'보안/시큐어코딩'에 해당되는 글 170건

WebGoat 8 설치 및 실행방법은 

(1) Docker를 사용해서,

(2) maven을 사용해서 springboot으로 빌더 해서 사용한다.

여기서는 maven을 사용해서 빌더해서 사용하는 방법으로 실행 보자.

STEP-1.  JAVA 8 설치

기본적으로 칼리 리눅스(2017.1 이후버전은) 는 Java 8이 설치되어 있다. 

확인해 보자.

STEP-2.  maven 설치 

칼리에는 기본적으로 메이븐이 설치되어 있지 않아서 Apache Maven을 다운로드 받아서 설치한다. 

다운로드 링크: https://maven.apache.org/download.cgi

apache-maven-3.6.0-bin.tar.gz 다운로드 한다.

STEP-3. Git 설치

칼리 리눅스는 기본적으로 Git이 설치 되어 있다.

STEP-4. WebGoat 설치

칼리 리눅스는 기본적으로 Git이 설치 되어 있다.

메이븐으로 WebGoat 서버를 빌드한다.(시간이 꽤 걸림..)

STEP-5. 브라우저로 WebGoat 서버에 접속

서버가 정상적으로 구동되었다면 이제 브라우저에서 서버로 접속해 보자 

[참고] 서버의 IP를 변경하려면 

 WebGoat/webgoat-container/src/main/resources/

 application.properties 파일에서 다음과 같이 변경한다.

로그인화면에서 [Register new user]를 클릭해서 새로운 계정을 만들어서 로그인 한다.

설치와 실행이 끝이 났네요.

자 이제 열심히 웹 취약점을 학습해 보아요~~~ ^^

Canonicalization 은 때로는 Stnadardization 또는 Normalization이라고도 합니다.

정규화 표준화라고 번역되는데 CERT SecureCoding Standard 에서는 Canonicalization과 Normalization을 같으면서도 약간은 다르다고 설명합니다. 

일단 CERT SecureCoding Standard에서는 다음과 같이 정의하고 있습니다.

"Canonicalization is the process of lossess reduction of the input to its equivalent simplest known form."

--> 알려진 가장 심플한 형식으로 입력데이터 손실없이 줄이는 것이다. 

"Normalization is the process fo lossy conversion of input data to simplest known ( and anticipated) form."

--> 알려진 가장 심플한 형식으로 입력데이터 손실이 있더라도 변환하는 것이다.

그런데 우리는 그냥 정규화라는 한 단어로 같이 사용하기도 합니다.

예를들어서 다음과 같은 파일명이 입력값으로 들어오는 경우

a/../b/./c.txt 

Canonicalize 에서는 b/c.txt

Normalize에서는     c:\home/test/c.txt  

가장 심플한 형식으로 줄이거나 변환해서 사용하는 것을 정규화라는 단어로 설명합니다.

정규화는 신뢰되지 않은 외부에서 입력되는 데이터에 대해 해당 프로그램이 식별해서 사용하기 가장 단순한 형식으로 데이터를 변환하는 작업입니다. 이 작업이 제대로 수행되지 않아 침해사고가 빈번하게 발생됩니다.

파일명이나, 유니코드, URL, XML 이러한 입력값들은 인증이나 인가를 우회하기 위해 조작된 값으로 애플리케이션에게 값이 전달되는 경우가 많습니다. 

안전하게 외부 입력값을 처리하려면 외부입력값에 대한 적절한 정규화가 적용되는것이 사전 요구사항입니다.

위키의 링크입니다. 파일명이나, 유니코드, URL, XML에 대한 정규화에 대한 설명이 잘되어 있네요. 참고하세요.

https://en.wikipedia.org/wiki/Canonicalization

KISIA 사전설문 

설문지 링크:

https://goo.gl/forms/m6MY7QFPgPRFQC4u2

BSIMM은 무엇?

