SecureAssist Rulepack Configurator 利用ガイド Version 3.0 対応版パッケージのダウンロードルールパックの説明カスタムルールの作成

Size: px

Start display at page:

Download "SecureAssist Rulepack Configurator 利用ガイド Version 3.0 対応版パッケージのダウンロードルールパックの説明カスタムルールの作成"

やすもりこいまる
5 years ago
Views:

1 SecureAssist Rulepack Configurator 利用ガイド Version 3.0 対応版パッケージのダウンロードルールパックの説明カスタムルールの作成

2 目次 * 本資料について * Rulepack Configurator 概要 Rulepack Configurator とルールパックルールパックと IDE での表示問題検出の流れ * ルールパックの構成要素ルールパックの構成要素の一覧ソースプロパゲータールールフィルターガイダンス * 導入と起動パッケージのダウンロード Rulepack Configurator の起動 * カスタムルールパック作成作成するルールについて新規ルールパックの作成開始ソースの編集開始ソースのデータ入力と保存ルールパックファイルへの保存ガイダンスの編集開始ガイダンスの編集画面ルールの編集開始ルールのデータ入力と保存フィルターの編集開始フィルターのデータ入力と保存ルールパックファイルへの保存 ( 再掲 ) * カスタムルールパックの動作確認カスタムルールパックの読み込み動作例信頼できない入力元動作例重大度 High の問題とガイダンス動作確認後の配布 * お問い合わせ 2

3 本資料について本資料では SecureAssist Rulepack Configuratorに関する以下の範囲を取り扱いますパッケージのダウンロードと起動ルールパックについての説明カスタムルールの作成 3

4 SecureAssist Rulepack Configurator 概要 4

5 Rulepack Configurator 概要 Rulepack Configurator とルールパック Rulepack Configurator は SecureAssist がソースコードのスキャン時に使用するコードのパターンやその重大度関連するガイダンスを定義するために使用するツールです定義した内容はルールパックとしてファイルに保存されます作成したルールパックは Enterprise Portal を通じて Eclipse, IntelliJ IDEA, Visual Studio の各 IDE に配布することができます Enterprise Portal へのルールパックの登録については Enterprise Postal 導入ガイドをご参照ください Enterprise Portal 導入ガイドは hgps://secureassist.jp/downloads/enterpriseportal/ からダウンロードできます 5

6 Rulepack Configurator 概要ルールパックと IDE での表示ソースコードガイダンス Issue List ルールパックでの定義は IDE では次の場所に反映されますソースコード中の問題箇所の特定ソースコードでの重大度マークの種別 (High, Medium, Low) 表示 Issue List と Project Review での重大度と問題の種別の表示ガイダンスの表示内容 6

7 Rulepack Configurator 概要問題検出の流れ 01: package com.example; 02: 03: import java.sql.connection; 04: import java.sql.drivermanager; 05: import java.sql.resultset; 06: import java.sql.sqlexception; 07: import java.sql.statement; 08: import java.util.properties; 09: import java.util.logging.level; 10: import java.util.logging.logger; 11: import javax.servlet.http.httpservletrequest; 12: import com.example.utils; 13: 14: public class Example { 15: private final static String UPDATE_SQL = "SELECT name FROM users WHERE id = "; 16: 17: public String getusername(httpservletrequest request) { 18: final Properties props = Utils.loadProperties("properties.xml"); 19: final Logger logger = Logger.getLogger(props.getProperty("log_file")); 20: 21: String username = null; 22: StringBuffer query = new StringBuffer(); 23: query.append(update_sql); 24: query.append(request.getparameter("id")); 25: 26: try ( 27: Connection con = DriverManager.getConnection(props.getProperty("db_connection"), props); 28: Statement stmt = con.createstatement() 29: ) { 30: 31: ResultSet rs = stmt.executequery(query.tostring()); 32: username = rs.getstring(0); 33: 34: } catch (SQLException e) { 35: logger.log(level.severe, e.getmessage(), e); 36: } 37: 38: return username; 39: } 40: } 17 行目でメソッド getuaername は引数として HGpServletRequest を持ちますがこれは Web からの信頼できないデータとなりますこれを SecureAssist ではソース (Sources) と呼びます 24 行目でこの信頼できないデータは StringBuffer と組み合わせられます SecureAssist はここで信頼できないデータによる汚染を取り込んだと判定して重大度 Medium の問題として検出します SecureAssist では問題が発生する箇所をシンク (Sink) を呼びます 31 行目では StringBuffer#toString の呼び出しが先ほどの汚染を StringBuffer から String に伝達したと認識していますこの伝達を SecureAssist ではプロパゲーター (Propagator) と呼びますこの 31 行目ではさらに Statement#execteQuery に引数として先ほどの汚染された String を渡しているため重大度 High の問題として検出しますこのメソッドと引数のパターンと対応するガイダンスの定義を SecureAssit ではルール (Rules) と呼びますまた各ルールの重大度がどの段階に相当するかについての定義はフィルター (Filters) と呼びます 7

