בדיקת אבטחה עם Bandit: זיהוי והפחתת פגיעויות אבטחה בקוד פייתון

בנוף אבטחת הסייבר המורכב של ימינו, אמצעי אבטחה פרואקטיביים הם בעלי חשיבות עליונה. פייתון, הידועה בזכות הרבגוניות וקלות השימוש שלה, היא בחירה פופולרית עבור יישומים שונים. עם זאת, כמו כל שפת תכנות, קוד פייתון יכול להיות חשוף לפגיעויות אבטחה. כאן נכנס Bandit לתמונה – כלי עוצמתי לבדיקת אבטחה שנועד לזהות אוטומטית פגמים אבטחתיים פוטנציאליים בקוד הפייתון שלכם.

מהו Bandit?

Bandit הוא כלי בדיקת אבטחה בקוד פתוח שתוכנן במיוחד עבור פייתון. הוא פועל על ידי סריקת קוד פייתון לאיתור בעיות אבטחה נפוצות, באמצעות סט מקיף של תוספים לזיהוי פגיעויות פוטנציאליות. חשבו עליו ככלי ניתוח סטטי שעוזר לכם לתפוס בעיות אבטחה מוקדם במחזור חיי הפיתוח, לפני שניתן יהיה לנצל אותן בסביבת ייצור.

Bandit פועל על ידי ניתוח קוד פייתון ובניית עץ תחביר מופשט (AST). לאחר מכן הוא מיישם סדרה של בדיקות, המבוססות על דפוסי פגיעות ידועים, על ה-AST. כאשר נמצאת בעיית אבטחה פוטנציאלית, Bandit מדווח עליה עם רמת חומרה, רמת ביטחון, ותיאור מפורט של הבעיה.

למה להשתמש ב-Bandit?

שילוב Bandit בתהליך העבודה שלכם מציע מספר יתרונות משמעותיים:

• זיהוי פגיעויות מוקדם: Bandit עוזר לכם לזהות פגיעויות אבטחה בשלב מוקדם בתהליך הפיתוח, מה שמפחית את העלות והמאמץ הנדרשים לתיקונן מאוחר יותר.
• שיפור איכות הקוד: על ידי אכיפת שיטות קידוד מאובטחות, Bandit תורם לאיכות הקוד הכוללת וליכולת התחזוקה שלו.
• ביקורות אבטחה אוטומטיות: Bandit מאפשר אוטומציה של תהליך ביקורת האבטחה, מה שמקל על הבטחת עמידת הקוד שלכם בשיטות האבטחה הטובות ביותר.
• כיסוי OWASP Top 10: Bandit כולל בדיקות המתייחסות לרבות מהפגיעויות המפורטות ב-OWASP Top 10, ובכך עוזר לכם להגן מפני סיכוני אבטחה נפוצים ביישומי אינטרנט.
• כללים הניתנים להתאמה אישית: באפשרותכם להתאים אישית את הכללים של Bandit כך שיתאימו לדרישות האבטחה וסטנדרטי הקידוד הספציפיים שלכם.
• שילוב עם צינורות CI/CD: ניתן לשלב את Bandit בקלות בצינורות Continuous Integration/Continuous Deployment (CI/CD) שלכם, ובכך להבטיח שבדיקות אבטחה יבוצעו אוטומטית בכל שינוי קוד.

תחילת העבודה עם Bandit

הנה מדריך שלב אחר שלב לתחילת העבודה עם Bandit:

1. התקנה

באפשרותכם להתקין את Bandit באמצעות pip, מנהל החבילות של פייתון:

            pip install bandit
            

              
                Copy
              
            
          

2. הפעלת Bandit

כדי להריץ את Bandit על קוד הפייתון שלכם, השתמשו בפקודה הבאה:

            bandit -r <directory>
            

              
                Copy
              
            
          

החליפו את <directory> בספרייה המכילה את קוד הפייתון שלכם. הדגל -r מורה ל-Bandit לסרוק באופן רקורסיבי את כל קבצי הפייתון בספרייה שצוינה.

