Bandit Security Linting: Identifikácia a zmiernenie bezpečnostných zraniteľností v Pythone

V dnešnom komplexnom prostredí kybernetickej bezpečnosti sú proaktívne bezpečnostné opatrenia prvoradé. Python, známy svojou všestrannosťou a jednoduchosťou použitia, je populárnou voľbou pre rôzne aplikácie. Avšak, ako každý programovací jazyk, aj kód v Pythone môže byť náchylný na bezpečnostné zraniteľnosti. Tu prichádza na rad Bandit – výkonný nástroj na bezpečnostný linting, navrhnutý na automatické identifikovanie potenciálnych bezpečnostných chýb vo vašom kóde v Pythone.

Čo je Bandit?

Bandit je open-source bezpečnostný linter špeciálne navrhnutý pre Python. Funguje tak, že skenuje kód v Pythone na bežné bezpečnostné problémy, pričom využíva komplexnú sadu pluginov na identifikáciu potenciálnych zraniteľností. Predstavte si ho ako nástroj statickej analýzy, ktorý vám pomáha zachytiť bezpečnostné problémy už v počiatočných fázach vývojového cyklu, predtým ako môžu byť zneužité v produkcii.

Bandit funguje tak, že parsuje kód v Pythone a vytvára abstraktný syntaktický strom (AST). Následne aplikuje sériu testov, založených na známych vzoroch zraniteľností, na tento AST. Keď sa nájde potenciálny bezpečnostný problém, Bandit ho nahlási s úrovňou závažnosti, úrovňou dôvery a podrobným popisom problému.

Prečo používať Bandit?

Integrácia Banditu do vášho vývojového workflow prináša niekoľko významných výhod:

• Včasná detekcia zraniteľností: Bandit vám pomáha identifikovať bezpečnostné zraniteľnosti už v počiatočnom štádiu vývojového procesu, čím znižuje náklady a úsilie potrebné na ich opravu neskôr.
• Zlepšená kvalita kódu: Vynucovaním bezpečných kódovacích postupov prispieva Bandit k celkovej kvalite a udržiavateľnosti kódu.
• Automatizované bezpečnostné audity: Bandit automatizuje proces bezpečnostného auditu, čím uľahčuje zabezpečenie, že váš kód dodržiava osvedčené bezpečnostné postupy.
• Pokrytie OWASP Top 10: Bandit zahŕňa testy, ktoré riešia mnohé zraniteľnosti uvedené v OWASP Top 10, čím pomáha chrániť pred bežnými bezpečnostnými rizikami webových aplikácií.
• Prispôsobiteľné pravidlá: Pravidlá Banditu si môžete prispôsobiť tak, aby vyhovovali vašim špecifickým bezpečnostným požiadavkám a kódovacím štandardom.
• Integrácia s CI/CD pipeline: Bandit sa dá ľahko integrovať do vašich CI/CD (Continuous Integration/Continuous Deployment) pipeline, čím sa zabezpečí, že bezpečnostné kontroly sa vykonávajú automaticky pri každej zmene kódu.

Začíname s Banditom

Tu je podrobný návod, ako začať s Banditom:

1. Inštalácia

Bandit môžete nainštalovať pomocou pip, inštalátora balíkov Pythonu:

            pip install bandit
            

              
                Copy
              
            
          

2. Spustenie Banditu

Ak chcete spustiť Bandit na vašom kóde v Pythone, použite nasledujúci príkaz:

            bandit -r <directory>
            

              
                Copy
              
            
          

Nahraďte <directory> adresárom obsahujúcim váš kód v Pythone. Príznak -r hovorí Banditu, aby rekurzívne skenoval všetky súbory Pythonu v zadanom adresári.

Môžete tiež zadať jednotlivé súbory:

            bandit <file1.py> <file2.py>
            

              
                Copy
              
            
          

3. Interpretácia výsledkov

Bandit vygeneruje správu, ktorá podrobne opisuje všetky potenciálne bezpečnostné zraniteľnosti nájdené vo vašom kóde. Každá zraniteľnosť je priradená úroveň závažnosti (napr. VYSOKÁ, STREDNÁ, NÍZKA) a úroveň dôvery (napr. VYSOKÁ, STREDNÁ, NÍZKA). Správa tiež obsahuje podrobný popis zraniteľnosti a riadok kódu, kde bola nájdená.

Príklad výstupu Banditu:

            ./example.py:10:0:B603  [blacklist] Use of subprocess.Popen with shell=True is known to be vulnerable to shell injection
	Severity: High   Confidence: High
	Location: ./example.py:10
--------------------------------------------------

            

              
                Copy
              
            
          

Tento výstup naznačuje, že Bandit našiel zraniteľnosť vysokej závažnosti v súbore example.py na riadku 10. Zraniteľnosť súvisí s použitím subprocess.Popen s shell=True, čo je známe ako náchylné na útoky vstrekovaním shellu.