8 SecureAssist Rulepack Configurator ルールパックの構成要素 8

9 ルールパックの構成要素ルールパックの構成要素の一覧ルールパックは次の 5 つの要素から構成されていますソース (Sources) 信頼できないデータの入力元を定義しますプロパゲーター (Propagators) 信頼できないデータの伝搬を定義しますルール (Rules) 問題として指摘するコードのパターンを定義しますフィルター (Filters) ルールごとの重大度や複数のルールからなるカテゴリを定義しますガイダンス (Guidances) ユーザーへのガイダンスを定義します 9

10 ルールパックの構成要素ソースソースでは信頼できないデータの入力元を対応する言語 (php, java, cs, vb) 信頼できないデータの入力元の種別 (WEB, DB, FILE, PRIVATE) 対応するクラスやメソッドによって定義します実際のデフォルトルールパックでの記述を例に説明します <Source lang="java" taint="db"> <QualifiedName extends="false"><![cdata[java.sql.resultset]]></qualifiedname> <Method><![CDATA[(getString getobject)\b]]></method> </Source> Source の属性である lang="java" は Java 言語のための記述であること taint="db" はデータベースが入力元であることを定義していますそして Source の要素である QualifiedName と Method ではそのコードが具体的にクラス java.sql.resultset のメソッド getstring と getobject であることを定義していますこれにより Java のソースコードに出現する java.sql.resultset クラスの getstring と getobject が返す値はデータベースからの信頼できないデータであると SecureAssist が認識します 10

11 ルールパックの構成要素プロパゲータープロパゲーターでは信頼できないデータがメソッドの呼び出しで伝搬していく状態を追跡するための情報を定義します実際のデフォルトルールパックでの記述を例に説明します <PropagamonRule lang="java" ruleid="java_propagator_007"> <QualifiedName><![CDATA[\bjava.lang.String\b]]></QualifiedName> <Method><![CDATA[\bsubstring\b]]></Method> <Propagate> <ReturnValue> <Caller>true</Caller> </ReturnValue> </Propagate> </PropagamonRule> PropagamonRule の属性である lang="java" はこれが Java 言語のための記述であることを定義していますそして PropagamonRule の要素である QualifiedName と Method ではそのコードが具体的にクラス java.lang.string のメソッド substring であることを定義していますこれにより Java のソースコードに出現する java.lang.string クラスの substring に信頼できない文字列データを渡した場合その戻り値もまた信頼できないデータであると SecureAssist が認識します 11

12 ルールパックの構成要素ルールルールでは問題として指摘するプログラムの呼び出しのパターンを定義します実際のデフォルトルールパックでの記述を例に説明します <Rule id="cigital-sql-002" lang="java"> <Category>Query Injecmon</Category> <Title>SQL Injecmon</Title> <Descripmon>Idenmfies dangerous method calls of the java.sql.statement class where tainted data was used to build the query to be executed.</descripmon> <Match> <QualifiedName><![CDATA[java.sql.Statement]]></QualifiedName> <Method><![CDATA[(executeQuery executeupdate execute addbatch)\b]]></method> <Arguments><Argument> <Index>0</Index> <Taint><Type>UNTRUSTED</Type></Taint> </Argument></Arguments> </Match> <Standards><Standard file="about-sql-injecmon.xml"><context>j2ee</context></standard></standards> </Rule> Rule の属性である lang="java" はこれが Java 言語のための記述であることを定義していますそして Rule の要素である Match 内の QualifiedName と Method での記述はクラス java.sql.statement の executequery executeupdate などのメソッド呼び出しであることを Arguments による記述は引数として引数として信頼できないデータを受け取ることを定義していますこれにより Java のソースコードに出現する java.lang.statement クラスの executequery や executeupdate などに信頼できないデータを引数として渡した場合このルールにマッチすると SecureAssist が認識しますまた Standards 内ではこのルールに対応するガイダンスとの紐付けを行っています 12

