बैंडिट सुरक्षा लिनटिंग: पायथन सुरक्षा कमजोरियों की पहचान करना और कम करना

आज के जटिल साइबर सुरक्षा परिदृश्य में, सक्रिय सुरक्षा उपाय सर्वोपरि हैं। पायथन, अपनी बहुमुखी प्रतिभा और उपयोग में आसानी के लिए जाना जाता है, विभिन्न अनुप्रयोगों के लिए एक लोकप्रिय विकल्प है। हालाँकि, किसी भी प्रोग्रामिंग भाषा की तरह, पायथन कोड सुरक्षा कमजोरियों के प्रति संवेदनशील हो सकता है। यहीं पर बैंडिट आता है - एक शक्तिशाली सुरक्षा लिनटिंग टूल जिसे आपके पायथन कोड में संभावित सुरक्षा दोषों की स्वचालित रूप से पहचान करने के लिए डिज़ाइन किया गया है।

बैंडिट क्या है?

बैंडिट विशेष रूप से पायथन के लिए डिज़ाइन किया गया एक ओपन-सोर्स सुरक्षा लिनटर है। यह संभावित कमजोरियों की पहचान करने के लिए प्लगइन्स के एक व्यापक सेट का उपयोग करके, सामान्य सुरक्षा मुद्दों के लिए पायथन कोड को स्कैन करके काम करता है। इसे एक स्थिर विश्लेषण टूल के रूप में सोचें जो आपको विकास जीवनचक्र में शुरुआती दौर में ही सुरक्षा समस्याओं को पकड़ने में मदद करता है, इससे पहले कि उनका उत्पादन में शोषण किया जा सके।

बैंडिट पायथन कोड को पार्स करके और एक अमूर्त सिंटैक्स ट्री (AST) बनाकर काम करता है। फिर यह AST पर ज्ञात भेद्यता पैटर्न के आधार पर परीक्षणों की एक श्रृंखला लागू करता है। जब कोई संभावित सुरक्षा समस्या पाई जाती है, तो बैंडिट इसे एक गंभीरता स्तर, आत्मविश्वास स्तर और समस्या के विस्तृत विवरण के साथ रिपोर्ट करता है।

बैंडिट का उपयोग क्यों करें?

अपने विकास वर्कफ़्लो में बैंडिट को एकीकृत करने से कई महत्वपूर्ण लाभ मिलते हैं:

• प्रारंभिक भेद्यता का पता लगाना: बैंडिट आपको विकास प्रक्रिया में शुरुआती दौर में ही सुरक्षा कमजोरियों की पहचान करने में मदद करता है, जिससे उन्हें बाद में ठीक करने के लिए आवश्यक लागत और प्रयास कम हो जाता है।
• बेहतर कोड गुणवत्ता: सुरक्षित कोडिंग प्रथाओं को लागू करके, बैंडिट समग्र कोड गुणवत्ता और रखरखाव में योगदान देता है।
• स्वचालित सुरक्षा ऑडिट: बैंडिट सुरक्षा ऑडिट की प्रक्रिया को स्वचालित करता है, जिससे यह सुनिश्चित करना आसान हो जाता है कि आपका कोड सुरक्षा सर्वोत्तम प्रथाओं का पालन करता है।
• OWASP टॉप 10 कवरेज: बैंडिट में OWASP टॉप 10 में सूचीबद्ध कई कमजोरियों को संबोधित करने वाले परीक्षण शामिल हैं, जो आपको सामान्य वेब एप्लिकेशन सुरक्षा जोखिमों से बचाने में मदद करते हैं।
• अनुकूलन योग्य नियम: आप अपनी विशिष्ट सुरक्षा आवश्यकताओं और कोडिंग मानकों को फिट करने के लिए बैंडिट के नियमों को अनुकूलित कर सकते हैं।
• CI/CD पाइपलाइन के साथ एकीकरण: बैंडिट को आपके कंटीन्यूअस इंटीग्रेशन/कंटीन्यूअस डिप्लॉयमेंट (CI/CD) पाइपलाइन में आसानी से एकीकृत किया जा सकता है, जिससे यह सुनिश्चित होता है कि हर कोड परिवर्तन पर सुरक्षा जांच स्वचालित रूप से की जाती है।

