使用 PyTM 建立第三方元件漏洞威脅模型

第三方元件已成為現代軟體開發不可或缺的一部分，然而，這些元件也可能引入安全風險。為了有效管理這些風險，建立一個清晰的威脅模型至關重要。本文將示範如何使用 Python 的 PyTM 工具建立一個針對第三方元件漏洞的威脅模型，藉此協助開發者及安全人員理解潛在的攻擊面並制定相應的防禦策略。透過 PyTM，我們可以定義攻擊者、使用者和第三方元件等角色，並模擬資料在系統中的流動，進而識別潛在的攻擊路徑和漏洞。

威脅模型建立

為了了解第三方元件漏洞威脅，我們可以使用 PyTM 建立一個威脅模型。以下是建立此模型的步驟：

建立威脅模型：首先，我們需要建立一個新的威脅模型。這可以使用 PyTM 的 TM 類別來完成。

tm = TM("第三方元件漏洞威脅模型")

定義角色：接下來，我們需要定義相關的角色，例如攻擊者、使用者和第三方元件。

attacker = Actor("攻擊者")
user = Actor("使用者")
third_party_component = Actor("第三方元件")

定義資料流：然後，我們需要定義資料流，即資料在系統中如何流動。

dataflow = Dataflow(user, third_party_component, "資料存取")

定義威脅：現在，我們可以定義第三方元件漏洞威脅。

tm.add_threat()
tm.threat.name("第三方元件漏洞")
tm.threat.description("第三方元件中存在的安全漏洞可能會被攻擊者利用")

定義攻擊路徑：最後，我們需要定義攻擊路徑，即攻擊者如何利用第三方元件漏洞對系統造成傷害。

tm.attack_path(attacker, dataflow, "第三方元件漏洞利用")

生成威脅模型圖：完成以上步驟後，我們可以生成威脅模型圖。

tm.generate_diagram("third_party_component_vulnerabilities_threat_model.png")

結果

透過以上步驟，我們建立了一個第三方元件漏洞威脅模型。這個模型描述了第三方元件中存在的安全漏洞可能會被攻擊者利用，從而對系統造成傷害。同時，這個模型也提供了一個視覺化的圖表，幫助我們更好地理解這種威脅。

圖表翻譯

以下是圖表的翻譯：

圖表顯示了第三方元件漏洞威脅模型的架構。
攻擊者可以利用第三方元件中的安全漏洞對系統造成傷害。
使用者和第三方元件之間存在資料流，攻擊者可以利用這個資料流來實施攻擊。
威脅模型圖表了攻擊路徑，即攻擊者如何利用第三方元件漏洞對系統造成傷害。

內容解密

以下是內容解密：

第三方元件漏洞威脅是一種常見的安全威脅。
攻擊者可以利用第三方元件中的安全漏洞對系統造成傷害。
使用者和第三方元件之間存在資料流，攻擊者可以利用這個資料流來實施攻擊。
威脅模型圖表了攻擊路徑，即攻擊者如何利用第三方元件漏洞對系統造成傷害。

程式碼解說

以下是程式碼解說：

tm = TM("第三方元件漏洞威脅模型")：建立一個新的威脅模型。
attacker = Actor("攻擊者")：定義攻擊者角色。
user = Actor("使用者")：定義使用者角色。
third_party_component = Actor("第三方元件")：定義第三方元件角色。
dataflow = Dataflow(user, third_party_component, "資料存取")：定義資料流。
tm.add_threat()：定義第三方元件漏洞威脅。
tm.threat.name("第三方元件漏洞")：定義威脅名稱。
tm.threat.description("第三方元件中存在的安全漏洞可能會被攻擊者利用")：定義威脅描述。
tm.attack_path(attacker, dataflow, "第三方元件漏洞利用")：定義攻擊路徑。
tm.generate_diagram("third_party_component_vulnerabilities_threat_model.png")：生成威脅模型圖。

建立系統安全威脅模型

步驟1：定義角色

在本系統中，我們定義了三個角色：攻擊者（Attacker）、使用者（User）和第三方（Third-Party）。每個角色都有其特定的行為和動機。

  graph LR
    Attacker[攻擊者] -->|攻擊|> User[使用者]
    User -->|資料分享|> Third-Party[第三方]
    Third-Party -->|資料儲存|> Sensitive_Data[敏感資料]