13 ルールパックの詳細フィルターフィルターでは各ルールを IDE 上での表示について定義します実際のデフォルトルールパックでの記述を例に説明します <Problem name="sql Injecmon"> <Rules> <Rule id="cigital-sql-001" acmve="true" importance="medium" markershow="true"/> <Rule id="cigital-sql-002" acmve="true" importance="high" markershow="true"/> <Rule id="cigital-sql-003" acmve="true" importance="high" markershow="true"/> <Rule acmve="true" id="cigital-java-spring-jdbc" importance="high" markershow="true"/> <Rule acmve="true" id="cigital-hibernate-01" importance="high" markershow="true"/> <Rule acmve="true" id="cigital-hibernate-02" importance="high" markershow="true"/> <Rule acmve="true" id="cigital-java-spring-jdbc-01" importance="high" markershow="true"/> <Rule acmve="true" id="cigital-java-spring-orm-jdo-01" importance="high" markershow="true"/> <Rule acmve="true" id="cigital-java-spring-orm-hibernate-01" importance="high" markershow="true"/> <Rule acmve="true" id="cigital-java-spring-orm-jpa-01" importance="high" markershow="true"/> <Rule acmve="true" id="cigital-java-javax-persistence" importance="high" markershow="true"/> </Rules> </Problem> Problem の属性である name="sql Injecmon" はこの Problem の要素である Rule が SQL Injecmon というグループに含まれることを定義しています各 Rule の各属性は次の内容を表しています id は先のルールで定義したidに対応しています acmve はこのフィルターの有効無効を定義しています importance はこのルールの重大度を定義しています markershow はソースファイル中でこのルールのアイコンを表示非表示を定義しています 13

14 ルールパックの構成要素ガイダンスガイダンスはルールに対応する説明内容を定義しますタイトルと説明対応の仕方ソースコードの良い例と悪い例関連するリファレンスなどをここで定義しています 14

15 SecureAssist Rulepack Configurator 導入と起動 15

16 導入と起動パッケージのダウンロード SecureAssist の Web サイトの Download ページに最新版の Rulepack Configurator のダウンロードリンクがありますここにある zip ファイルをダウンロードしたあと適切なディレクトリに展開します SecureAssist Web サイト hgps://secureassist.jp SecureAssist Rulepack Configurator Download ページ hgps://secureassist.jp/downloads/enterpriseportal/ 16

17 導入と起動 Rulepack Configurator の起動ダウンロードした zip ファイルを展開した中にある Rulepack.exe を実行すると Rulepack Configurator が起動します起動時は JDK のインストールされたフォルダーを選択するダイアログが表示されますここで選択後に OK ボタンをクリックすると次回起動時からはこのダイアログは表示されません JDK の場所を選択 Rulepack Configurator が起動 Rulepack.exe を実行 17

18 SecureAssist Rulepack Configurator カスタムルールパック作成 18

19 カスタムルールパック作成作成するルールについてオリジナルのクラスとメッソドに対して次の内容でカスタムルールを作成する例を紹介します 1. 信頼できないデータの入力元となるメソッドの定義 com.example.umls のメソッド getenvironments() と getsysteminfromamon() を信頼できないデータの入力元として定義しますソースがこれに対応します 2. 引数として信頼できないデータを受け取った時に High の問題として検出する定義 com.example.umls のメソッド writecommand() と executecommand() を信頼できないデータを受け取った時に High の問題として検出するように定義して対応するガイダンスを用意しますガイダンスルールフィルターがこれに対応します 19