באפשרותכם לציין גם קבצים בודדים:

            bandit <file1.py> <file2.py>
            

              
                Copy
              
            
          

3. פענוח התוצאות

Bandit יפיק דוח המפרט פגיעויות אבטחה פוטנציאליות שנמצאו בקוד שלכם. לכל פגיעות מוקצה רמת חומרה (לדוגמה, גבוהה, בינונית, נמוכה) ורמת ביטחון (לדוגמה, גבוהה, בינונית, נמוכה). הדוח כולל גם תיאור מפורט של הפגיעות ואת שורת הקוד שבה היא נמצאה.

דוגמה לפלט Bandit:

            ./example.py:10:0:B603  [blacklist] Use of subprocess.Popen with shell=True is known to be vulnerable to shell injection
	Severity: High   Confidence: High
	Location: ./example.py:10
--------------------------------------------------

            

              
                Copy
              
            
          

פלט זה מצביע על כך ש-Bandit מצא פגיעות בחומרה גבוהה בקובץ example.py בשורה 10. הפגיעות קשורה לשימוש ב-subprocess.Popen עם shell=True, אשר ידוע כחשוף להתקפות הזרקת פקודות למעטפת (shell injection).

פגיעויות אבטחה נפוצות המזוהות על ידי Bandit

Bandit יכול לזהות מגוון רחב של פגיעויות אבטחה נפוצות בקוד פייתון. הנה כמה דוגמאות:

• הזרקת פקודות למעטפת (Shell Injection) (B602, B603): שימוש ב-subprocess.Popen או ב-os.system עם קלט לא מהימן יכול להוביל להתקפות הזרקת פקודות למעטפת.
• הזרקת SQL (SQL Injection) (B608): בניית שאילתות SQL באמצעות שרשור מחרוזות עם נתונים המסופקים על ידי המשתמש עלולה לחשוף את היישום שלכם להתקפות הזרקת SQL.
• סיסמאות מקודדות באופן קשיח (Hardcoded Passwords) (B105): אחסון סיסמאות ישירות בקוד שלכם הוא סיכון אבטחתי חמור.
• קריפטוגרפיה חלשה (Weak Cryptography) (B303, B304, B322): שימוש באלגוריתמים קריפטוגרפיים חלשים או מיושנים עלול לסכן את סודיות ושלמות הנתונים שלכם.
• ביטול סידור לא מאובטח (Insecure Deserialization) (B301, B401): ביטול סידור נתונים ממקורות לא מהימנים יכול להוביל לביצוע קוד שרירותי.
• הזרקת ישויות XML חיצוניות (XXE) (B405): ניתוח מסמכי XML ממקורות לא מהימנים ללא סינון מתאים יכול לחשוף את היישום שלכם להתקפות הזרקת XXE.
• פגיעויות מחרוזת פורמט (Format String Vulnerabilities) (B323): שימוש בנתונים המסופקים על ידי המשתמש במחרוזות פורמט ללא סינון מתאים יכול להוביל לפגיעויות מחרוזת פורמט.
• שימוש ב-`eval()` או ב-`exec()` (B301): פונקציות אלו מבצעות קוד שרירותי, ושימוש בהן עם קלט לא מהימן מסוכן ביותר.
• שימוש לא מאובטח בקבצים זמניים (Insecure Temporary File Usage) (B308): יצירת קבצים זמניים במיקום צפוי יכולה לאפשר לתוקפים להחליף או לקרוא נתונים רגישים.
• טיפול חסר או שגוי בשגיאות (Missing or Incorrect Error Handling) (B110): אי טיפול נכון בחריגות יכול לחשוף מידע רגיש או להוביל להתקפות מניעת שירות (Denial-of-Service).

