Bandit Security Linting: Идентифициране и намаляване на уязвимостите в Python

В днешния сложен пейзаж на киберсигурността проактивните мерки за сигурност са от първостепенно значение. Python, известен със своята гъвкавост и лекота на използване, е популярен избор за различни приложения. Въпреки това, като всеки език за програмиране, Python кодът може да бъде податлив на уязвимости в сигурността. Тук се намесва Bandit – мощен инструмент за проверка на сигурността, предназначен да идентифицира автоматично потенциални недостатъци в сигурността във вашия Python код.

Какво е Bandit?

Bandit е linter за сигурност с отворен код, специално разработен за Python. Той работи чрез сканиране на Python код за общи проблеми със сигурността, като използва обширен набор от плъгини за идентифициране на потенциални уязвимости. Мислете за него като за инструмент за статичен анализ, който ви помага да уловите проблеми със сигурността рано в жизнения цикъл на разработката, преди те да могат да бъдат използвани в производство.

Bandit работи чрез парсиране на Python код и изграждане на Abstract Syntax Tree (AST). След това прилага серия от тестове, базирани на известни модели на уязвимост, към AST. Когато бъде открит потенциален проблем със сигурността, Bandit го докладва със степен на тежест, степен на увереност и подробно описание на проблема.

Защо да използвате Bandit?

Интегрирането на Bandit във вашия работен процес на разработка предлага няколко значителни предимства:

• Ранно откриване на уязвимости: Bandit ви помага да идентифицирате уязвимостите в сигурността рано в процеса на разработка, намалявайки разходите и усилията, необходими за тяхното отстраняване по-късно.
• Подобрено качество на кода: Чрез налагане на практики за сигурно кодиране, Bandit допринася за цялостното качество на кода и поддръжката.
• Автоматизирани одити за сигурност: Bandit автоматизира процеса на одит на сигурността, улеснявайки гарантирането, че вашият код отговаря на най-добрите практики за сигурност.
• OWASP Top 10 покритие: Bandit включва тестове, които разглеждат много от уязвимостите, изброени в OWASP Top 10, като ви помага да се предпазите от често срещани рискове за сигурността на уеб приложенията.
• Персонализирани правила: Можете да персонализирате правилата на Bandit, за да отговарят на вашите специфични изисквания за сигурност и стандарти за кодиране.
• Интеграция с CI/CD тръбопроводи: Bandit може лесно да бъде интегриран във вашите Continuous Integration/Continuous Deployment (CI/CD) тръбопроводи, като гарантира, че проверките за сигурност се извършват автоматично при всяка промяна в кода.

Първи стъпки с Bandit

Ето стъпка по стъпка ръководство за започване на работа с Bandit:

1. Инсталация

Можете да инсталирате Bandit, като използвате pip, инсталатора на пакети на Python:

            pip install bandit
            

              
                Copy
              
            
          

2. Стартиране на Bandit

За да стартирате Bandit върху вашия Python код, използвайте следната команда:

            bandit -r <directory>
            

              
                Copy
              
            
          

Заменете <directory> с директорията, съдържаща вашия Python код. Флагът -r казва на Bandit да сканира рекурсивно всички Python файлове в указаната директория.

Можете също да посочите отделни файлове:

            bandit <file1.py> <file2.py>
            

              
                Copy
              
            
          

3. Тълкуване на резултатите

Bandit ще изведе отчет, описващ всички потенциални уязвимости в сигурността, открити във вашия код. На всяка уязвимост е присвоена степен на тежест (напр. HIGH, MEDIUM, LOW) и степен на увереност (напр. HIGH, MEDIUM, LOW). Отчетът включва и подробно описание на уязвимостта и реда от кода, където е намерена.

Пример за изход на Bandit:

            ./example.py:10:0:B603  [blacklist] Use of subprocess.Popen with shell=True is known to be vulnerable to shell injection
	Severity: High   Confidence: High
	Location: ./example.py:10
--------------------------------------------------

            

              
                Copy
              
            
          

Този изход показва, че Bandit е открил уязвимост с висока степен на тежест във файла example.py на ред 10. Уязвимостта е свързана с използването на subprocess.Popen с shell=True, което е известно, че е податливо на shell injection атаки.