बैंडिट के साथ शुरुआत करना

यहां बैंडिट के साथ शुरुआत करने के लिए एक चरण-दर-चरण मार्गदर्शिका दी गई है:

1. स्थापना

आप पायथन पैकेज इंस्टालर, पिप का उपयोग करके बैंडिट स्थापित कर सकते हैं:

            pip install bandit
            

              
                Copy
              
            
          

2. बैंडिट चलाना

अपने पायथन कोड पर बैंडिट चलाने के लिए, निम्नलिखित कमांड का उपयोग करें:

            bandit -r <directory>
            

              
                Copy
              
            
          

<directory> को उस निर्देशिका से बदलें जिसमें आपका पायथन कोड है। -r फ़्लैग बैंडिट को निर्दिष्ट निर्देशिका में सभी पायथन फ़ाइलों को पुनरावर्ती रूप से स्कैन करने के लिए कहता है।

आप व्यक्तिगत फ़ाइलों को भी निर्दिष्ट कर सकते हैं:

            bandit <file1.py> <file2.py>
            

              
                Copy
              
            
          

3. परिणामों की व्याख्या करना

बैंडिट आपके कोड में पाई गई किसी भी संभावित सुरक्षा कमजोरियों का विवरण देते हुए एक रिपोर्ट आउटपुट करेगा। प्रत्येक भेद्यता को एक गंभीरता स्तर (उदाहरण के लिए, उच्च, मध्यम, निम्न) और एक आत्मविश्वास स्तर (उदाहरण के लिए, उच्च, मध्यम, निम्न) सौंपा जाता है। रिपोर्ट में भेद्यता का विस्तृत विवरण और उस कोड की पंक्ति भी शामिल है जहां वह पाया गया था।

उदाहरण बैंडिट आउटपुट:

            ./example.py:10:0:B603  [blacklist] Use of subprocess.Popen with shell=True is known to be vulnerable to shell injection
	Severity: High   Confidence: High
	Location: ./example.py:10
--------------------------------------------------

            

              
                Copy
              
            
          

यह आउटपुट इंगित करता है कि बैंडिट को फ़ाइल example.py में लाइन 10 पर एक उच्च-गंभीरता भेद्यता मिली। भेद्यता subprocess.Popen के उपयोग से संबंधित है, जो shell=True है, जो शेल इंजेक्शन हमलों के प्रति संवेदनशील होने के लिए जाना जाता है।

बैंडिट द्वारा पता लगाई गई सामान्य सुरक्षा कमजोरियाँ

बैंडिट पायथन कोड में सामान्य सुरक्षा कमजोरियों की एक विस्तृत श्रृंखला का पता लगा सकता है। यहां कुछ उदाहरण दिए गए हैं:

• शेल इंजेक्शन (B602, B603): अविश्वसनीय इनपुट के साथ subprocess.Popen या os.system का उपयोग शेल इंजेक्शन हमलों का कारण बन सकता है।
• SQL इंजेक्शन (B608): उपयोगकर्ता-प्रदत्त डेटा के साथ स्ट्रिंग कंकेटिनेशन का उपयोग करके SQL क्वेरीज़ का निर्माण आपके एप्लिकेशन को SQL इंजेक्शन हमलों के लिए उजागर कर सकता है।
• हार्डकोडेड पासवर्ड (B105): सीधे अपने कोड में पासवर्ड संग्रहीत करना एक प्रमुख सुरक्षा जोखिम है।
• कमजोर क्रिप्टोग्राफी (B303, B304, B322): कमजोर या पुराने क्रिप्टोग्राफ़िक एल्गोरिदम का उपयोग आपके डेटा की गोपनीयता और अखंडता से समझौता कर सकता है।
• असुरक्षित डिसेरियलाइज़ेशन (B301, B401): अविश्वसनीय स्रोतों से डेटा को डिसेरियलाइज़ करना मनमाना कोड निष्पादन का कारण बन सकता है।
• XML बाहरी इकाई (XXE) इंजेक्शन (B405): उचित सैनिटाइजेशन के बिना अविश्वसनीय स्रोतों से XML दस्तावेज़ों को पार्स करना आपके एप्लिकेशन को XXE इंजेक्शन हमलों के लिए उजागर कर सकता है।
• फॉर्मेट स्ट्रिंग कमजोरियाँ (B323): उचित सैनिटाइजेशन के बिना यूजर-प्रदत्त डेटा का उपयोग फॉर्मेट स्ट्रिंग में करने से फॉर्मेट स्ट्रिंग कमजोरियाँ हो सकती हैं।
• `eval()` या `exec()` का उपयोग करना (B301): ये फ़ंक्शन मनमाना कोड निष्पादित करते हैं, और अविश्वसनीय इनपुट के साथ उनका उपयोग करना बेहद खतरनाक है।
• असुरक्षित अस्थायी फ़ाइल उपयोग (B308): एक अनुमानित स्थान में अस्थायी फ़ाइलें बनाना हमलावरों को संवेदनशील डेटा को ओवरराइट या पढ़ने की अनुमति दे सकता है।
• गुम या गलत त्रुटि हैंडलिंग (B110): अपवादों को ठीक से हैंडल न करने से संवेदनशील जानकारी उजागर हो सकती है या सेवा से इनकार करने वाले हमलों का कारण बन सकता है।

उदाहरण: शेल इंजेक्शन भेद्यता की पहचान करना और उसे ठीक करना

आइए एक साधारण उदाहरण देखें कि बैंडिट आपको शेल इंजेक्शन भेद्यता की पहचान करने और उसे ठीक करने में कैसे मदद कर सकता है।

निम्नलिखित पायथन कोड पर विचार करें:

            import subprocess
import os

def execute_command(command):
    subprocess.Popen(command, shell=True)

if __name__ == "__main__":
    user_input = input("Enter a command to execute: ")
    execute_command(user_input)
            

              
                Copy
              
            
          

यह कोड उपयोगकर्ता इनपुट लेता है और shell=True के साथ subprocess.Popen का उपयोग करके इसे शेल कमांड के रूप में निष्पादित करता है। यह शेल इंजेक्शन भेद्यता का एक क्लासिक उदाहरण है।

इस कोड पर बैंडिट चलाने से निम्नलिखित आउटपुट उत्पन्न होगा:

            ./example.py:4:0:B603  [blacklist] Use of subprocess.Popen with shell=True is known to be vulnerable to shell injection
	Severity: High   Confidence: High
	Location: ./example.py:4
--------------------------------------------------

            

              
                Copy
              
            
          

बैंडिट shell=True के साथ subprocess.Popen के उपयोग को उच्च-गंभीरता भेद्यता के रूप में सही ढंग से पहचानता है।

इस भेद्यता को ठीक करने के लिए, आपको shell=True का उपयोग करने से बचना चाहिए और इसके बजाय कमांड और उसके तर्कों को subprocess.Popen को एक सूची के रूप में पास करना चाहिए। आपको दुर्भावनापूर्ण कमांड को इंजेक्ट होने से रोकने के लिए उपयोगकर्ता इनपुट को भी साफ़ करना चाहिए।

यहाँ कोड का एक सही संस्करण दिया गया है:

            import subprocess
import shlex

def execute_command(command):
    # Sanitize the input using shlex.split to prevent shell injection
    command_list = shlex.split(command)
    subprocess.Popen(command_list)

if __name__ == "__main__":
    user_input = input("Enter a command to execute: ")
    execute_command(user_input)
            

              
                Copy
              
            
          

