit"

रीबूट करा:

$ source ~/.bashrc # OR
$ exex $SHELL

स्थापना यशस्वी झाली की नाही ते तपासूया:

$ graudit -h

जर तुम्हाला तत्सम काहीतरी दिसले तर सर्वकाही ठीक आहे.

मी माझ्या विद्यमान प्रकल्पांपैकी एकाची चाचणी घेईन. टूल चालवण्यापूर्वी, माझा प्रोजेक्ट ज्या भाषेत लिहिला आहे त्या भाषेशी संबंधित डेटाबेस पास करणे आवश्यक आहे. डेटाबेस ~/gradit/signatures फोल्डरमध्ये स्थित आहेत:

$ graudit -d ~/gradit/signatures/js.db

म्हणून, मी माझ्या प्रोजेक्टमधील दोन js फाइल्सची चाचणी केली आणि Graudit ने माझ्या कोडमधील भेद्यतेबद्दल माहिती कन्सोलवर प्रदर्शित केली:

तुम्ही तुमच्या प्रोजेक्ट्सची तशाच प्रकारे चाचणी करून पाहू शकता. तुम्ही वेगवेगळ्या प्रोग्रामिंग भाषांसाठी डेटाबेसेसची सूची पाहू शकता येथे.

Graudit चे फायदे आणि तोटे

Graudit अनेक प्रोग्रामिंग भाषांना समर्थन देते. म्हणून, ते वापरकर्त्यांच्या विस्तृत श्रेणीसाठी योग्य आहे. हे कोणत्याही विनामूल्य किंवा सशुल्क अॅनालॉगसह पुरेसे स्पर्धा करू शकते. आणि हे खूप महत्वाचे आहे की प्रकल्पात अजूनही सुधारणा केल्या जात आहेत आणि समुदाय केवळ विकसकांनाच मदत करत नाही तर इतर वापरकर्त्यांना देखील मदत करतो जे साधन शोधण्याचा प्रयत्न करीत आहेत.

हे एक सुलभ साधन आहे, परंतु आतापर्यंत ते कोडच्या संशयास्पद भागामध्ये नेमकी समस्या काय आहे हे निश्चित करू शकत नाही. विकासक Graudit सुधारणे सुरू ठेवतात.

परंतु कोणत्याही परिस्थितीत, यासारखी साधने वापरताना कोडमधील संभाव्य सुरक्षा समस्यांकडे लक्ष देणे उपयुक्त आहे.

सुरू होत आहे…

या लेखात, मी असुरक्षा शोधण्याच्या अनेक मार्गांपैकी फक्त एक पाहिला - स्थिर अनुप्रयोग सुरक्षा चाचणी. स्टॅटिक कोड विश्लेषण करणे सोपे आहे, परंतु ही फक्त सुरुवात आहे. तुमच्या कोडबेसच्या सुरक्षिततेबद्दल अधिक जाणून घेण्यासाठी, तुम्हाला तुमच्या सॉफ्टवेअर डेव्हलपमेंट लाइफसायकलमध्ये इतर प्रकारच्या चाचण्या समाकलित करणे आवश्यक आहे.

जाहिरातींच्या अधिकारांवर

विश्वसनीय VPS आणि टॅरिफ योजनेची योग्य निवड तुम्हाला अप्रिय समस्यांमुळे विकासापासून कमी विचलित होण्यास अनुमती देईल - सर्व काही अपयशाशिवाय आणि खूप उच्च अपटाइमसह कार्य करेल!

स्त्रोत: www.habr.com