🥇E faʻafefea ona faʻaogaina se faʻaoga faigofie e suʻe ai faʻafitauli ile polokalame code

E lagolagoina e le Graudit le tele o gagana polokalame ma faʻatagaina oe e tuʻufaʻatasia faʻataʻitaʻiga faʻamaonia codebase saʻo i le faagasologa o le atinaʻe.

puna: Unsplash (Markus Spiske)

O le su'ega o se vaega taua o le olaga fa'atupuina o polokalame. E tele ituaiga o suʻega, taʻitasi e foia lona lava faʻafitauli. O le asō ou te fia talanoa e uiga i le sailia o faafitauli saogalemu i le code.

E manino lava, i mea moni faʻaonaponei o le atinaʻeina o polokalama, e taua le faʻamautinoaina o le saogalemu o gaioiga. I se tasi taimi, na faʻaalia ai le upu faʻapitoa DevSecOps. O lenei faaupuga e faasino i se faasologa o taualumaga e faʻatatau i le faʻamaonia ma le faʻaitiitia o faʻafitauli i totonu o se talosaga. O loʻo iai faʻamatalaga faʻapitoa faʻapitoa mo le siakiina o faʻafitauli e tusa ai ma tulaga faʻavae OWASP, lea e faʻamatalaina ai ituaiga ma amioga eseese o faʻafitauli i le code source.

E eseese auala e foia ai faafitauli tau puipuiga, e pei ole Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST), Interactive Application Security Testing (IAST), Software Composition Analysis, ma isi.

O su'ega fa'akomepiuta fa'akomepiuta e iloa ai mea sese i fa'ailoga ua uma ona tusia. O lenei faiga e le manaʻomia ai le talosaga e tamoʻe, o le mea lea e taʻua ai le suʻesuʻega static.

O le a ou taulaʻi atu i le suʻesuʻeina o code code ma faʻaoga se meafaigaluega faʻapipiʻi faigofie e faʻaalia ai mea uma i le faʻatinoga.

Aisea na ou filifilia ai se mea faigaluega punaoa tatala mo le suʻesuʻeina o le saogalemu code static

E tele mafuaaga mo lenei mea: muamua, e leai se totogi ona o loʻo e faʻaaogaina se meafaigaluega na fausia e se faʻalapotopotoga o tagata e tutusa o latou mafaufau e fia fesoasoani i isi atinaʻe. Afai e iai sau 'au toʻaitiiti poʻo se amataga, e te maua se avanoa sili e teu ai tupe e ala i le faʻaogaina o polokalama tatala punaoa e suʻe ai le saogalemu o lau codebase. Lona lua, e faʻaumatia ai le manaʻoga mo oe e faʻafaigaluega se isi DevSecOps 'au, faʻaititia atili au tau.

E fa'atupu pea mea faigaluega fa'apitoa matala lelei e fa'atatau i mana'oga fa'aopoopo mo le fetu'una'i. O le mea lea, e mafai ona faʻaaogaina i le toetoe lava o soʻo se siosiomaga, e aofia ai le tele o galuega. E sili atu le faigofie mo le au atinaʻe ona faʻafesoʻotaʻi ia meafaigaluega ma le faiga ua uma ona latou fausia aʻo galulue i a latou galuega.

Ae atonu e iai taimi e te manaʻomia ai se vaega e le o maua i le meafaigaluega e te filifilia. I lenei tulaga, e te maua le avanoa e tui ai lana code ma atiaʻe lau lava meafaigaluega faʻavae i luga ma le faʻatinoga e te manaʻomia.

Talu ai i le tele o tulaga, o le atinaʻeina o polokalama faʻapipiʻi matala e matuaʻi aʻafia e le alalafaga, o le faaiuga e fai suiga e fai vave ma i le tulaga: o le au atinaʻe o le faʻaogaina o le punaoa tatala e faʻalagolago i manatu faaalia ma fautuaga mai tagata faʻaoga, ia latou lipoti o mea sese na maua ma isi fa'afitauli.

Fa'aaogaina o le Graudit mo le Su'esu'ega Puipuiga o Tulafono

E mafai ona e fa'aogaina meafaigaluega fa'apitoa mo le su'esu'eina o tulafono fa'apitoa e leai se mea faigaluega lautele mo gagana fa'apolokalame uma. O le au atiaʻe o nisi oi latou e mulimuli i fautuaga a le OWASP ma taumafai e aofia ai le tele o gagana pe a mafai.