Rulepack を選択して既存のルールパックを開きますツリー表示された Custom 以下が

20 カスタムルールパック作成新規ルールパックの作成開始 File の New Rulepack を選択して新規ルールパッックの作成を開始します既存のルールパックへのルールの追加や更新を行う場合は File の Open Rulepack を選択して既存のルールパックを開きますツリー表示された Custom 以下がカスタムルールで編集できる範囲となります SecureAssist のデフォルトルールパックを読み込んだ場合は Default 以下にその内容が表示されます 20

21 カスタムルールパック作成ソースの編集開始右クリックメニューの New の New Sources を選択しますダイアログの File Name を入力して Create ボタンをクリックするとソースの編集画面が表示されますソースの編集画面 example-sources 21

22 カスタムルールパック作成ソースの編集画面 Design Source ソースの編集画面の表示は Design と Source の 2 種類を切り替えることができます Design では右クリックメニューで要素や属性を選択しながら編集することができます Source ではテキストを直接編集することができます右クリックメニューで編集 22

カスタムルールパック作成ソースのデータ入力と保存データを入力 <?xml version="1.0" encoding="utf-8"?> <Sources xmlns:xsi="hgp://www.w3.org/2001/xmlschema-instance" xsdversion="2.3.6" xsi:nonamespaceschemalocamon=".

$[CDATA[(getEnvironments getsysteminformamon)\b]]></method> </Source> </Sources> ソースのデータを入力して File の Save を実行します Save をすることで Save Rulepack$

23 カスタムルールパック作成ソースのデータ入力と保存データを入力 <?xml version="1.0" encoding="utf-8"?> <Sources xmlns:xsi="hgp:// xsdversion="2.3.6" xsi:nonamespaceschemalocamon="../../schemas/sources_2_3_6.xsd"> <Source lang="java" taint="web"> <QualifiedName><![CDATA[com.example.Umls]]></QualifiedName> <Method><![CDATA[(getEnvironments getsysteminformamon)\b]]></method> </Source> </Sources> ソースのデータを入力して File の Save を実行します Save をすることで Save Rulepack でルールパックのファイルに書き出す対象となります Save をしていない内容は Save Rulepack でルールパックのファイルに書き出す対象となりません File の Save を実行ここでの Save は編集内容を確定するという意味になります編集内容をファイルに書き出す場合は Save 後に Save Rulepack を実行してください 23

24 カスタムルールパック作成ルールパックファイルへの保存ルールパックファイルに保存するため File の Save Rulepack を選択します 2. ダイアログの Rulepack Name と Rulepack Version を入力して Save ボタンをクリックします 3. 必要に応じてファイル名を変更して保存ボタンをクリックします 3. 保存するファイル名はデフォルトでは {Name}_{Version}.jar の形式になりますすでに同名のファイルがある場合は上書きするかどうかの確認ダイアログが表示されます 24

25 カスタムルールパック作成ガイダンスの編集開始右クリックメニューの New の New Guidance を選択しますダイアログの File Name を入力して Create ボタンをクリックするとガイダンスの編集画面が表示されます example

26 カスタムルールパック作成ガイダンスの編集画面テキスト入力テキスト入力テキスト入力右クリックメニューボタンタブ右クリックメニューガイダンスの編集は画面の各項目を操作しながら行うことができますテキスト入力欄にはそのままテキストを入力することができますボタンやタブはクリックして操作を行います右クリックメニューで編集する画面では右クリックメニューから操作を選択すると対応するダイアログが表示されるのでその画面に従いデータを入力しますガイダンスを編集したら File の Save を実行します Save をすることで Save Rulepack でルールパックのファイルに書き出す対象となります編集内容をファイルに書き出す場合は Save 後に Save Rulepack を実行してください 26

27 カスタムルールパックルールの編集開始右クリックメニューの New の New Rules を選択しますダイアログの File Name を入力して Create ボタンをクリックするとガイダンスの編集画面が表示されます Language は Java, JSP, XML,.NET(C#, VB.NET), PHP などから選択します example_rules.xml 27