उपयोगकर्ता इनपुट को साफ़ करने के लिए shlex.split का उपयोग करके और कमांड को subprocess.Popen को एक सूची के रूप में पास करके, आप शेल इंजेक्शन हमलों के जोखिम को कम कर सकते हैं।

सही कोड पर बैंडिट चलाने से अब शेल इंजेक्शन भेद्यता की रिपोर्ट नहीं होगी।

बैंडिट को कॉन्फ़िगर करना

बैंडिट को अपने व्यवहार को अनुकूलित करने के लिए एक कॉन्फ़िगरेशन फ़ाइल (bandit.yaml या .bandit) का उपयोग करके कॉन्फ़िगर किया जा सकता है। आप कॉन्फ़िगरेशन फ़ाइल का उपयोग कर सकते हैं:

• फ़ाइलों या निर्देशिकाओं को बाहर करें: उन फ़ाइलों या निर्देशिकाओं को निर्दिष्ट करें जिन्हें स्कैन से बाहर रखा जाना चाहिए।
• विशिष्ट परीक्षणों को अक्षम करें: उन परीक्षणों को अक्षम करें जो आपके प्रोजेक्ट के लिए प्रासंगिक नहीं हैं।
• गंभीरता स्तर समायोजित करें: विशिष्ट कमजोरियों की गंभीरता के स्तर को बदलें।
• कस्टम नियम परिभाषित करें: प्रोजेक्ट-विशिष्ट सुरक्षा मुद्दों का पता लगाने के लिए अपने स्वयं के कस्टम नियम बनाएं।

यहां एक bandit.yaml कॉन्फ़िगरेशन फ़ाइल का एक उदाहरण दिया गया है:

            exclude:
  - 'tests/'
  - 'docs/'

skips:
  - 'B101'

confidence_level:
  MEDIUM:
    - 'B603'

severity_level:
  LOW:
    - 'B105'
            

              
                Copy
              
            
          

यह कॉन्फ़िगरेशन फ़ाइल स्कैन से tests/ और docs/ निर्देशिकाओं को बाहर करती है, B101 परीक्षण (जो एसेर्ट स्टेटमेंट के उपयोग की जांच करता है) को छोड़ देती है, B603 परीक्षण के आत्मविश्वास स्तर को मध्यम में समायोजित करती है, और B105 परीक्षण के गंभीरता स्तर को निम्न में समायोजित करती है।

अपने CI/CD पाइपलाइन में बैंडिट को एकीकृत करना

अपने पायथन कोड की सुरक्षा सुनिश्चित करने में अपने CI/CD पाइपलाइन में बैंडिट को एकीकृत करना एक महत्वपूर्ण कदम है। हर कोड परिवर्तन पर बैंडिट को स्वचालित रूप से चलाकर, आप सुरक्षा कमजोरियों को शुरुआती दौर में पकड़ सकते हैं और उन्हें उत्पादन तक पहुंचने से रोक सकते हैं।

यहां बताया गया है कि GitLab CI/CD पाइपलाइन में बैंडिट को कैसे एकीकृत किया जाए:

            stages:
  - test

bandit:
  image: python:3.9
  stage: test
  before_script:
    - pip install bandit
  script:
    - bandit -r .
  artifacts:
    reports:
      bandit: bandit.report
            

              
                Copy
              
            
          

यह कॉन्फ़िगरेशन एक bandit जॉब को परिभाषित करता है जो वर्तमान निर्देशिका पर बैंडिट चलाता है। जॉब पायथन 3.9 डॉकर इमेज का उपयोग करता है और पिप का उपयोग करके बैंडिट स्थापित करता है। bandit -r . कमांड वर्तमान निर्देशिका में सभी पायथन फ़ाइलों पर पुनरावर्ती रूप से बैंडिट चलाता है। artifacts सेक्शन निर्दिष्ट करता है कि बैंडिट रिपोर्ट को एक आर्टिफैक्ट के रूप में सहेजा जाना चाहिए, जिसे डाउनलोड और समीक्षा की जा सकती है।