דוגמה: זיהוי ותיקון פגיעות הזרקת פקודות למעטפת

בואו נסתכל על דוגמה פשוטה לאופן שבו Bandit יכול לעזור לכם לזהות ולתקן פגיעות הזרקת פקודות למעטפת.

התייחסו לקוד הפייתון הבא:

            import subprocess
import os

def execute_command(command):
    subprocess.Popen(command, shell=True)

if __name__ == "__main__":
    user_input = input("Enter a command to execute: ")
    execute_command(user_input)

            

              
                Copy
              
            
          

קוד זה מקבל קלט ממשתמש ומבצע אותו כפקודת מעטפת באמצעות subprocess.Popen עם shell=True. זוהי דוגמה קלאסית לפגיעות הזרקת פקודות למעטפת.

הפעלת Bandit על קוד זה תפיק את הפלט הבא:

            ./example.py:4:0:B603  [blacklist] Use of subprocess.Popen with shell=True is known to be vulnerable to shell injection
	Severity: High   Confidence: High
	Location: ./example.py:4
--------------------------------------------------

            

              
                Copy
              
            
          

Bandit מזהה נכון את השימוש ב-subprocess.Popen עם shell=True כפגיעות בחומרה גבוהה.

כדי לתקן פגיעות זו, עליכם להימנע משימוש ב-shell=True ובמקום זאת להעביר את הפקודה ואת הארגומנטים שלה כרשימה ל-subprocess.Popen. כמו כן, עליכם לסנן את קלט המשתמש כדי למנוע הזרקת פקודות זדוניות.

הנה גרסה מתוקנת של הקוד:

            import subprocess
import shlex

def execute_command(command):
    # Sanitize the input using shlex.split to prevent shell injection
    command_list = shlex.split(command)
    subprocess.Popen(command_list)

if __name__ == "__main__":
    user_input = input("Enter a command to execute: ")
    execute_command(user_input)

            

              
                Copy
              
            
          

על ידי שימוש ב-shlex.split לסינון קלט המשתמש והעברת הפקודה כרשימה ל-subprocess.Popen, תוכלו למתן את הסיכון להתקפות הזרקת פקודות למעטפת.

הפעלת Bandit על הקוד המתוקן לא תדווח עוד על פגיעות הזרקת הפקודות למעטפת.

הגדרת תצורה של Bandit

ניתן להגדיר את Bandit באמצעות קובץ תצורה (bandit.yaml או .bandit) כדי להתאים אישית את התנהגותו. באפשרותכם להשתמש בקובץ התצורה כדי:

• החרגת קבצים או ספריות: ציינו קבצים או ספריות שיש להחריג מהסריקה.
• השבתת בדיקות ספציפיות: השביתו בדיקות שאינן רלוונטיות לפרויקט שלכם.
• התאמת רמות חומרה: שנו את רמות החומרה של פגיעויות ספציפיות.
• הגדרת כללים מותאמים אישית: צרו כללים מותאמים אישית משלכם לזיהוי בעיות אבטחה ספציפיות לפרויקט.

הנה דוגמה לקובץ תצורה bandit.yaml:

            exclude:
  - 'tests/'
  - 'docs/'

skips:
  - 'B101'

confidence_level:
  MEDIUM:
    - 'B603'

severity_level:
  LOW:
    - 'B105'

            

              
                Copy
              
            
          

קובץ תצורה זה מחריג את ספריות tests/ ו-docs/ מהסריקה, מדלג על בדיקת B101 (הבודקת שימוש בהצהרות assert), מתאים את רמת הביטחון של בדיקת B603 לבינונית, ומתאים את רמת החומרה של בדיקת B105 לנמוכה.

שילוב Bandit בצינור ה-CI/CD שלכם

שילוב Bandit בצינור ה-CI/CD שלכם הוא צעד קריטי להבטחת אבטחת קוד הפייתון שלכם. על ידי הפעלת Bandit אוטומטית בכל שינוי קוד, תוכלו לזהות פגיעויות אבטחה בשלב מוקדם ולמנוע מהן להגיע לסביבת ייצור.