28 カスタムルールパック作成ルールの編集画面 Design Source ルールの編集画面の表示は Design と Source の 2 種類を切り替えることができます Design では右クリックメニューで要素や属性を選択しながら編集することができます Source ではテキストを直接編集することができます右クリックメニューで編集 28

カスタムルールパック作成ルールのデータ入力と保存データを入力先ほどのガイダンス example-001.xml と紐付けています <?xml version="1.0" encoding="utf-8"?> <Rules xmlns:xsi="hgp://www.w3.org/2001/xmlschema-instance" xsdversion="2.3.6" xsi:nonamespaceschemalocamon=".

29 カスタムルールパック作成ルールのデータ入力と保存データを入力先ほどのガイダンス example-001.xml と紐付けています <?xml version="1.0" encoding="utf-8"?> <Rules xmlns:xsi="hgp:// xsdversion="2.3.6" xsi:nonamespaceschemalocamon="../../../schemas/java_rule_2_3_6.xsd"> <Rule id="example-rule-001" lang="java"> <Category>Example Category</Category> <Title>Example ルール #001</Title> <Descripmon> これは Example のオリジナルルール #001 です </Descripmon> <Match> <QualifiedName><![CDATA[com.example.Umls]]></QualifiedName> <Method><![CDATA[(writeCommand executecommand)\b]]></method> <Arguments> <Argument> <Index>0</Index> <Taint> <Type>UNTRUSTED</Type> </Taint></Argument></Arguments> </Match> <Standards> <Standard file="example-001.xml"> <Context>J2EE</Context></Standard> </Standards> </Rule> </Rules> ソースのデータを入力して File の Save を実行します Save をすることで Save Rulepack でルールパックのファイルに書き出す対象となります Save をしていない内容は Save Rulepack でルールパックのファイルに書き出す対象となりませんここでの Save は編集内容を確定するという意味になります編集内容をファイルに書き出す場合は Save 後に Save Rulepack を実行してください 29

30 カスタムルールパックフィルターの編集開始右クリックメニューの New の New Filter を選択しますダイアログの IDE File Name Filter Descripmon を入力して Create ボタンをクリックするとガイダンスの編集画面が表示されます Example 30

31 カスタムルールパック作成フィルターの編集画面 Design Source 右クリックメニューで編集ルールの編集画面の表示は Design と Source の 2 種類を切り替えることができます Design では右クリックメニューで要素や属性を選択しながら編集することができます Source ではテキストを直接編集することができます 31

カスタムルールパック作成フィルターのデータ入力と保存データを入力先ほど入力したルールの EXAMPLE-RULE-001 と紐付けています <?xml version="1.0" encoding="utf-8"?> <Filter xmlns:xsi="hgp://www.w3.

32 カスタムルールパック作成フィルターのデータ入力と保存データを入力先ほど入力したルールの EXAMPLE-RULE-001 と紐付けています <?xml version="1.0" encoding="utf-8"?> <Filter xmlns:xsi="hgp:// desc="the example filter for tutorial" ide="eclipse" name="example" version=" " xsdversion="1.2" xsi:nonamespaceschemalocamon="../../schemas/filter_1_2.xsd"> <Problems> <Problem name="example001"> <Rules> <Rule importance="high" markershow="true" acmve="true" id="example-rule-001" /> </Rules> </Problem> </Problems> </Filter> フィルターのデータを入力して File の Save を実行します Save をすることで Save Rulepack でルールパックのファイルに書き出す対象となります Save をしていない内容は Save Rulepack でルールパックのファイルに書き出す対象となりませんここでの Save は編集内容を確定するという意味になりますここまでの編集内容をルールパックとしてファイルに保存するため Save 後に Save Rulepack を実行してください 32

33 カスタムルールパック作成ルールパックファイルへの保存 ( 再掲 ) ルールパックファイルに保存するため File の Save Rulepack を選択します 2. ダイアログの Rulepack Name と Rulepack Version を入力して Save ボタンをクリックします 3. 必要に応じてファイル名を変更して保存ボタンをクリックします 3. 保存するファイル名はデフォルトでは {Name}_{Version}.jar の形式になりますすでに同名のファイルがある場合は上書きするかどうかの確認ダイアログが表示されます 33