步驟2：建立系統邊界

系統邊界（System Boundary）是指系統與外部環境之間的界限。在本例中，我們定義了一個系統邊界，以區分內部和外部的實體。

  graph LR
    System_Boundary[系統邊界] -->|封裝|> Sensitive_Data

步驟3：定義流程和資料儲存

我們定義了一個第三方流程（Third-Party Process），該流程負責處理使用者資料。同時，我們還定義了一個敏感資料儲存（Sensitive Data），用於儲存重要的使用者資料。

  graph LR
    Third-Party -->|執行|> Process[第三方流程]
    Process -->|儲存|> Datastore[敏感資料儲存]

步驟4：定義資料流

資料流（Dataflow）是指資料在不同實體之間的流動。在本例中，我們定義了兩個資料流：使用者與第三方之間的資料分享（Data Sharing），以及第三方與敏感資料儲存之間的資料儲存（Data Storage）。

  graph LR
    User -->|資料分享|> Third-Party
    Third-Party -->|資料儲存|> Sensitive_Data

步驟5：定義安全威脅

安全威脅（Threat）是指可能對系統造成危害的事件或行為。在本例中，我們定義了一個安全威脅，即第三方活動缺乏監督（Lack of Oversight on Third-Party Activities）。

  graph LR
    Threat[安全威脅] -->|影響|> System_Boundary

步驟6：定義攻擊路徑

攻擊路徑（Attack Path）是指攻擊者可能採取的路徑，以利用安全威脅。在本例中，我們定義了兩個攻擊路徑：未經授權的資料分享（Unauthorized Data Sharing）和未經授權的資料儲存（Unauthorized Data Storage）。

  graph LR
    Attacker -->|攻擊|> User
    Attacker -->|攻擊|> Third-Party

步驟7：生成安全威脅模型圖

最後，我們生成了一個安全威脅模型圖，以視覺化的方式展示系統中的安全威脅和攻擊路徑。

圖表翻譯：

上述圖表展示了系統中的安全威脅和攻擊路徑。攻擊者可以透過未經授權的資料分享和儲存來利用第三方活動缺乏監督的安全威脅。系統邊界和敏感資料儲存是系統中的關鍵元件，需要受到保護。

內容解密：

在本例中，我們定義了一個系統安全威脅模型，以展示第三方活動缺乏監督的安全威脅。攻擊路徑和安全威脅是系統中的關鍵元件，需要受到關注和保護。透過視覺化的方式展示安全威脅模型，可以幫助系統開發者和管理者更好地理解和應對安全威脅。

網路威脅分析與檢測

網路威脅的檢測與分析是一個複雜的過程，需要考慮多個因素和指標。以下是幾個關鍵的網路威脅分析與檢測方法：

1. DNS 請求分析

大量的出站 DNS 請求可能是 Command and Control (C&C) 惡意軟體的跡象，這種惡意軟體透過 DNS 協定與 C&C 伺服器建立通訊。同樣，出站 HTTP 請求也可能是 C&C 惡意軟體的跡象。

2. 定期出站流量分析

定期出站流量，尤其是具有相同大小的請求或在每天相同時間發生的請求，可能是 C&C 惡意軟體的跡象。

3. 外部網站評級

當出站流量指向一個已知的惡意網站或 DNS 列表中的網站時，可能表示 C&C 連線已經建立。

4. 開源工具

有兩個推薦的開源工具可以用於視覺化網路威脅狀態：Malcom 和 Maltrail。Malcom 可以呈現主機之間的通訊關係圖，有助於理解是否有內部主機連線到惡意網站。

5. 主機 IDS/IPS

安裝主機入侵檢測系統（IDS）/防禦系統（IPS），如 OSSEC 或主機防毒軟體，是第一道防線，用於防禦惡意軟體。一旦主機 IDS/IPS 或防毒軟體就位，威脅情報和大資料分析可以作為補充，幫助理解整體主機安全狀態和現有環境中的已知入侵指標（IoCs）。