הנה דוגמה לאופן שבו ניתן לשלב את Bandit בצינור CI/CD של GitLab:

            stages:
  - test

bandit:
  image: python:3.9
  stage: test
  before_script:
    - pip install bandit
  script:
    - bandit -r .
  artifacts:
    reports:
      bandit: bandit.report

            

              
                Copy
              
            
          

תצורה זו מגדירה משימת bandit המריצה את Bandit על הספריה הנוכחית. המשימה משתמשת בתמונת Docker של פייתון 3.9 ומתקינה את Bandit באמצעות pip. הפקודה bandit -r . מריצה את Bandit באופן רקורסיבי על כל קבצי הפייתון בספריה הנוכחית. סעיף ה-artifacts מציין כי דוח Bandit יישמר כ-artifact, שניתן להוריד ולסקור.

ניתן ליצור תצורות דומות עבור פלטפורמות CI/CD אחרות, כגון Jenkins, CircleCI ו-GitHub Actions.

מעבר ל-Bandit: אסטרטגיות אבטחה מקיפות

בעוד Bandit הוא כלי רב ערך לזיהוי פגיעויות אבטחה פוטנציאליות, חשוב לזכור שהוא רק חלק אחד מאסטרטגיית אבטחה מקיפה. שיטות אבטחה חשובות אחרות כוללות:

• שיטות קידוד מאובטחות: עקבו אחר הנחיות קידוד מאובטחות ושיטות עבודה מומלצות כדי למזער את הסיכון להכנסת פגיעויות לקוד שלכם.
• ביקורות אבטחה קבועות: בצעו ביקורות אבטחה קבועות כדי לזהות ולטפל בחולשות אבטחה פוטנציאליות ביישום שלכם.
• בדיקות חדירה: בצעו בדיקות חדירה כדי לדמות התקפות בעולם האמיתי ולזהות פגיעויות שעלולות שלא להתגלות על ידי כלי ניתוח סטטיים כמו Bandit.
• ניהול פגיעויות: יישמו תוכנית לניהול פגיעויות כדי לעקוב ולתקן פגיעויות בתוכנה ובתשתית שלכם.
• ניהול תלויות: שמרו על התלויות שלכם מעודכנות כדי לתקן פגיעויות ידועות בספריות צד שלישי. כלים כמו `pip-audit` ו-`safety` יכולים לעזור בכך.
• אימות וסינון קלט: תמיד ודאו וסננו קלט משתמש כדי למנע התקפות הזרקה ופגיעויות אחרות הקשורות לקלט.
• אימות והרשאה: יישמו מנגנוני אימות והרשאה חזקים כדי להגן על נתונים ומשאבים רגישים.
• הדרכת מודעות לאבטחה: ספקו הדרכת מודעות לאבטחה למפתחים ולעובדים אחרים כדי לחנך אותם לגבי איומי אבטחה נפוצים ושיטות עבודה מומלצות.

מסקנה

Bandit הוא כלי רב ערך לזיהוי והפחתת פגיעויות אבטחה בקוד פייתון. על ידי שילוב Bandit בתהליך העבודה שלכם, תוכלו לשפר את אבטחת היישומים שלכם ולהגן מפני איומי אבטחה נפוצים. עם זאת, חשוב לזכור ש-Bandit הוא רק חלק אחד מאסטרטגיית אבטחה מקיפה. על ידי הקפדה על שיטות קידוד מאובטחות, ביצוע ביקורות אבטחה קבועות ויישום אמצעי אבטחה אחרים, תוכלו ליצור סביבת תוכנה מאובטחת ועמידה יותר.

משאבים

• תיעוד Bandit
• OWASP (Open Web Application Security Project)
• Bandit ב-PyPI