Bežné bezpečnostné zraniteľnosti detegované Banditom

Bandit dokáže detegovať širokú škálu bežných bezpečnostných zraniteľností v kóde v Pythone. Tu sú niektoré príklady:

• Vstrekovanie shellu (B602, B603): Použitie subprocess.Popen alebo os.system s nedôveryhodným vstupom môže viesť k útokom vstrekovaním shellu.
• SQL Injection (B608): Konštruovanie SQL dotazov pomocou spájania reťazcov s údajmi poskytnutými používateľom môže vystaviť vašu aplikáciu útokom SQL injection.
• Hardkodované heslá (B105): Ukladanie hesiel priamo vo vašom kóde predstavuje závažné bezpečnostné riziko.
• Slabá kryptografia (B303, B304, B322): Použitie slabých alebo zastaraných kryptografických algoritmov môže ohroziť dôvernosť a integritu vašich údajov.
• Nezabezpečená deserializácia (B301, B401): Deserializácia údajov z nedôveryhodných zdrojov môže viesť k vykonaniu ľubovoľného kódu.
• XML External Entity (XXE) Injection (B405): Parsuvanie XML dokumentov z nedôveryhodných zdrojov bez správnej sanitácie môže vystaviť vašu aplikáciu útokom XXE injection.
• Zraniteľnosti formátovacích reťazcov (B323): Použitie údajov poskytnutých používateľom vo formátovacích reťazcoch bez správnej sanitácie môže viesť k zraniteľnostiam formátovacích reťazcov.
• Používanie `eval()` alebo `exec()` (B301): Tieto funkcie vykonávajú ľubovoľný kód a ich použitie s nedôveryhodným vstupom je mimoriadne nebezpečné.
• Nezabezpečené používanie dočasných súborov (B308): Vytváranie dočasných súborov na predvídateľnom mieste môže útočníkom umožniť prepísať alebo čítať citlivé údaje.
• Chýbajúce alebo nesprávne spracovanie chýb (B110): Nesprávne spracovanie výnimiek môže odhaliť citlivé informácie alebo viesť k útokom odmietnutia služby.

Príklad: Identifikácia a oprava zraniteľnosti vstrekovania shellu

Pozrime sa na jednoduchý príklad, ako vám Bandit môže pomôcť identifikovať a opraviť zraniteľnosť vstrekovania shellu.

Zoberme si nasledujúci kód v Pythone:

            import subprocess
import os

def execute_command(command):
    subprocess.Popen(command, shell=True)

if __name__ == "__main__":
    user_input = input("Enter a command to execute: ")
    execute_command(user_input)

            

              
                Copy
              
            
          

Tento kód prijíma vstup od používateľa a vykonáva ho ako príkaz shellu pomocou subprocess.Popen s shell=True. Ide o klasický príklad zraniteľnosti vstrekovania shellu.

Spustenie Banditu na tomto kóde vytvorí nasledujúci výstup:

            ./example.py:4:0:B603  [blacklist] Use of subprocess.Popen with shell=True is known to be vulnerable to shell injection
	Severity: High   Confidence: High
	Location: ./example.py:4
--------------------------------------------------

            

              
                Copy
              
            
          

Bandit správne identifikuje použitie subprocess.Popen s shell=True ako zraniteľnosť vysokej závažnosti.

Na opravu tejto zraniteľnosti by ste sa mali vyhnúť použitiu shell=True a namiesto toho odovzdať príkaz a jeho argumenty ako zoznam funkcii subprocess.Popen. Mali by ste tiež sanitizovať používateľský vstup, aby ste zabránili vstrekovaniu škodlivých príkazov.

Tu je opravená verzia kódu:

            import subprocess
import shlex

def execute_command(command):
    # Sanitize the input using shlex.split to prevent shell injection
    command_list = shlex.split(command)
    subprocess.Popen(command_list)

if __name__ == "__main__":
    user_input = input("Enter a command to execute: ")
    execute_command(user_input)

            

              
                Copy
              
            
          

Použitím shlex.split na sanitizáciu používateľského vstupu a odovzdaním príkazu ako zoznamu funkcii subprocess.Popen môžete zmierniť riziko útokov vstrekovaním shellu.

Spustenie Banditu na opravenom kóde už nebude hlásiť zraniteľnosť vstrekovania shellu.

Konfigurácia Banditu

Bandit je možné konfigurovať pomocou konfiguračného súboru (bandit.yaml alebo .bandit) na prispôsobenie jeho správania. Konfiguračný súbor môžete použiť na:

• Vylúčenie súborov alebo adresárov: Uveďte súbory alebo adresáre, ktoré by mali byť vylúčené zo skenovania.
• Zakázanie špecifických testov: Zakážte testy, ktoré nie sú relevantné pre váš projekt.
• Úprava úrovní závažnosti: Zmeňte úrovne závažnosti konkrétnych zraniteľností.
• Definovanie vlastných pravidiel: Vytvorte si vlastné pravidlá na detekciu bezpečnostných problémov špecifických pre projekt.

