Bandit Security Linting: Prepoznavanje i ublažavanje sigurnosnih ranjivosti u Pythonu

U današnjem složenom krajoliku kibernetičke sigurnosti, proaktivne sigurnosne mjere su od najveće važnosti. Python, poznat po svojoj svestranosti i jednostavnosti korištenja, popularan je izbor za razne aplikacije. Međutim, kao i svaki programski jezik, Python kod može biti podložan sigurnosnim ranjivostima. Tu na scenu stupa Bandit – moćan alat za analizu sigurnosti dizajniran za automatsko identificiranje potencijalnih sigurnosnih propusta u vašem Python kodu.

Što je Bandit?

Bandit je alat za analizu sigurnosti otvorenog koda posebno dizajniran za Python. On skenira Python kod u potrazi za uobičajenim sigurnosnim problemima, koristeći sveobuhvatan skup dodataka za identifikaciju potencijalnih ranjivosti. Zamislite ga kao alat za statičku analizu koji vam pomaže uhvatiti sigurnosne probleme rano u životnom ciklusu razvoja, prije nego što se mogu iskoristiti u produkciji.

Bandit radi parsiranjem Python koda i izgradnjom apstraktnog stabla sintakse (AST). Zatim primjenjuje niz testova, temeljenih na poznatim obrascima ranjivosti, na AST. Kada se pronađe potencijalni sigurnosni problem, Bandit ga prijavljuje sa razinom ozbiljnosti, razinom pouzdanosti i detaljnim opisom problema.

Zašto koristiti Bandit?

Integracija Bandita u vaš razvojni tijek rada nudi nekoliko značajnih prednosti:

• Rano otkrivanje ranjivosti: Bandit vam pomaže identificirati sigurnosne ranjivosti rano u procesu razvoja, smanjujući troškove i napore potrebne za njihovo kasnije ispravljanje.
• Poboljšana kvaliteta koda: Provođenjem sigurnih praksi kodiranja, Bandit doprinosi ukupnoj kvaliteti i održivosti koda.
• Automatske sigurnosne revizije: Bandit automatizira proces sigurnosnih revizija, čineći lakšim osigurati da vaš kod bude u skladu s najboljim sigurnosnim praksama.
• Pokrivenost OWASP Top 10: Bandit uključuje testove koji se bave mnogim ranjivostima navedenim u OWASP Top 10, pomažući vam da se zaštitite od uobičajenih rizika sigurnosti web aplikacija.
• Prilagodljiva pravila: Možete prilagoditi Banditova pravila kako bi odgovarala vašim specifičnim sigurnosnim zahtjevima i standardima kodiranja.
• Integracija s CI/CD cijevima: Bandit se lako može integrirati u vaše CI/CD (Continuous Integration/Continuous Deployment) cijevi, osiguravajući da se sigurnosne provjere automatski izvode na svaku promjenu koda.

Početak rada s Banditom

Evo vodiča korak po korak za početak rada s Banditom:

1. Instalacija

Bandit možete instalirati pomoću pip-a, Python instalatera paketa:

            pip install bandit
            

              
                Copy
              
            
          

2. Pokretanje Bandita

Da biste pokrenuli Bandit na svom Python kodu, koristite sljedeću naredbu:

            bandit -r <directory>
            

              
                Copy
              
            
          

Zamijenite <directory> s direktorijem koji sadrži vaš Python kod. Zastavica -r govori Banditu da rekurzivno skenira sve Python datoteke u navedenom direktoriju.

Također možete specificirati pojedinačne datoteke:

            bandit <file1.py> <file2.py>
            

              
                Copy
              
            
          

3. Tumačenje rezultata

Bandit će izvući izvješće koje detaljno opisuje sve potencijalne sigurnosne ranjivosti pronađene u vašem kodu. Svakoj ranjivosti dodjeljuje se razina ozbiljnosti (npr. HIGH, MEDIUM, LOW) i razina pouzdanosti (npr. HIGH, MEDIUM, LOW). Izvješće također uključuje detaljan opis ranjivosti i redak koda gdje je pronađena.

Primjer Banditovog izlaza:

            ./example.py:10:0:B603  [blacklist] Use of subprocess.Popen with shell=True is known to be vulnerable to shell injection
	Severity: High   Confidence: High
	Location: ./example.py:10
--------------------------------------------------

            

              
                Copy
              
            
          

Ovaj izlaz ukazuje da je Bandit pronašao ranjivost visoke ozbiljnosti u datoteci example.py na retku 10. Ranljivost je povezana s korištenjem subprocess.Popen s shell=True, za što je poznato da je podložno napadima ubrizgavanja ljuske (shell injection).

