कार्यक्रम कोडमा कमजोरीहरू फेला पार्न सरल उपयोगिता कसरी प्रयोग गर्ने

Graudit ले धेरै प्रोग्रामिङ भाषाहरूलाई समर्थन गर्दछ र तपाईंलाई विकास प्रक्रियामा सीधा कोडबेस सुरक्षा परीक्षण एकीकृत गर्न अनुमति दिन्छ।

स्रोत: Unsplash (मार्कस स्पिस्के)

परीक्षण सफ्टवेयर विकास जीवन चक्र को एक महत्वपूर्ण भाग हो। त्यहाँ धेरै प्रकारका परीक्षणहरू छन्, तिनीहरूमध्ये प्रत्येकले आफ्नै समस्या समाधान गर्दछ। आज म कोडमा सुरक्षा समस्याहरू फेला पार्ने बारेमा कुरा गर्न चाहन्छु।

स्पष्ट रूपमा, सफ्टवेयर विकासको आधुनिक वास्तविकताहरूमा, प्रक्रिया सुरक्षा सुनिश्चित गर्न महत्त्वपूर्ण छ। एक समयमा, विशेष शब्द DevSecOps पनि पेश गरिएको थियो। यो शब्दले एप्लिकेसनमा कमजोरीहरू पहिचान गर्न र हटाउने उद्देश्यका प्रक्रियाहरूको श्रृंखलालाई जनाउँछ। मापदण्डहरू अनुसार कमजोरीहरू जाँच्नका लागि त्यहाँ विशेष खुला स्रोत समाधानहरू छन् OWASP, जसले स्रोत कोडमा विभिन्न प्रकारका कमजोरीहरू र व्यवहारको वर्णन गर्दछ।

स्थिर अनुप्रयोग सुरक्षा परीक्षण (SAST), डायनामिक अनुप्रयोग सुरक्षा परीक्षण (DAST), अन्तरक्रियात्मक अनुप्रयोग सुरक्षा परीक्षण (IAST), सफ्टवेयर संरचना विश्लेषण, र यस्तै अन्य सुरक्षा समस्याहरू समाधान गर्न विभिन्न दृष्टिकोणहरू छन्।

स्थिर अनुप्रयोग सुरक्षा परीक्षणले पहिले नै लिखित कोडमा त्रुटिहरू पहिचान गर्दछ। यो दृष्टिकोणले अनुप्रयोग चलाउन आवश्यक पर्दैन, त्यसैले यसलाई स्थिर विश्लेषण भनिन्छ।

म स्थिर कोड विश्लेषणमा ध्यान केन्द्रित गर्नेछु र व्यवहारमा सबै कुरा देखाउनको लागि एक साधारण खुला स्रोत उपकरण प्रयोग गर्नेछु।

मैले स्थिर कोड सुरक्षा विश्लेषणको लागि खुला स्रोत उपकरण किन रोजें

यसका धेरै कारणहरू छन्: पहिलो, यो नि:शुल्क छ किनभने तपाईं अन्य विकासकर्ताहरूलाई मद्दत गर्न चाहने समान विचारधारा भएका व्यक्तिहरूको समुदायद्वारा विकसित गरिएको उपकरण प्रयोग गर्दै हुनुहुन्छ। यदि तपाइँसँग सानो टोली वा स्टार्टअप छ भने, तपाइँसँग तपाइँको कोडबेसको सुरक्षा परीक्षण गर्न खुला स्रोत सफ्टवेयर प्रयोग गरेर पैसा बचत गर्ने ठूलो अवसर छ। दोस्रो, यसले तपाइँलाई तपाइँको लागतहरू घटाउँदै, छुट्टै DevSecOps टोली भाडामा लिने आवश्यकतालाई हटाउँछ।

