ਵਰਤੀਆਂ ਗਈਆਂ ਲਾਇਬ੍ਰੇਰੀਆਂ ਲਈ ਕਮਜ਼ੋਰੀ ਸਕੈਨਰ ਦੀ ਵਰਤੋਂ ਕਰਨਾ - GitlabCI ਵਿੱਚ ਨਿਰਭਰਤਾ ਦੀ ਜਾਂਚ ਕਰੋ

ਕਮਜ਼ੋਰੀ ਪ੍ਰਬੰਧਨ ਦਾ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਹਿੱਸਾ ਆਧੁਨਿਕ ਪ੍ਰਣਾਲੀਆਂ ਨੂੰ ਬਣਾਉਣ ਵਾਲੇ ਸੌਫਟਵੇਅਰ ਭਾਗਾਂ ਦੀ ਸਪਲਾਈ ਲੜੀ ਨੂੰ ਚੰਗੀ ਤਰ੍ਹਾਂ ਸਮਝਣਾ ਅਤੇ ਸੁਰੱਖਿਅਤ ਕਰਨਾ ਹੈ। Agile ਅਤੇ DevOps ਟੀਮਾਂ ਵਿਕਾਸ ਦੇ ਸਮੇਂ ਅਤੇ ਲਾਗਤ ਨੂੰ ਘਟਾਉਣ ਲਈ ਓਪਨ ਸੋਰਸ ਲਾਇਬ੍ਰੇਰੀਆਂ ਅਤੇ ਫਰੇਮਵਰਕ ਦੀ ਵਿਆਪਕ ਵਰਤੋਂ ਕਰਦੀਆਂ ਹਨ। ਪਰ ਇਸ ਮੈਡਲ ਦਾ ਇੱਕ ਨਨੁਕਸਾਨ ਵੀ ਹੈ: ਦੂਜੇ ਲੋਕਾਂ ਦੀਆਂ ਗਲਤੀਆਂ ਅਤੇ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਵਿਰਾਸਤ ਵਿੱਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦਾ ਮੌਕਾ।

ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ, ਟੀਮ ਨੂੰ ਇਹ ਜਾਣਨਾ ਯਕੀਨੀ ਬਣਾਉਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਇਸ ਦੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਕਿਹੜੇ ਓਪਨ ਸੋਰਸ ਕੰਪੋਨੈਂਟ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ, ਇਹ ਯਕੀਨੀ ਬਣਾਉਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਜਾਣੇ-ਪਛਾਣੇ ਭਰੋਸੇਮੰਦ ਸਰੋਤਾਂ ਤੋਂ ਜਾਣੇ-ਪਛਾਣੇ ਭਰੋਸੇਮੰਦ ਸੰਸਕਰਣਾਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਹੈ, ਅਤੇ ਨਵੀਆਂ ਖੋਜੀਆਂ ਗਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਪੈਚ ਕਰਨ ਤੋਂ ਬਾਅਦ ਭਾਗਾਂ ਦੇ ਅੱਪਡੇਟ ਕੀਤੇ ਸੰਸਕਰਣਾਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰੋ।

ਇਸ ਪੋਸਟ ਵਿੱਚ, ਅਸੀਂ ਇੱਕ ਬਿਲਡ ਨੂੰ ਅਧੂਰਾ ਛੱਡਣ ਲਈ OWASP ਨਿਰਭਰਤਾ ਜਾਂਚ ਦੀ ਵਰਤੋਂ ਬਾਰੇ ਦੇਖਾਂਗੇ ਜੇਕਰ ਇਹ ਤੁਹਾਡੇ ਕੋਡ ਨਾਲ ਗੰਭੀਰ ਸਮੱਸਿਆਵਾਂ ਦਾ ਪਤਾ ਲਗਾਉਂਦਾ ਹੈ।