Uobičajene sigurnosne ranjivosti koje Bandit otkriva

Bandit može otkriti širok spektar uobičajenih sigurnosnih ranjivosti u Python kodu. Evo nekih primjera:

• Shell Injection (B602, B603): Korištenje subprocess.Popen ili os.system s nepouzdanim ulaznim podacima može dovesti do napada ubrizgavanja ljuske.
• SQL Injection (B608): Konstruiranje SQL upita pomoću konkatenacije nizova s podacima koje je unio korisnik može izložiti vašu aplikaciju SQL napadima.
• Tvrdokodirani lozinke (B105): Pohranjivanje lozinki izravno u vašem kodu predstavlja veliki sigurnosni rizik.
• Slabo šifriranje (B303, B304, B322): Korištenje slabih ili zastarjelih kriptografskih algoritama može ugroziti povjerljivost i integritet vaših podataka.
• Nesigurna deserializacija (B301, B401): Deserializacija podataka iz nepouzdanih izvora može dovesti do izvršavanja proizvoljnog koda.
• XML External Entity (XXE) Injection (B405): Parsiranje XML dokumenata iz nepouzdanih izvora bez odgovarajućeg sanitiziranja može izložiti vašu aplikaciju XXE napadima.
• Ranjivosti formatnih nizova (B323): Korištenje korisničkih podataka u formatnim nizovima bez odgovarajućeg sanitiziranja može dovesti do ranjivosti formatnih nizova.
• Korištenje `eval()` ili `exec()` (B301): Ove funkcije izvršavaju proizvoljni kod, a njihovo korištenje s nepouzdanim ulaznim podacima je izuzetno opasno.
• Nesigurno korištenje privremenih datoteka (B308): Stvaranje privremenih datoteka na predvidivoj lokaciji može omogućiti napadačima prepisivanje ili čitanje osjetljivih podataka.
• Nedostajuće ili netočno rukovanje pogreškama (B110): Nepravilno rukovanje iznimkama može otkriti osjetljive informacije ili dovesti do napada uskraćivanjem usluge (denial-of-service).

Primjer: Prepoznavanje i ispravljanje ranjivosti Shell Injection

Pogledajmo jednostavan primjer kako Bandit može pomoći u prepoznavanju i ispravljanju ranjivosti Shell Injection.

Razmotrite sljedeći Python kod:

            import subprocess
import os

def execute_command(command):
    subprocess.Popen(command, shell=True)

if __name__ == "__main__":
    user_input = input("Enter a command to execute: ")
    execute_command(user_input)

            

              
                Copy
              
            
          

Ovaj kod uzima unos korisnika i izvršava ga kao naredbu ljuske koristeći subprocess.Popen sa shell=True. Ovo je klasičan primjer ranjivosti Shell Injection.

Pokretanje Bandita na ovom kodu će dati sljedeći izlaz:

            ./example.py:4:0:B603  [blacklist] Use of subprocess.Popen with shell=True is known to be vulnerable to shell injection
	Severity: High   Confidence: High
	Location: ./example.py:4
--------------------------------------------------

            

              
                Copy
              
            
          

Bandit ispravno identificira korištenje subprocess.Popen sa shell=True kao ranjivost visoke ozbiljnosti.

Da biste ispravili ovu ranjivost, trebali biste izbjegavati korištenje shell=True i umjesto toga proslijediti naredbu i njezine argumente kao popis funkciji subprocess.Popen. Također biste trebali sanitizirati korisnički unos kako biste spriječili ubrizgavanje zlonamjernih naredbi.

Evo ispravljene verzije koda:

            import subprocess
import shlex

def execute_command(command):
    # Sanitize the input using shlex.split to prevent shell injection
    command_list = shlex.split(command)
    subprocess.Popen(command_list)

if __name__ == "__main__":
    user_input = input("Enter a command to execute: ")
    execute_command(user_input)

            

              
                Copy
              
            
          

Korištenjem shlex.split za sanitiziranje korisničkog unosa i proslijeđivanjem naredbe kao popisa funkciji subprocess.Popen, možete ublažiti rizik od Shell Injection napada.

Pokretanje Bandita na ispravljenom kodu više neće prijavljivati ranjivost Shell Injection.

Konfiguracija Bandita

Bandit se može konfigurirati pomoću konfiguracijske datoteke (bandit.yaml ili .bandit) kako bi se prilagodilo njegovo ponašanje. Konfiguracijsku datoteku možete koristiti za:

• Isključivanje datoteka ili direktorija: Navedite datoteke ili direktorije koji bi trebali biti isključeni iz skeniranja.
• Onemogućavanje određenih testova: Onemogućite testove koji nisu relevantni za vaš projekt.
• Prilagođavanje razina ozbiljnosti: Promijenite razine ozbiljnosti određenih ranjivosti.
• Definiranje prilagođenih pravila: Stvorite vlastita prilagođena pravila za otkrivanje sigurnosnih problema specifičnih za projekt.