6. 行為分析

根據嚴重程度，以下行為可能指示主機已經被入侵：

來源 IP 地址分析：可以幫助識別已知的壞 IP 或 TOR 出口節點、異常的地理位置變化、不同地理位置的並發連線等。
客戶端指紋：可以用於識別是否有任何不尋常的客戶端或非瀏覽器連線。開源的 ClientJS 是一個純 JavaScript 工具，可以用於收集客戶端指紋資訊。
JA3/TLS 連線 профай林г：當有出站連線到外部網站時，可以檢查目標網站的威脅評級。
網域名稱生成：C&C 伺服器的網域名稱可以由玄貓生成。DGA 網域名稱的關鍵特徵包括高熵、高子音計數和長網域名稱。根據這些指標，可以分析網域名稱是否由玄貓生成，也可以使用 Alexa 的前一百萬個網站作為白名單。
DNS 查詢分析：DNS 查詢分析中的關鍵入侵指標包括：查詢未經授權的 DNS 伺服器、不匹配的 DNS 回復（可能是 DNS 欺騙的指標）、客戶端連線多個 DNS 伺服器、長 DNS 查詢（超過 150 個字元，可能是 DNS 隧道的指標）以及高熵的網域名稱（可能是 DNS 隧道或 C&C 伺服器的指標）。

靜態應用安全測試（SAST）技術

靜態應用安全測試（SAST）是一種應用安全技術，用於分析應用程式的原始碼以尋找安全漏洞。SAST 工具透過搜尋常見的編碼錯誤、安全漏洞和潛在風險來實作其功能。作為一種白盒測試，SAST 依賴於測試人員可以存取被測試應用程式的原始碼，這使得 SAST 工具可以對程式碼函式庫進行徹底分析，找出可能不易被其他測試方法發現的潛在漏洞。

SAST 工具描述

工具名稱	說明	支援語言
Checkmarx	一種 SAST 工具，分析原始碼以尋找安全漏洞，並為開發人員提供實時反饋。	Java,.NET, PHP, Python, Ruby, Swift, C/C++, Objective-C, Scala, Kotlin, JavaScript
SonarQube	一種工具，提供持續性程式碼檢查，找出並報告潛在的安全漏洞和程式碼品質問題。	超過 25 種程式語言，包括 Java, C/C++, Python, JavaScript, PHP, Ruby
Veracode Static Analysis	一種 SAST 工具，分析程式碼以尋找安全漏洞和行業標準的合規性，並提供詳細報告和可行的建議。	超過 25 種程式語言，包括 Java,.NET, Python, JavaScript

SAST 工具的優點

早期發現漏洞：SAST 工具可以在開發過程的早期階段發現安全漏洞，減少了修復成本和時間。
提高程式碼品質：透過分析程式碼，SAST 工具可以幫助開發人員提高程式碼品質，減少錯誤和安全漏洞。
符合行業標準：SAST 工具可以幫助組織符合行業標準和法規要求，例如 PCI-DSS、HIPAA 等。

SAST 工具的選擇

選擇 SAST 工具時，應該考慮以下因素：

語言支援：確保工具支援您的開發語言。
功能：選擇提供您需要的功能的工具，例如實時反饋、詳細報告等。
易用性：選擇易於使用和組態的工具。
成本：考慮工具的成本和價值。

靜態應用安全測試（SAST）工具簡介

靜態應用安全測試（SAST）是一種靜態程式碼分析技術，用於檢測應用程式程式碼中的安全漏洞和錯誤。SAST 工具可以幫助開發人員在開發過程中早期發現和修復安全問題，從而提高應用程式的安全性和可靠性。

支援語言

SAST 工具支援多種程式設計語言，包括 Ruby、PHP、JavaScript、C/C++ 等。其中，Semgrep 和 CodeQL 是兩種流行的 SAST 工具，它們支援超過 25 種程式設計語言，包括 Java、.NET、Python、Ruby、PHP、JavaScript 和 C/C++ 等。

Semgrep

Semgrep 是一種快速且易於使用的 SAST 工具，它使用簡單的模式匹配語言來識別程式碼中的已知漏洞。Semgrep 可以組態為掃描程式碼函式庫中的特定部分，例如單個檔案或目錄。它可以用於分析開源和專有程式碼，並且可以由開發人員和安全專家使用。