"ਐਜਾਇਲ ਪ੍ਰੋਜੈਕਟਸ ਵਿੱਚ ਵਿਕਾਸ ਸੁਰੱਖਿਆ" ਕਿਤਾਬ ਵਿੱਚ ਇਸਨੂੰ ਹੇਠਾਂ ਦਿੱਤੇ ਅਨੁਸਾਰ ਦਰਸਾਇਆ ਗਿਆ ਹੈ। OWASP ਨਿਰਭਰਤਾ ਜਾਂਚ ਇੱਕ ਮੁਫਤ ਸਕੈਨਰ ਹੈ ਜੋ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ ਵਰਤੇ ਗਏ ਸਾਰੇ ਓਪਨ ਸੋਰਸ ਕੰਪੋਨੈਂਟਸ ਨੂੰ ਕੈਟਾਲਾਗ ਕਰਦਾ ਹੈ ਅਤੇ ਉਹਨਾਂ ਵਿੱਚ ਮੌਜੂਦ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। Java, .NET, Ruby (gemspec), PHP (ਕੰਪੋਜ਼ਰ), Node.js ਅਤੇ Python ਦੇ ਨਾਲ ਨਾਲ ਕੁਝ C/C++ ਪ੍ਰੋਜੈਕਟਾਂ ਲਈ ਵੀ ਸੰਸਕਰਣ ਹਨ। ਨਿਰਭਰਤਾ ਜਾਂਚ ਆਮ ਬਿਲਡ ਟੂਲਸ ਨਾਲ ਏਕੀਕ੍ਰਿਤ ਹੁੰਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਕੀੜੀ, ਮਾਵੇਨ ਅਤੇ ਗ੍ਰੇਡਲ, ਅਤੇ ਜੇਨਕਿੰਸ ਵਰਗੇ ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਸਰਵਰਾਂ ਸ਼ਾਮਲ ਹਨ।

ਨਿਰਭਰਤਾ ਜਾਂਚ NIST ਦੇ ਰਾਸ਼ਟਰੀ ਕਮਜ਼ੋਰੀ ਡੇਟਾਬੇਸ (NVD) ਤੋਂ ਜਾਣੀਆਂ ਗਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਵਾਲੇ ਸਾਰੇ ਭਾਗਾਂ ਦੀ ਰਿਪੋਰਟ ਕਰਦੀ ਹੈ ਅਤੇ NVD ਨਿਊਜ਼ ਫੀਡਾਂ ਦੇ ਡੇਟਾ ਨਾਲ ਅਪਡੇਟ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਖੁਸ਼ਕਿਸਮਤੀ ਨਾਲ, ਇਹ ਸਭ ਕੁਝ ਔਜ਼ਾਰਾਂ ਜਿਵੇਂ ਕਿ OWASP ਨਿਰਭਰਤਾ ਜਾਂਚ ਪ੍ਰੋਜੈਕਟ ਜਾਂ ਵਪਾਰਕ ਪ੍ਰੋਗਰਾਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਆਪਣੇ ਆਪ ਹੀ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਕਾਲੀ ਡਕ, ਜੇਫਰੋਗ ਐਕਸਰੇ, ਸਨਕ, Nexus ਜੀਵਨ ਚੱਕਰ ਸੋਨਾਟਾਈਪ ਜਾਂ ਸਰੋਤ ਕਲੀਅਰ.

ਇਹਨਾਂ ਸਾਧਨਾਂ ਨੂੰ ਓਪਨ ਸੋਰਸ ਨਿਰਭਰਤਾਵਾਂ ਨੂੰ ਸਵੈਚਲਿਤ ਤੌਰ 'ਤੇ ਸੂਚੀਬੱਧ ਕਰਨ ਲਈ ਬਿਲਡ ਪਾਈਪਲਾਈਨਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਲਾਇਬ੍ਰੇਰੀਆਂ ਅਤੇ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਜਾਣੀਆਂ-ਪਛਾਣੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਹਨ, ਅਤੇ ਗੰਭੀਰ ਸਮੱਸਿਆਵਾਂ ਦਾ ਪਤਾ ਲੱਗਣ 'ਤੇ ਬਿਲਡ ਨੂੰ ਅਧੂਰਾ ਛੱਡ ਦਿਓ।

OWASP ਨਿਰਭਰਤਾ ਜਾਂਚ

ਪਰਖਣ ਅਤੇ ਇਹ ਦਿਖਾਉਣ ਲਈ ਕਿ ਨਿਰਭਰਤਾ ਜਾਂਚ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀ ਹੈ, ਅਸੀਂ ਇਸ ਰਿਪੋਜ਼ਟਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਾਂ ਨਿਰਭਰਤਾ-ਜਾਂਚ-ਉਦਾਹਰਨ.