राम्रो खुला स्रोत उपकरणहरू सधैं लचिलोपनको लागि बढेको आवश्यकताहरूलाई ध्यानमा राखेर सिर्जना गरिन्छ। त्यसकारण, तिनीहरू लगभग कुनै पनि वातावरणमा प्रयोग गर्न सकिन्छ, कार्यहरूको विस्तृत दायरा कभर। विकासकर्ताहरूलाई तिनीहरूको परियोजनाहरूमा काम गर्दा पहिले नै निर्माण गरिएको प्रणालीसँग त्यस्ता उपकरणहरू जडान गर्न धेरै सजिलो छ।

तर तपाईले रोज्नु भएको उपकरणमा उपलब्ध नभएको सुविधा चाहिने बेला हुन सक्छ। यस अवस्थामा, तपाइँसँग यसको कोड फोर्क गर्ने र तपाइँलाई आवश्यक कार्यक्षमताको साथ यसको आधारमा तपाइँको आफ्नै उपकरण विकास गर्ने अवसर छ।

धेरै जसो केसहरूमा खुला स्रोत सफ्टवेयरको विकास समुदायबाट सक्रिय रूपमा प्रभावित भएको हुनाले, परिवर्तनहरू गर्ने निर्णय एकदम चाँडो र बिन्दुमा गरिन्छ: खुला स्रोत परियोजनाका विकासकर्ताहरू प्रयोगकर्ताहरूको प्रतिक्रिया र सुझावहरूमा भर पर्छन्, उनीहरूको रिपोर्टहरूमा। त्रुटिहरू भेटिए र अन्य समस्याहरू।

कोड सुरक्षा विश्लेषणको लागि Graudit प्रयोग गर्दै

तपाईं स्थिर कोड विश्लेषणको लागि विभिन्न खुला स्रोत उपकरणहरू प्रयोग गर्न सक्नुहुन्छ; सबै प्रोग्रामिङ भाषाहरूको लागि कुनै विश्वव्यापी उपकरण छैन। तिनीहरूमध्ये केहीका विकासकर्ताहरूले OWASP सिफारिसहरू पालना गर्छन् र सकेसम्म धेरै भाषाहरू कभर गर्ने प्रयास गर्छन्।

यहाँ हामी प्रयोग गर्नेछौं ग्रेडिट, एक साधारण कमाण्ड लाइन उपयोगिता जसले हामीलाई हाम्रो कोडबेसमा कमजोरीहरू फेला पार्न अनुमति दिनेछ। यसले विभिन्न भाषाहरूलाई समर्थन गर्दछ, तर अझै तिनीहरूको सेट सीमित छ। Graudit grep उपयोगिता उपयोगिताको आधारमा विकसित गरिएको छ, जुन एक पटक GNU लाइसेन्स अन्तर्गत जारी गरिएको थियो।

त्यहाँ स्थिर कोड विश्लेषणका लागि समान उपकरणहरू छन् - सुरक्षाको लागि रफ अडिटिङ उपकरण (RATS), Securitycompass Web Application Analysis Tool (SWAAT), फ्लाफाइन्डर र यस्तै। तर Graudit धेरै लचिलो छ र न्यूनतम प्राविधिक आवश्यकताहरू छन्। यद्यपि, तपाइँसँग समस्याहरू हुन सक्छ जुन Graudit समाधान गर्न सक्दैन। त्यसपछि तपाइँ यहाँ अन्य विकल्पहरू खोज्न सक्नुहुन्छ यस सूचीमा.

हामी यो उपकरणलाई एक विशेष परियोजनामा ​​एकीकृत गर्न सक्छौं, वा चयन गरिएको प्रयोगकर्तालाई उपलब्ध गराउन सक्छौं, वा हाम्रा सबै परियोजनाहरूमा एकै साथ प्रयोग गर्न सक्छौं। यो पनि जहाँ Graudit को लचकता खेल मा आउँछ। त्यसैले पहिले रेपो क्लोन गरौं:

$ git clone https://github.com/wireghoul/graudit

अब यसलाई कमाण्ड ढाँचामा प्रयोग गर्न Graudit को लागि प्रतीकात्मक लिङ्क सिर्जना गरौं