Evo primjera konfiguracijske datoteke bandit.yaml:

            exclude:
  - 'tests/'
  - 'docs/'

skips:
  - 'B101'

confidence_level:
  MEDIUM:
    - 'B603'

severity_level:
  LOW:
    - 'B105'

            

              
                Copy
              
            
          

Ova konfiguracijska datoteka isključuje direktorije tests/ i docs/ iz skeniranja, preskače test B101 (koji provjerava korištenje assert izjava), prilagođava razinu pouzdanosti testa B603 na MEDIUM, i prilagođava razinu ozbiljnosti testa B105 na LOW.

Integracija Bandita u vaš CI/CD cijev

Integracija Bandita u vaš CI/CD cijev je ključan korak u osiguravanju sigurnosti vašeg Python koda. Automatskim pokretanjem Bandita na svaku promjenu koda, možete uhvatiti sigurnosne ranjivosti rano i spriječiti ih da dođu do produkcije.

Evo primjera kako integrirati Bandit u GitLab CI/CD cijev:

            stages:
  - test

bandit:
  image: python:3.9
  stage: test
  before_script:
    - pip install bandit
  script:
    - bandit -r .
  artifacts:
    reports:
      bandit: bandit.report

            

              
                Copy
              
            
          

Ova konfiguracija definira bandit posao koji pokreće Bandit na trenutnom direktoriju. Posao koristi Docker sliku Pythona 3.9 i instalira Bandit pomoću pip-a. Naredba bandit -r . pokreće Bandit rekurzivno na svim Python datotekama u trenutnom direktoriju. Odjeljak artifacts specificira da se izvješće Bandita spremi kao artefakt, koji se može preuzeti i pregledati.

Slične konfiguracije mogu se stvoriti za druge CI/CD platforme, kao što su Jenkins, CircleCI i GitHub Actions.

Iznad Bandita: Sveobuhvatne sigurnosne strategije

Iako je Bandit vrijedan alat za identificiranje potencijalnih sigurnosnih ranjivosti, važno je zapamtiti da je to samo jedan dio sveobuhvatne sigurnosne strategije. Ostale važne sigurnosne prakse uključuju:

• Sigurne prakse kodiranja: Slijedite smjernice i najbolje prakse za sigurno kodiranje kako biste smanjili rizik od uvođenja ranjivosti u vaš kod.
• Redovite sigurnosne revizije: Provodite redovite sigurnosne revizije kako biste identificirali i riješili potencijalne sigurnosne slabosti u vašoj aplikaciji.
• Penetracijsko testiranje: Izvodite penetracijsko testiranje kako biste simulirali stvarne napade i identificirali ranjivosti koje možda neće otkriti alati za statičku analizu poput Bandita.
• Upravljanje ranjivostima: Implementirajte program upravljanja ranjivostima za praćenje i uklanjanje ranjivosti u vašem softveru i infrastrukturi.
• Upravljanje ovisnostima: Održavajte svoje ovisnosti ažuriranima kako biste zakrpali poznate ranjivosti u knjižnicama trećih strana. Alati poput pip-audit i safety mogu pomoći u tome.
• Validacija i sanitizacija ulaznih podataka: Uvijek validirajte i sanitizirajte korisnički unos kako biste spriječili napade ubrizgavanjem i druge ranjivosti povezane s ulaznim podacima.
• Autentifikacija i autorizacija: Implementirajte jake mehanizme autentifikacije i autorizacije za zaštitu osjetljivih podataka i resursa.
• Obuka o sigurnosnoj osviještenosti: Pružite obuku o sigurnosnoj osviještenosti svojim programerima i drugim zaposlenicima kako biste ih educirali o uobičajenim sigurnosnim prijetnjama i najboljim praksama.

Zaključak

Bandit je vrijedan alat za identificiranje i ublažavanje sigurnosnih ranjivosti u Python kodu. Integriranjem Bandita u vaš razvojni tijek rada, možete poboljšati sigurnost svojih aplikacija i zaštititi se od uobičajenih sigurnosnih prijetnji. Međutim, važno je zapamtiti da je Bandit samo jedan dio sveobuhvatne sigurnosne strategije. Slijedeći sigurne prakse kodiranja, provodeći redovite sigurnosne revizije i implementirajući druge sigurnosne mjere, možete stvoriti sigurnije i otpornije softversko okruženje.

Resursi

• Bandit Dokumentacija
• OWASP (Open Web Application Security Project)
• Bandit na PyPI