34 SecureAssist Rulepack Configurator カスタムルールパックの動作確認 34

35 カスタムルールパックの動作確認カスタムルールパックの読み込み SecureAssist の Filters Configuramon の Import ボタンをクリックカスタムルールパックを選択して開くボタンをクリックインポート成功のダイアログの OK ボタンをクリックカスタムルールパックの読み込みと有効化が完了しました読み込んだカスタムルールパックのチェックボックスにチェックを入れて有効化 35

行目は引数が固定の文字列であるため信頼できないデータに該当しないため問題として検出することはありません 19 行目と 20 行目は 15 行目と 16

36 カスタムルールパックの動作確認動作例信頼できない入力元ソースコード Issue List SecureAssist のデフォルトのルールパックでは ProcessBuilder のコンストラクタの引数として信頼できないデータを渡した場合重大度 High の問題として指摘するように定義しています 18 行目は引数が固定の文字列であるため信頼できないデータに該当しないため問題として検出することはありません 19 行目と 20 行目は 15 行目と 16 行目での変数への代入がカスタムルールパックで定義した信頼できない入力元のデータに該当しこれを引数として渡しているため重大度 High の問題として検出します 36

カスタムルールパックの動作確認動作例重大度 High の問題とガイダンスソースコード Issue List Guidance ソースコードの 14 行目と 15 行目は引数として信頼できないデータを受け取っていますそのためカスタムルールパックでの定義に従い重大度 High の問題として検出しています Guidance には

37 カスタムルールパックの動作確認動作例重大度 High の問題とガイダンスソースコード Issue List Guidance ソースコードの 14 行目と 15 行目は引数として信頼できないデータを受け取っていますそのためカスタムルールパックでの定義に従い重大度 High の問題として検出しています Guidance にはカスタムルールパックでの定義通りこの問題に対応するガイダンスを表示していますソースコードの 16 行目も引数として信頼できないデータを受け取っていますがこのメソッドについてはカスタムルールパックで定義していないためこれを問題として検出することはありませんまた 10 行目と 11 行目は引数が信頼できないデータに該当しないためこれも問題として検出することはありません 37

38 カスタムルールパックの動作確認動作確認後の配布カスタムルールパックの配布方法には次の 2 つの方法があります 1. Enterprise Portal による配布 Enterprise Portal にカスタムルールパックをアップロードして配布する方法です具体的な手順は Enterprise Portal 導入ガイドをご覧ください hgps://secureassist.jp/downloads/enterpriseportal/ 2. 直接ユーザーにファイルを渡しての配布動作確認での手順と同様に IDE からインポートする方法です本資料のカスタムルールパックの読み込みのページをご覧ください 38

お問い合わせ株式会社アスタリスクリサーチ Asterisk Research, Inc. hgp://www.

jp その他のお問い合わせパートナーシップ提携トレーニング研修サービスプロダクトのご購入ご購入後のサポート広報取材依頼

39 お問い合わせ株式会社アスタリスクリサーチ Asterisk Research, Inc. hgp:// 本資料についてのお問い合わせやサポートのご依頼その他のお問い合わせパートナーシップ提携トレーニング研修サービスプロダクトのご購入ご購入後のサポート広報取材依頼 39

SecureAssist Enterprise Portal アップグレードガイド Version 対応版パッケージのダウンロードアップグレード全体の流れアップグレード作業の詳細手順

2016.09.29 SecureAssist Enterprise Portal アップグレードガイド Version 3.0.3 対応版パッケージのダウンロードアップグレード全体の流れ目次 * 本資料について * SecureAssist Enterprise Portal アップグレード準備パッケージのダウンロード * SecureAssist Enterprise Portal アップグレード作業の概要

SecureAssist Rulepack Configurator 利用ガイド Version 3.0 対応版 パッケージのダウンロード ルールパックの説明 カスタムルールの作成

SecureAssist Rulepack Configurator 利用ガイド Version 3.0 対応版パッケージのダウンロードルールパックの説明カスタムルールの作成