Общи уязвимости в сигурността, открити от Bandit

Bandit може да открие широк спектър от общи уязвимости в сигурността в Python кода. Ето някои примери:

• Shell Injection (B602, B603): Използването на subprocess.Popen или os.system с ненадежден вход може да доведе до shell injection атаки.
• SQL Injection (B608): Съставянето на SQL заявки с помощта на конкатенация на низове с предоставени от потребителя данни може да изложи вашето приложение на SQL injection атаки.
• Хардкодирани пароли (B105): Съхраняването на пароли директно във вашия код е голям риск за сигурността.
• Слаба криптография (B303, B304, B322): Използването на слаби или остарели криптографски алгоритми може да компрометира поверителността и целостта на вашите данни.
• Несигурна десериализация (B301, B401): Десериализирането на данни от ненадеждни източници може да доведе до произволно изпълнение на код.
• XML External Entity (XXE) Injection (B405): Парсирането на XML документи от ненадеждни източници без подходяща санитаризация може да изложи вашето приложение на XXE injection атаки.
• Format String Vulnerabilities (B323): Използването на предоставени от потребителя данни във форматни низове без подходяща санитаризация може да доведе до уязвимости във форматния низ.
• Използване на `eval()` или `exec()` (B301): Тези функции изпълняват произволен код и използването им с ненадежден вход е изключително опасно.
• Несигурно използване на временни файлове (B308): Създаването на временни файлове на предвидимо място може да позволи на нападателите да презапишат или прочетат чувствителни данни.
• Липсваща или неправилна обработка на грешки (B110): Неправилната обработка на изключения може да изложи чувствителна информация или да доведе до атаки от типа отказ от услуга.

Пример: Идентифициране и отстраняване на уязвимост при shell injection

Нека разгледаме прост пример за това как Bandit може да ви помогне да идентифицирате и отстраните уязвимост при shell injection.

Разгледайте следния Python код:

            import subprocess
import os

def execute_command(command):
    subprocess.Popen(command, shell=True)

if __name__ == "__main__":
    user_input = input("Enter a command to execute: ")
    execute_command(user_input)

            

              
                Copy
              
            
          

Този код приема потребителски вход и го изпълнява като shell команда, като използва subprocess.Popen с shell=True. Това е класически пример за уязвимост при shell injection.

Стартирането на Bandit върху този код ще даде следния изход:

            ./example.py:4:0:B603  [blacklist] Use of subprocess.Popen with shell=True is known to be vulnerable to shell injection
	Severity: High   Confidence: High
	Location: ./example.py:4
--------------------------------------------------

            

              
                Copy
              
            
          

Bandit правилно идентифицира използването на subprocess.Popen с shell=True като уязвимост с висока степен на тежест.

За да отстраните тази уязвимост, трябва да избягвате използването на shell=True и вместо това да подавате командата и нейните аргументи като списък към subprocess.Popen. Трябва също да почистите потребителския вход, за да предотвратите внедряването на злонамерени команди.

Ето коригирана версия на кода:

            import subprocess
import shlex

def execute_command(command):
    # Sanitize the input using shlex.split to prevent shell injection
    command_list = shlex.split(command)
    subprocess.Popen(command_list)

if __name__ == "__main__":
    user_input = input("Enter a command to execute: ")
    execute_command(user_input)

            

              
                Copy
              
            
          

Като използвате shlex.split за почистване на потребителския вход и предавате командата като списък към subprocess.Popen, можете да намалите риска от shell injection атаки.

Стартирането на Bandit върху коригирания код вече няма да съобщава за уязвимостта при shell injection.

Конфигуриране на Bandit

Bandit може да бъде конфигуриран с помощта на конфигурационен файл (bandit.yaml или .bandit), за да персонализирате неговото поведение. Можете да използвате конфигурационния файл за:

• Изключване на файлове или директории: Укажете файлове или директории, които трябва да бъдат изключени от сканирането.
• Деактивиране на конкретни тестове: Деактивирайте тестове, които не са подходящи за вашия проект.
• Регулиране на нивата на тежест: Променете нивата на тежест на конкретни уязвимости.
• Определяне на потребителски правила: Създайте свои собствени правила за откриване на специфични за проекта проблеми със сигурността.