Semgrep 的優點

快速且易於使用
支援多種程式設計語言
可以組態為掃描特定部分的程式碼函式庫
可以用於分析開源和專有程式碼

CodeQL

CodeQL 是一種根據語義程式碼表示的 SAST 工具，它可以執行複雜的程式碼分析，以檢測其他靜態分析工具可能忽略的安全漏洞。CodeQL 支援廣泛的程式設計語言，包括 C、C++、C#、Java、JavaScript、Python 等。它可以用於分析開源和專有程式碼，並且可以由開發人員和安全專家使用。

CodeQL 的優點

可以執行複雜的程式碼分析
支援廣泛的程式設計語言
可以用於分析開源和專有程式碼
可以由開發人員和安全專家使用

建立樣本規則

要建立一個樣本規則，需要按照以下步驟進行：

安裝 Semgrep：首先，需要安裝 Semgrep 工具，可以透過官方網站下載和安裝。
組態 Semgrep：安裝完成後，需要組態 Semgrep，以指定掃描的程式碼函式庫和規則。
建立規則檔案：建立一個規則檔案，指定要掃描的程式碼模式和漏洞。
執行 Semgrep：執行 Semgrep 工具，掃描程式碼函式庫並檢測安全漏洞。

範例規則檔案

rules:
  - id: example-rule
    patterns:
      - pattern: |
          $X = $_GET['input'];
         ...
          echo $X;
    message: |
      Potential SQL injection vulnerability
    languages:
      - php

這個範例規則檔案定義了一個名為 example-rule 的規則，該規則掃描 PHP 程式碼中可能的 SQL 注入漏洞。規則檔案指定了要掃描的程式碼模式、漏洞訊息和支援的語言。

執行 Semgrep

執行 Semgrep 工具，掃描程式碼函式庫並檢測安全漏洞。可以使用以下命令執行 Semgrep：

semgrep --config example-rule.yml /path/to/codebase

這個命令指定了規則檔案 example-rule.yml 和要掃描的程式碼函式庫路徑 /path/to/codebase。Semgrep 會掃描程式碼函式庫並檢測安全漏洞，如果找到任何漏洞，會輸出相關訊息。

圖表翻譯：

  graph LR
    A[安裝 Semgrep] --> B[組態 Semgrep]
    B --> C[建立規則檔案]
    C --> D[執行 Semgrep]
    D --> E[檢測安全漏洞]
    E --> F[輸出漏洞訊息]

這個圖表展示了建立樣本規則和執行 Semgrep 的流程。首先，需要安裝 Semgrep 工具，然後組態 Semgrep 以指定掃描的程式碼函式庫和規則。接下來，需要建立一個規則檔案，以指定要掃描的程式碼模式和漏洞。最後，執行 Semgrep 工具，掃描程式碼函式庫並檢測安全漏洞。如果找到任何漏洞，會輸出相關訊息。

Semgrep 和 CodeQL：提升程式碼安全性和品質的工具

Semgrep 簡介

Semgrep 是一種靜態程式碼分析工具，能夠幫助開發人員找出程式碼中的安全漏洞和錯誤。它支援多種程式語言，包括 Python、Java、JavaScript 等。Semgrep 可以用於檢查 SQL 注入、跨站指令碼攻擊（XSS）等常見的安全漏洞。

Semgrep 安裝和設定

要使用 Semgrep，需要先安裝它。可以從官方網站下載 Semgrep，或者使用 pip 安裝。安裝完成後，需要設定一個專案和掃描設定。

Semgrep 規則

Semgrep 規則是用於定義要檢查的安全漏洞或錯誤的 YAML 檔案。規則包含以下資訊：

規則 ID：唯一的規則識別符號
規則名稱：描述性的規則名稱
規則描述：描述規則的目的和重要性
規則模式：Semgrep 用於搜尋漏洞的模式
規則嚴重性：漏洞的嚴重性級別（例如高、中、低）
規則語言：規則適用於的程式語言
規則標籤：可選的標籤，用於分類別規則