O iinei o le a matou faʻaaogaina Graudit, o se faʻaoga faigofie laina laina e mafai ai ona tatou maua ni faʻafitauli i totonu o la tatou codebase. E lagolagoina gagana eseese, ae o loʻo faʻatapulaʻaina a latou seti. Graudit ua atiaʻe e faʻavae i luga o le grep utility utility, lea na faʻasaʻoloto muamua i lalo ole laisene GNU.

O lo'o iai mea faigaluega fa'atusa mo su'esu'ega fa'amautu - Rough Su'etusi Meafaigaluega mo Puipuiga (RATS), Securitycompass Web Application Analysis Tool (SWAAT), flawfinder ma isi. Ae o le Graudit e matua fetuutuunai ma e itiiti ni manaʻoga faʻapitoa. Ae ui i lea, atonu e iai ni au faʻafitauli e le mafai e Graudit ona foia. Ona mafai lea ona e suʻeina isi filifiliga iinei i luga o lenei lisi.

E mafai ona matou tuʻufaʻatasia lenei mea faigaluega i totonu o se galuega faʻapitoa, pe faʻaavanoaina i se tagata faʻaoga filifilia, pe faʻaaogaina i le taimi e tasi i a tatou galuega uma. O le mea foi lea e sau ai le fetuutuunai a Graudit. Seʻi o tatou faʻapipiʻi muamua le repo:

$ git clone https://github.com/wireghoul/graudit

Se'i o tatou faia se feso'ota'iga fa'atusa mo Graudit e fa'aoga ai ile fa'atonuga

$ cd ~/bin && mkdir graudit
$ ln --symbolic ~/graudit/graudit ~/bin/graudit

Se'i o tatou fa'aopoopoina se igoa i le .bashrc (po'o so'o se faila fa'atulagaina o lo'o e fa'aogaina):

#------ .bashrc ------
alias graudit="~/bin/graudit"

Toe fa'afou:

$ source ~/.bashrc # OR
$ exex $SHELL

Sei o tatou siaki pe na manuia le faʻapipiʻiina:

$ graudit -h

Afai e te vaʻai i se mea faapena, o lona uiga o loʻo lelei mea uma.

O le a ou su'eina se tasi o a'u poloketi o iai. Aʻo leʻi faʻaogaina le meafaigaluega, e manaʻomia ona pasia se faʻamaumauga e fetaui ma le gagana o loʻo tusia ai laʻu galuega. O faʻamaumauga o loʻo i totonu o le ~/gradit/signatures folder:

$ graudit -d ~/gradit/signatures/js.db

O lea, na ou faʻataʻitaʻiina faila js e lua mai laʻu poloketi, ma faʻaalia e Graudit faʻamatalaga e uiga i faʻafitauli i laʻu code i le faʻamafanafanaga:

E mafai ona e taumafai e su'e au poloketi i le auala lava e tasi. E mafai ona e va'ai i se lisi o fa'amaumauga mo gagana eseese polokalame iinei.

Tulaga lelei ma le le lelei o le Graudit

E lagolagoina e Graudit le tele o gagana polokalame. O le mea lea, e talafeagai mo le tele o tagata faʻaoga. E mafai ona fetaui lelei ma so'o se analogues e leai se totogi pe totogi. Ma e taua tele le faʻaleleia atili o le poloketi, ma e le gata ina fesoasoani le alalafaga i le au atinaʻe, ae faʻapea foʻi ma isi tagata faʻaoga o loʻo taumafai e iloa le meafaigaluega.

O se meafaigaluega faʻaoga lelei, ae e oʻo mai i le taimi nei e le mafai ona faʻamaonia tonu le faʻafitauli o loʻo i ai i se fasi faʻailoga masalosalo. O loʻo faʻaauau pea ona faʻaleleia e le au atinaʻe le Graudit.

Ae i soʻo se tulaga, e aoga le gauai atu i faʻafitauli saogalemu i le code pe a faʻaogaina meafaigaluega faʻapenei.

Amata…

I lenei tusiga, na ou tilotilo i se tasi o le tele o auala e maua ai faʻafitauli - static application security testing . O le fa'atinoina o su'esu'ega fa'amautu e faigofie, ae ua na'o le amataga. Ina ia a'oa'o atili e uiga i le saogalemu o lau codebase, e mana'omia lou tu'ufa'atasia o isi ituaiga su'ega i lau fa'asologa o le atina'eina o polokalama.

I Aia Tatau o Faasalalauga

VPS faatuatuaina ma o le filifiliga saʻo o le fuafuaga o le tau o le a faʻatagaina oe e faʻaitiitia le faʻalavelaveina mai le atinaʻe e ala i faʻafitauli le lelei - o mea uma o le a aoga e aunoa ma se toilalo ma se taimi maualuga maualuga!

puna: www.habr.com