HTML ਰਿਪੋਰਟ ਦੇਖਣ ਲਈ, ਤੁਹਾਨੂੰ ਆਪਣੇ gitlab-runner 'ਤੇ nginx ਵੈੱਬ ਸਰਵਰ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।

ਇੱਕ ਨਿਊਨਤਮ nginx ਸੰਰਚਨਾ ਦੀ ਉਦਾਹਰਨ:

server {
    listen       9999;
    listen       [::]:9999;
    server_name  _;
    root         /home/gitlab-runner/builds;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }
}

ਅਸੈਂਬਲੀ ਦੇ ਅੰਤ ਵਿੱਚ ਤੁਸੀਂ ਇਹ ਤਸਵੀਰ ਦੇਖ ਸਕਦੇ ਹੋ:

ਲਿੰਕ ਦਾ ਪਾਲਣ ਕਰੋ ਅਤੇ ਨਿਰਭਰਤਾ ਜਾਂਚ ਰਿਪੋਰਟ ਦੇਖੋ।

ਪਹਿਲਾ ਸਕ੍ਰੀਨਸ਼ੌਟ ਸੰਖੇਪ ਦੇ ਨਾਲ ਰਿਪੋਰਟ ਦਾ ਸਿਖਰਲਾ ਹਿੱਸਾ ਹੈ।

ਦੂਜਾ ਸਕ੍ਰੀਨਸ਼ੌਟ ਵੇਰਵਾ CVE-2017-5638। ਇੱਥੇ ਅਸੀਂ CVE ਪੱਧਰ ਅਤੇ ਸ਼ੋਸ਼ਣ ਦੇ ਲਿੰਕ ਦੇਖਦੇ ਹਾਂ।

ਤੀਜਾ ਸਕ੍ਰੀਨਸ਼ਾਟ log4j-api-2.7.jar ਦਾ ਵੇਰਵਾ ਹੈ। ਅਸੀਂ ਦੇਖਦੇ ਹਾਂ ਕਿ CVE ਪੱਧਰ 7.5 ਅਤੇ 9.8 ਹਨ।

ਚੌਥਾ ਸਕਰੀਨਸ਼ਾਟ ਕਾਮਨਜ਼-ਫਾਇਲਅੱਪਲੋਡ-1.3.2.ਜਾਰ ਦਾ ਵੇਰਵਾ ਹੈ। ਅਸੀਂ ਦੇਖਦੇ ਹਾਂ ਕਿ CVE ਪੱਧਰ 7.5 ਅਤੇ 9.8 ਹਨ।

ਜੇ ਤੁਸੀਂ gitlab ਪੰਨਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ, ਤਾਂ ਇਹ ਕੰਮ ਨਹੀਂ ਕਰੇਗਾ - ਇੱਕ ਡਿੱਗਿਆ ਹੋਇਆ ਕੰਮ ਇੱਕ ਆਰਟੀਫੈਕਟ ਨਹੀਂ ਬਣਾਏਗਾ.

ਇੱਥੇ ਉਦਾਹਰਨ https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages.

ਆਉਟਪੁੱਟ ਬਣਾਓ: ਕੋਈ ਕਲਾਤਮਕ ਚੀਜ਼ਾਂ ਨਹੀਂ, ਮੈਂ html ਰਿਪੋਰਟ ਨਹੀਂ ਵੇਖ ਰਿਹਾ. ਤੁਹਾਨੂੰ ਆਰਟੀਫੈਕਟ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ: ਹਮੇਸ਼ਾ

https://gitlab.com/anton_patsev/dependency-check-example-gitlab-pages/-/jobs/400004246

CVE ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਪੱਧਰ ਨੂੰ ਨਿਯਮਤ ਕਰਨਾ

gitlab-ci.yaml ਫਾਈਲ ਵਿੱਚ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਲਾਈਨ:

mvn $MAVEN_CLI_OPTS test org.owasp:dependency-check-maven:check -DfailBuildOnCVSS=7

failBuildOnCVSS ਪੈਰਾਮੀਟਰ ਨਾਲ ਤੁਸੀਂ CVE ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਪੱਧਰ ਨੂੰ ਵਿਵਸਥਿਤ ਕਰ ਸਕਦੇ ਹੋ ਜਿਸ ਲਈ ਤੁਹਾਨੂੰ ਜਵਾਬ ਦੇਣ ਦੀ ਲੋੜ ਹੈ।

ਇੰਟਰਨੈੱਟ ਤੋਂ NIST ਵੁਲਨੇਰਬਿਲਟੀ ਡੇਟਾਬੇਸ (NVD) ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨਾ

ਕੀ ਤੁਸੀਂ ਦੇਖਿਆ ਹੈ ਕਿ NIST ਇੰਟਰਨੈਟ ਤੋਂ ਲਗਾਤਾਰ NIST ਕਮਜ਼ੋਰੀ ਡੇਟਾਬੇਸ (NVD) ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਦਾ ਹੈ:

ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ, ਤੁਸੀਂ ਉਪਯੋਗਤਾ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ nist_data_mirror_golang

ਚਲੋ ਇਸਨੂੰ ਸਥਾਪਿਤ ਅਤੇ ਲਾਂਚ ਕਰੀਏ।

yum -y install yum-plugin-copr
yum copr enable antonpatsev/nist_data_mirror_golang
yum -y install nist-data-mirror
systemctl start nist-data-mirror

Nist-data-mirror ਸਟਾਰਟਅੱਪ 'ਤੇ NIST JSON CVE ਨੂੰ /var/www/repos/nist-data-mirror/ 'ਤੇ ਅੱਪਲੋਡ ਕਰਦਾ ਹੈ ਅਤੇ ਹਰ 24 ਘੰਟਿਆਂ ਬਾਅਦ ਡਾਟਾ ਅੱਪਡੇਟ ਕਰਦਾ ਹੈ।

CVE JSON NIST ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ nginx ਵੈੱਬ ਸਰਵਰ (ਉਦਾਹਰਨ ਲਈ, ਤੁਹਾਡੇ gitlab-runner 'ਤੇ) ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।

ਇੱਕ ਨਿਊਨਤਮ nginx ਸੰਰਚਨਾ ਦੀ ਉਦਾਹਰਨ:

server {
    listen       12345;
    listen       [::]:12345;
    server_name  _;
    root         /var/www/repos/nist-data-mirror/;

    location / {
        autoindex on;
    }

    error_page 404 /404.html;
        location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
        location = /50x.html {
    }

}

ਇੱਕ ਲੰਬੀ ਲਾਈਨ ਨਾ ਬਣਾਉਣ ਲਈ ਜਿੱਥੇ mvn ਲਾਂਚ ਕੀਤਾ ਗਿਆ ਹੈ, ਅਸੀਂ ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਇੱਕ ਵੱਖਰੇ ਵੇਰੀਏਬਲ DEPENDENCY_OPTS ਵਿੱਚ ਭੇਜਾਂਗੇ।

ਅੰਤਮ ਨਿਊਨਤਮ ਸੰਰਚਨਾ .gitlab-ci.yml ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦੇਵੇਗੀ:

variables:
  MAVEN_OPTS: "-Dhttps.protocols=TLSv1.2 -Dmaven.repo.local=$CI_PROJECT_DIR/.m2/repository -Dorg.slf4j.simpleLogger.log.org.apache.maven.cli.transfer.Slf4jMavenTransferListener=WARN -Dorg.slf4j.simpleLogger.showDateTime=true -Djava.awt.headless=true"
  MAVEN_CLI_OPTS: "--batch-mode --errors --fail-at-end --show-version -DinstallAtEnd=true -DdeployAtEnd=true"
  DEPENDENCY_OPTS: "-DfailBuildOnCVSS=7 -DcveUrlModified=http://localhost:12345/nvdcve-1.1-modified.json.gz -DcveUrlBase=http://localhost:12345/nvdcve-1.1-%d.json.gz"

cache:
  paths:
    - .m2/repository

verify:
  stage: test
  script:
    - set +e
    - mvn $MAVEN_CLI_OPTS install org.owasp:dependency-check-maven:check $DEPENDENCY_OPTS || EXIT_CODE=$?
    - export PATH_WITHOUT_HOME=$(pwd | sed -e "s//home/gitlab-runner/builds//g")
    - echo "************************* URL Dependency-check-report.html *************************"
    - echo "http://$HOSTNAME:9999$PATH_WITHOUT_HOME/target/dependency-check-report.html"
    - set -e
    - exit ${EXIT_CODE}
  tags:
    - shell

DevOps ਅਤੇ ਸੁਰੱਖਿਆ ਬਾਰੇ ਟੈਲੀਗ੍ਰਾਮ ਚੈਟ
ਟੈਲੀਗ੍ਰਾਮ ਚੈਨਲ DevSecOps / SSDLC - ਸੁਰੱਖਿਅਤ ਵਿਕਾਸ

ਸਰੋਤ: www.habr.com