Semgrep 使用範例

以下是 Semgrep 規則範例，檢查 Python 程式碼中的 SQL 注入漏洞：

id: sql-injection-py
name: SQL Injection in Python Code
description: Checks for SQL injection vulnerabilities in Python code.
severity: high
language: python
tags:
  - security
  - sql-injection
patterns:
  - pattern: |
      db.execute("SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'")
    message: |
      SQL injection vulnerability found in line {line}: {code}

CodeQL 簡介

CodeQL 是一種根據資料函式庫的靜態程式碼分析工具，能夠對程式碼進行複雜的分析。它支援多種程式語言，包括 C、C++、Java、JavaScript 等。CodeQL 可以用於檢查緩衝區溢位、SQL 注入等安全漏洞。

CodeQL 查詢語言

CodeQL 查詢語言（QL）是一種宣告式語言，允許開發人員以簡潔和易於理解的方式表達複雜的分析。查詢可以用於檢查各種問題，包括緩衝區溢位、SQL 注入等。

CodeQL 使用範例

以下是 CodeQL 查詢範例，檢查 Java 程式碼中的 SQL 注入漏洞：

import java

class SqlInjection extends JavaScript {
  SqlInjection() {
    this = "sql injection"
  }
  from MethodCall call, DataFlow::PathNode arg, SQL::StringExpression sqlExpr
  where call.getMethod().getName() = "executeQuery" and
        arg = call.getArgument(1) and
        arg = sqlExpr.getAnOperand() and
        exists (SQL::TaintedFlow tainted |
                tainted = dataFlow::taintThrough(arg, tainted) and
                tainted.(SQL::Source) and
                tainted.(SQL::Sink)
              )
  select call, "Potential SQL injection vulnerability"
}

結合 Semgrep 和 CodeQL

Semgrep 和 CodeQL 都是靜態程式碼分析工具，但它們有不同的強項和弱點。Semgrep 更適合於檢查常見的安全漏洞，而 CodeQL 更適合於進行複雜的分析。結合使用 Semgrep 和 CodeQL，可以更全面地檢查程式碼中的安全漏洞和錯誤。

GitHub Actions 整合

可以使用 GitHub Actions 將 Semgrep 和 CodeQL 整合到 CI/CD 管線中。以下是 Semgrep GitHub Actions 範例：

name: Semgrep
on:
  push:
    branches:
      - master
jobs:
  semgrep:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v2
      - name: Run Semgrep
        uses: returntocorp/semgrep-action@v1
        with:
          args: -c semgrep.yml

以下是 CodeQL GitHub Actions 範例：

name: CodeQL
on:
  push:
    branches:
      - master
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v2
      - name: Run CodeQL
        run: |
          codeql database analyze MyAppDB --queries=path/to/query.ql

透過整合 Semgrep 和 CodeQL，可以更有效地檢查程式碼中的安全漏洞和錯誤，並提高程式碼的品質和安全性。

軟體供應鏈安全風險管理：第三方元件風險評估

軟體供應鏈安全風險管理（Software Composition Analysis, SCA）是一種評估軟體應用程式中使用的第三方元件和函式庫是否存在已知安全漏洞或其他問題的過程。透過SCA，組織可以對第三方元件和函式庫進行視覺化和主動管理，從而提高應用程式的整體安全性和韌性。

SCA 工作原理

SCA工具透過掃描應用程式的程式碼函式庫和建置工件來識別使用的第三方函式庫和元件。然後，它們將這些元件與其資料函式庫中的已知漏洞進行比較，並在發現任何漏洞時提醒您。這有助於您管理開源元件，確保不使用任何存在漏洞的元件。

SCA 流程

SCA流程通常涉及以下步驟：

發現：SCA工具掃描應用程式的程式碼函式庫和建置工件，以識別使用的第三方函式庫和元件。
庫存：SCA工具建立一個庫存，列出所有使用的第三方元件和函式庫，包括其版本、許可型別和任何已知的安全漏洞或問題。
評估：SCA工具評估庫存中的每個元件，以查詢已知的安全漏洞或其他問題，使用來源如國家漏洞資料函式庫（NVD）和常見漏洞和暴露（CVE）資料函式庫。
補救：根據評估結果，SCA工具可能會提供補救建議，例如升級到元件的新版本，或切換到更安全的替代元件。