Tu je príklad konfiguračného súboru bandit.yaml:

            exclude:
  - 'tests/'
  - 'docs/'

skips:
  - 'B101'

confidence_level:
  MEDIUM:
    - 'B603'

severity_level:
  LOW:
    - 'B105'

            

              
                Copy
              
            
          

Tento konfiguračný súbor vylučuje adresáre tests/ a docs/ zo skenovania, preskakuje test B101 (ktorý kontroluje použitie príkazov assert), upravuje úroveň dôvery testu B603 na STREDNÚ a upravuje úroveň závažnosti testu B105 na NÍZKU.

Integrácia Banditu do vášho CI/CD pipeline

Integrácia Banditu do vášho CI/CD pipeline je kľúčovým krokom k zaisteniu bezpečnosti vášho kódu v Pythone. Automatickým spustením Banditu pri každej zmene kódu môžete včas zachytiť bezpečnostné zraniteľnosti a zabrániť im dostať sa do produkcie.

Tu je príklad, ako integrovať Bandit do GitLab CI/CD pipeline:

            stages:
  - test

bandit:
  image: python:3.9
  stage: test
  before_script:
    - pip install bandit
  script:
    - bandit -r .
  artifacts:
    reports:
      bandit: bandit.report

            

              
                Copy
              
            
          

Táto konfigurácia definuje úlohu bandit, ktorá spúšťa Bandit v aktuálnom adresári. Úloha používa obraz Docker Python 3.9 a inštaluje Bandit pomocou pip. Príkaz bandit -r . spúšťa Bandit rekurzívne na všetkých súboroch Pythonu v aktuálnom adresári. Sekcia artifacts určuje, že správa Banditu by mala byť uložená ako artefakt, ktorý je možné stiahnuť a skontrolovať.

Podobné konfigurácie je možné vytvoriť aj pre iné CI/CD platformy, ako sú Jenkins, CircleCI a GitHub Actions.

Okrem Banditu: Komplexné bezpečnostné stratégie

Hoci je Bandit cenným nástrojom na identifikáciu potenciálnych bezpečnostných zraniteľností, je dôležité pamätať, že je len jednou časťou komplexnej bezpečnostnej stratégie. Medzi ďalšie dôležité bezpečnostné postupy patria:

• Bezpečné kódovacie postupy: Dodržiavajte bezpečné kódovacie usmernenia a osvedčené postupy, aby ste minimalizovali riziko zavedenia zraniteľností do vášho kódu.
• Pravidelné bezpečnostné audity: Vykonávajte pravidelné bezpečnostné audity na identifikáciu a riešenie potenciálnych bezpečnostných slabín vo vašej aplikácii.
• Penetračné testovanie: Vykonávajte penetračné testovanie na simuláciu reálnych útokov a identifikáciu zraniteľností, ktoré nemusia byť detegované nástrojmi statickej analýzy, ako je Bandit.
• Správa zraniteľností: Implementujte program správy zraniteľností na sledovanie a nápravu zraniteľností vo vašom softvéri a infraštruktúre.
• Správa závislostí: Udržujte svoje závislostí aktuálne, aby ste opravili známe zraniteľnosti v knižniciach tretích strán. Nástroje ako `pip-audit` a `safety` vám s tým môžu pomôcť.
• Validácia a sanitácia vstupu: Vždy validujte a sanitizujte používateľský vstup, aby ste predišli útokom vstrekovania a iným zraniteľnostiam súvisiacim so vstupom.
• Autentifikácia a autorizácia: Implementujte silné autentifikačné a autorizačné mechanizmy na ochranu citlivých údajov a zdrojov.
• Školenie o bezpečnostnom povedomí: Poskytujte školenia o bezpečnostnom povedomí svojim vývojárom a ostatným zamestnancom, aby ste ich vzdelávali o bežných bezpečnostných hrozbách a osvedčených postupoch.

Záver

Bandit je cenným nástrojom na identifikáciu a zmierňovanie bezpečnostných zraniteľností v kóde v Pythone. Integráciou Banditu do vášho vývojového workflow môžete zlepšiť bezpečnosť vašich aplikácií a chrániť sa pred bežnými bezpečnostnými hrozbami. Je však dôležité pamätať, že Bandit je len jednou časťou komplexnej bezpečnostnej stratégie. Dodržiavaním bezpečných kódovacích postupov, vykonávaním pravidelných bezpečnostných auditov a implementáciou ďalších bezpečnostných opatrení môžete vytvoriť bezpečnejšie a odolnejšie softvérové prostredie.

Zdroje

• Dokumentácia Banditu
• OWASP (Open Web Application Security Project)
• Bandit na PyPI