समान कॉन्फ़िगरेशन अन्य CI/CD प्लेटफार्मों, जैसे जेन्किंस, सर्कलसीआई, और GitHub एक्शन के लिए बनाए जा सकते हैं।

बैंडिट से परे: व्यापक सुरक्षा रणनीतियाँ

जबकि बैंडिट संभावित सुरक्षा कमजोरियों की पहचान करने के लिए एक मूल्यवान उपकरण है, यह याद रखना महत्वपूर्ण है कि यह एक व्यापक सुरक्षा रणनीति का सिर्फ एक हिस्सा है। अन्य महत्वपूर्ण सुरक्षा प्रथाओं में शामिल हैं:

• सुरक्षित कोडिंग प्रथाएं: कमजोरियों को अपने कोड में पेश करने के जोखिम को कम करने के लिए सुरक्षित कोडिंग दिशानिर्देशों और सर्वोत्तम प्रथाओं का पालन करें।
• नियमित सुरक्षा ऑडिट: अपने एप्लिकेशन में संभावित सुरक्षा कमजोरियों की पहचान करने और उन्हें संबोधित करने के लिए नियमित सुरक्षा ऑडिट आयोजित करें।
• पेनेट्रेशन टेस्टिंग: वास्तविक दुनिया के हमलों का अनुकरण करने और उन कमजोरियों की पहचान करने के लिए भेदन परीक्षण करें जिन्हें बैंडिट जैसे स्थिर विश्लेषण टूल द्वारा पता नहीं लगाया जा सकता है।
• भेद्यता प्रबंधन: अपने सॉफ़्टवेयर और बुनियादी ढांचे में कमजोरियों को ट्रैक और ठीक करने के लिए एक भेद्यता प्रबंधन कार्यक्रम लागू करें।
• निर्भरता प्रबंधन: तीसरे पक्ष की लाइब्रेरी में ज्ञात कमजोरियों को पैच करने के लिए अपनी निर्भरता को अद्यतित रखें। `pip-audit` और `safety` जैसे उपकरण इसमें मदद कर सकते हैं।
• इनपुट सत्यापन और सैनिटाइजेशन: इंजेक्शन हमलों और अन्य इनपुट-संबंधित कमजोरियों को रोकने के लिए हमेशा उपयोगकर्ता इनपुट को मान्य और साफ़ करें।
• प्रमाणीकरण और प्राधिकरण: संवेदनशील डेटा और संसाधनों को सुरक्षित करने के लिए मजबूत प्रमाणीकरण और प्राधिकरण तंत्र लागू करें।
• सुरक्षा जागरूकता प्रशिक्षण: अपने डेवलपर्स और अन्य कर्मचारियों को सामान्य सुरक्षा खतरों और सर्वोत्तम प्रथाओं के बारे में शिक्षित करने के लिए सुरक्षा जागरूकता प्रशिक्षण प्रदान करें।

निष्कर्ष

बैंडिट पायथन कोड में सुरक्षा कमजोरियों की पहचान करने और कम करने के लिए एक मूल्यवान उपकरण है। अपने विकास वर्कफ़्लो में बैंडिट को एकीकृत करके, आप अपने अनुप्रयोगों की सुरक्षा में सुधार कर सकते हैं और सामान्य सुरक्षा खतरों से सुरक्षा कर सकते हैं। हालाँकि, यह याद रखना महत्वपूर्ण है कि बैंडिट एक व्यापक सुरक्षा रणनीति का सिर्फ एक हिस्सा है। सुरक्षित कोडिंग प्रथाओं का पालन करके, नियमित सुरक्षा ऑडिट आयोजित करके, और अन्य सुरक्षा उपायों को लागू करके, आप एक अधिक सुरक्षित और लचीला सॉफ्टवेयर वातावरण बना सकते हैं।

संसाधन

• बैंडिट दस्तावेज़
• OWASP (ओपन वेब एप्लिकेशन सुरक्षा परियोजना)
• PyPI पर बैंडिट