Ето пример за конфигурационен файл bandit.yaml:

            exclude:
  - 'tests/'
  - 'docs/'

skips:
  - 'B101'

confidence_level:
  MEDIUM:
    - 'B603'

severity_level:
  LOW:
    - 'B105'

            

              
                Copy
              
            
          

Този конфигурационен файл изключва директориите tests/ и docs/ от сканирането, пропуска теста B101 (който проверява за използването на оператори за проверка), коригира нивото на увереност на теста B603 на MEDIUM и коригира нивото на тежест на теста B105 на LOW.

Интегриране на Bandit във вашия CI/CD тръбопровод

Интегрирането на Bandit във вашия CI/CD тръбопровод е решаваща стъпка за осигуряване на сигурността на вашия Python код. Чрез автоматично стартиране на Bandit при всяка промяна в кода, можете да уловите уязвимостите в сигурността рано и да предотвратите достигането им до производство.

Ето пример за това как да интегрирате Bandit в GitLab CI/CD тръбопровод:

            stages:
  - test

bandit:
  image: python:3.9
  stage: test
  before_script:
    - pip install bandit
  script:
    - bandit -r .
  artifacts:
    reports:
      bandit: bandit.report

            

              
                Copy
              
            
          

Тази конфигурация определя задача bandit, която стартира Bandit в текущата директория. Задачата използва Docker image на Python 3.9 и инсталира Bandit с помощта на pip. Командата bandit -r . стартира Bandit рекурсивно върху всички Python файлове в текущата директория. Разделът artifacts указва, че отчетът на Bandit трябва да бъде запазен като артефакт, който може да бъде изтеглен и прегледан.

Подобни конфигурации могат да бъдат създадени за други CI/CD платформи, като Jenkins, CircleCI и GitHub Actions.

Отвъд Bandit: Цялостни стратегии за сигурност

Въпреки че Bandit е ценен инструмент за идентифициране на потенциални уязвимости в сигурността, важно е да запомните, че той е само една част от цялостна стратегия за сигурност. Други важни практики за сигурност включват:

• Практики за сигурно кодиране: Следвайте указанията и най-добрите практики за сигурно кодиране, за да сведете до минимум риска от въвеждане на уязвимости във вашия код.
• Редовни одити за сигурност: Провеждайте редовни одити за сигурност, за да идентифицирате и отстраните потенциални слабости в сигурността във вашето приложение.
• Тестване за проникване: Извършвайте тестване за проникване, за да симулирате реални атаки и да идентифицирате уязвимости, които може да не бъдат открити от инструменти за статичен анализ като Bandit.
• Управление на уязвимостите: Приложете програма за управление на уязвимостите, за да проследявате и коригирате уязвимостите във вашия софтуер и инфраструктура.
• Управление на зависимостите: Поддържайте зависимостите си актуални, за да закърпите известни уязвимости в библиотеки на трети страни. Инструменти като `pip-audit` и `safety` могат да помогнат за това.
• Проверка и санитаризация на въвежданите данни: Винаги проверявайте и санитирайте въведените от потребителя данни, за да предотвратите атаки за внедряване и други уязвимости, свързани с въвеждането на данни.
• Автентификация и оторизация: Приложете силни механизми за удостоверяване и оторизация, за да защитите чувствителни данни и ресурси.
• Обучение за информираност за сигурността: Осигурете обучение за информираност за сигурността на вашите разработчици и други служители, за да ги обучите за често срещаните заплахи за сигурността и най-добрите практики.

Заключение

Bandit е ценен инструмент за идентифициране и намаляване на уязвимостите в сигурността в Python код. Чрез интегрирането на Bandit във вашия работен процес на разработка можете да подобрите сигурността на вашите приложения и да се предпазите от често срещани заплахи за сигурността. Важно е обаче да запомните, че Bandit е само една част от цялостна стратегия за сигурност. Като следвате практики за сигурно кодиране, провеждате редовни одити за сигурност и прилагате други мерки за сигурност, можете да създадете по-сигурна и устойчива софтуерна среда.

Ресурси

• Документация на Bandit
• OWASP (Open Web Application Security Project)
• Bandit в PyPI