소프트웨어 보안의 측도 BSIMM(Building Security In Maturity Model)

소프트웨어가 안전한가? 안전하다면 얼마나 안전한 걸까? 에대해 많은 이들은 수치화 하여 보여 주기를 원한다. 이 요구사항을 충족시켜주는 보안 활동중의 하나가 BSIMM(비심이라고 읽으면 됨) 이라고 볼수 있다.  BSIMM은 단순 관찰과 보고 기능만 수행하는 소프트웨어 보안의 측도라고 할 수 있다.

BSIMM은 수년에 걸친 78개 기업(금융서비스-33, 독립소프트웨어 공급업체-27, 가전제품-13, 의료-10 일부중첩된 경우도 있음)들로 부터 얻은 데이터를 분석한 실제 소프트웨어 보안 계획에 대한 연구결과이며, 서로 다른 기관들의 실천과제를 수량화하여 다수의 기관들에서 나타나는 일반적인 근거와 각각의 기관들의 고유한 계획을 측정한 것이다.  

즉 BSIMM은 소프트웨어 보안의 "현재상황"을 수치화해서 보여주는 것이다.

2008년 첫번째 버전부터 시작해서 현재 6번째 버전인 BSIMM6을 적용하고 있다. 어떤 기술이든 용어에 대한 정의가 중요하다. 이 문서가 무엇을 말하고 있는지 어떻게 이해해야 하는지에 대한 정의이기 때문이다.

BSIMM 에서 사용하는 용어

SSG(소프트웨어 보안 그룹): 소프트웨어 보안을 실행하고 원활하게 진행되도록 전담하는 인력들이다. 아마도 보안 계획의 첫번째 단계는 우수한 SSG를 구성하는 것이다.

SSF(소프트웨어 보안 프레임워크): 소프트웨어 보안활동의 기본 틀이다. BSIMM은  4개도메인에 12개의 실천과제로 구성된 프레임워크를 사용한다.

SSDL(시큐어 소프트웨어 개발 생명주기): 통합 소프트웨어 보안 체크 포인트 및 활동이 포함된 모든 소프트웨어 개발 생명주기를 의미한다.

SDL(시큐어 개발 생명주기): 마이크로소프트에서 자사의 소프트웨어를 안전하게 개발하기 위해 적용한 개발방법론이다.

활동 : 실천과제의 일환으로 SSG에서 수행하거나 진행시키는 활동

실천과제 : BSIMM의 SSF는 4개의 도메인으로 구성되고,  

              각 도메인은 3가지의 실천과제로 구성되어 있다.

도메인 : 관리, 정보, SSDL 접점 및 전개로 나뉜다.

BSIMM6의 구조

4도메인, 12개의 실천과제로 구성 되어 있다.

Goverance : 소프트웨어 보안 계획의 구성 및 관리, 측정  관련 활동.

                 인력개발도 주요 실천과제중의 하나이다.

Intelligence : 조직전반에서 소프트웨어 보안 활동을 수행하는데 사용된 기업정보 수집관련 활동 

                 선제적 보안지침과 조직 위협모델링이 포함된다. 

SSDL Touchpoints : 특정소프트웨어 개발 산출물 및 프로세스의 분석, 보증 관련된 활동 

                 모든 소프트웨어 보안 방법에는 이 실천과제들이 포함 된다.

Deployment : 네트워크 보안 및 소프트웨어 유지보수 조직과 소통 관련 활동

                 소프트웨어 보안에 직접적인 영향을 미치는 소프트웨어 구성 및 유지보수, 기타 환경문제가 포함 된다.

BSIMM7.PDF(영문) 다운로드 :   BSIMM7.pdf

BSIMM6.PDF(한글) 다운로드 :   eNsecure_BSIMM6_kor.pdf

Securing AngularJS Applications

Benelus_day_20161125_S_Lekies_Securing_AngularJS_Applications.pd

AngularJS 및 MongoDB의 악용 및 완화를 위한 시큐어코딩

AppSecIL_2014_In-Secure_Mongo_And_Angular_Code_-_Israel_Chorzevs

AngularJS 보안 문서 사이트

https://docs.angularjs.org/guide/security

Node Hero의 11번째 시리즈로, Node.js 보안 튜토리얼로 가장 일반적인 공격 경로로 부터 애플리케이션 방어를 위한 방법을 설명하고 있다. 
원문: https://blog.risingstack.com/node-hero-node-js-security-tutorial/