$ cd ~/bin && mkdir graudit
$ ln --symbolic ~/graudit/graudit ~/bin/graudit

.bashrc (वा जुनसुकै कन्फिगरेसन फाइल तपाईले प्रयोग गरिरहनु भएको छ) मा उपनाम थपौं:

#------ .bashrc ------
alias graudit="~/bin/graudit"

रिबुट:

$ source ~/.bashrc # OR
$ exex $SHELL

स्थापना सफल भयो भने जाँच गरौं:

$ graudit -h

यदि तपाइँ केहि समान देख्नुहुन्छ भने, त्यसपछि सबै ठीक छ।

म मेरो अवस्थित परियोजनाहरू मध्ये एक परीक्षण गर्नेछु। उपकरण चलाउनु अघि, यसलाई मेरो परियोजना लेखिएको भाषासँग सम्बन्धित डाटाबेस पास गर्न आवश्यक छ। डाटाबेसहरू ~/gradit/signatures फोल्डरमा अवस्थित छन्:

$ graudit -d ~/gradit/signatures/js.db

त्यसोभए, मैले मेरो प्रोजेक्टबाट दुई js फाईलहरू परीक्षण गरें, र Graudit ले कन्सोलमा मेरो कोडमा कमजोरीहरूको बारेमा जानकारी प्रदर्शन गर्‍यो:

तपाईं आफ्नो परियोजनाहरू त्यहि तरिकामा परीक्षण गर्न प्रयास गर्न सक्नुहुन्छ। तपाईले विभिन्न प्रोग्रामिङ भाषाहरूको लागि डाटाबेसहरूको सूची हेर्न सक्नुहुन्छ यहाँ.

Graudit का फाइदा र बेफाइदाहरू

Graudit ले धेरै प्रोग्रामिङ भाषाहरू समर्थन गर्दछ। तसर्थ, यो प्रयोगकर्ता को एक विस्तृत श्रृंखला को लागी उपयुक्त छ। यो पर्याप्त रूपमा कुनै पनि नि: शुल्क वा सशुल्क एनालगहरूसँग प्रतिस्पर्धा गर्न सक्छ। र यो धेरै महत्त्वपूर्ण छ कि अझै पनि परियोजनामा ​​सुधारहरू भइरहेका छन्, र समुदायले विकासकर्ताहरूलाई मात्र होइन, अन्य प्रयोगकर्ताहरूलाई पनि मद्दत गर्दछ जसले उपकरण पत्ता लगाउन प्रयास गरिरहेका छन्।

यो एक उपयोगी उपकरण हो, तर अहिले सम्म यसले कोडको संदिग्ध टुक्राको साथ समस्या के हो भनेर ठ्याक्कै चिनाउन सक्दैन। विकासकर्ताहरूले Graudit सुधार गर्न जारी राख्छन्।

तर कुनै पनि अवस्थामा, यो जस्तै उपकरणहरू प्रयोग गर्दा कोडमा सम्भावित सुरक्षा समस्याहरूमा ध्यान दिन उपयोगी छ।

सुरु हुँदै…

यस लेखमा, मैले कमजोरीहरू फेला पार्ने धेरै तरिकाहरू मध्ये एउटा मात्र हेरेँ - स्थिर अनुप्रयोग सुरक्षा परीक्षण। स्थिर कोड विश्लेषण सञ्चालन गर्न सजिलो छ, तर यो केवल सुरुवात हो। तपाईंको कोडबेसको सुरक्षाको बारेमा थप जान्नको लागि, तपाईंले आफ्नो सफ्टवेयर विकास जीवनचक्रमा परीक्षणका अन्य प्रकारहरू एकीकृत गर्न आवश्यक छ।

विज्ञापनको अधिकारमा

भरपर्दो VPS र ट्यारिफ योजनाको सही छनोटले तपाईंलाई अप्रिय समस्याहरूद्वारा विकासबाट कम विचलित हुन अनुमति दिनेछ - सबै चीजहरू विफलता बिना र धेरै उच्च अपटाइमको साथ काम गर्नेछ!

स्रोत: www.habr.com