SCA 工具描述

以下是一些流行的SCA工具及其支援的語言：

Sonatype Nexus Lifecycle：一個軟體供應鏈自動化和管理工具，支援Java、.NET、Ruby、JavaScript、Python、Go、PHP和Swift等語言。
Black Duck：一個開源安全性和許可合規管理工具，支援20多種語言，包括Java、.NET、Python、Ruby、JavaScript和PHP。
WhiteSource：一個根據雲的開源安全性和許可合規管理工具，支援30多種語言，包括Java、.NET、Python、Ruby、JavaScript和PHP。
Snyk：一個以開發者為中心的安全性和依賴關係管理工具，支援多種語言。

軟體開發安全：SCA 工具在 CI/CD 管線中的應用

在軟體開發中，安全性是一個至關重要的方面。隨著開源軟體的廣泛使用，開源元件的安全性和合規性管理變得越來越重要。軟體組成分析（SCA）工具是用於自動化開源許可證合規性和漏洞管理的工具。在本文中，我們將探討如何在 CI/CD 管線中使用 SCA 工具，以確保軟體的安全性和合規性。

SCA 工具選擇

市場上有多種 SCA 工具可供選擇，例如 Snyk、Black Duck 和 WhiteSource。選擇一個相容於應用程式堆積疊並提供所需功能的 SCA 工具是非常重要的。

SCA 工具在 CI/CD 管線中的應用

以下是如何在 CI/CD 管線中使用 SCA 工具的步驟：

選擇 SCA 工具：根據應用程式堆積疊和需求選擇適合的 SCA 工具。
整合 SCA 工具：將 SCA 工具整合到 CI/CD 管線中，可以透過 GitHub Actions 或其他 CI/CD 平臺實作。
組態 SCA 工具：組態 SCA 工具以掃描應用程式程式碼並識別使用的開源元件。
分析結果：SCA 工具掃描完成後，會生成一份報告，列出使用的開源元件和相關的漏洞。需要分析這份報告並對已識別的漏洞採取行動。
修復漏洞：如果識別出任何漏洞，需要透過更新或更換元件等方式進行修復。

從軟體供應鏈安全的角度來看，上述文章涵蓋了威脅建模、網路威脅分析與檢測、靜態應用程式安全測試 (SAST) 和軟體組成分析 (SCA) 等關鍵導向，展現了建構安全軟體開發生命週期 (SSDLC) 的完整思維。深入分析這些技術的應用，可以發現，它們並非孤立存在，而是相互補充，共同提升軟體的安全性。例如，威脅建模可以幫助識別潛在的攻擊路徑，而 SAST 和 SCA 則可以幫助發現和修復程式碼中的漏洞，進而降低這些攻擊路徑的風險。網路威脅分析與檢測則能提供執行時的安全防護，及時發現並阻止攻擊行為。

然而，這些技術也存在一定的侷限性。威脅建模需要專業的知識和經驗，且模型的準確性取決於對系統的理解程度。SAST 工具可能產生誤報，需要人工審查和確認。SCA 工具則依賴於漏洞資料函式庫的完整性和更新速度。此外，單純依靠工具並不能完全解決安全問題，還需要結合安全開發流程、安全文化建設等多方面措施。

展望未來，隨著人工智慧和機器學習技術的發展，預計安全工具將更加智慧化，能夠自動化地識別和修復更複雜的漏洞。同時，安全工具之間的整合也將更加緊密，形成更全面的安全解決方案。例如，SAST 和 SCA 工具可以結合起來，提供更精確的漏洞分析和修復建議。此外，DevSecOps 的理念也將進一步推廣，將安全融入到軟體開發的每個環節，從而更有效地提升軟體的安全性。

對於企業而言，應根據自身業務需求和安全風險評估結果，選擇合適的安全工具和策略，並將其整合到 SSDLC 中。同時，也需要持續關注安全技術的發展趨勢，不斷提升自身的安全能力。唯有如此，才能在日益複雜的網路安全環境中保障軟體的安全性，並將安全風險降至最低。

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。