규칙 1: eval을 사용하지 말것

'use strict'  
delete Object.prototype  
// TypeError
var obj = {  
    a: 1, 
    a: 2 
} 
// syntax error

var express = require('express')  
var helmet = require('helmet')

var app = express()

app.use(helmet())

규칙 7: 적절한 세션관리를 수행한다.

npm install -g retire

설치후 retire 명령을 실행하여 mod_modules 디렉토리 내의 모듈들의 취약점을 찾을 수 있다.

규칙 10:  Node Security Platform CLI로 사용하고 있는 module들을 감사한다.

npm install nsp --global  
# From inside your project directory
nsp check

지속적인 코드품질관리 도구인 소나큐버 설치 및 사용법에 대해 잘 정리된 사이트네요. 참고하세요.

https://www.lesstif.com/pages/viewpage.action?pageId=39126262

또는

http://keichee.tistory.com/158

OWASP TOP 10 2017

잘정리된 XXE인젝션

https://beistlab.files.wordpress.com/2015/01/grayhash_intro_xxe.pdf

grayhash_intro_xxe.pdf

출처: 안랩

FindBugs와 FindSecurityBugs를 이용한 정적분석

FindBugs 설치 URL  http://findbugs.cs.umd.edu/eclipse

FindSecurityBugs 다운로드 URL  

http://h3xstream.github.io/find-sec-bugs/download.htm

 findsecbugs-plugin-1.5.0.jar

FindBugs는 자바 바이트 코드(byte code)를 분석하여 버그 패턴을 발견하는 정적분석 공개소프트웨어이다(GNU LGPL 라이센스를 적용). 미국의 Maryland 대학에서 2006년에 개발하였으며 Java 프로그램에서 발생 가능한 100여개의 잠재적인 에러에 대해 4개등급( scariest, scary, troubling, concern)으로 구분하여 탐지하고, 그 결과를 XML 로 저장할 수 있도록 지원한다.

Linux, Windows, MacOSX 운영체제를 지원하며, GUI기반의 단독 실행(Stand alone) 응용프로그램 방식과 Eclipse, NetBeans, IntelliJ IDEA, Gradle, Hudson and Jenkins와 같은 IDE(통합개발환경)의 플러그인(Plug-in) 방식을 지원한다. FindBugs 설치를 위해서는 512MB 이상의 메모리와 Java 2 Standard Edition, 1.5 버전 이상이 요구되며, 공식 웹사이트(http://findbugs.sourceforge. net)에서 다운로드 받을 수 있다.

Bad practice, Correctness, Dodgy code, Experimental, Internationalization, Malicious code vulnerability, Multithreaded correctness, Performance, Security 등 9개 이상의 카테고리와 400개가 넘는 진단 규칙을 제공하며, 룰셋(ruleset)의 커스터마이징을 통해 각 기업의 소프트웨어를 진단하기위한 최적화를 수행할 수 있다.

  Find Bugs 3.0.1에서 제공하는 탐지유형

FindSecurityBugs는 자바 웹 어플리케이션에 대한 보안 감사를 지원하는 FindBugs 의 플러그인으로, Philippe Arteau에 의해 만들어졌다.

Spring-MVC, Struts, Tapestry 등 다양한 SW 개발 프레임워크와 Eclipse, IntelliJ, Android Studio, NetBeans등 통합개발환경(IDE)도구, Jenkins와 SonarQube와 같은 CI(Continuous integration) 도구에서 활용가능하다.

200개 이상의 시그니처를 활용하여 OWASP TOP 10과 CWE를 커버하는 78개의 버그패턴(Bug Pattern)을 탐지할 수 있으며, 공식 홈페이지(http://find-sec-bugs.github.io)를 통해 사용방법과 소프트웨어를 다운로드 받을 수 있다.

FindSecurityBugs 탐지 유형

files.zip

진단보고서양식_v1.docx

android_securecoding_en.pdf