本ページについて
VulsがOWASP Dependency Checkのスキャンに対応しているので、その例を示すためのページです。
2016/11時点で、"Experimental"となっています。
Usage: Integrate with OWASP Dependency Check to Automatic update when the libraries are updated (Experimental)
概要
VulsとOWASP Dependency Checkを同じサーバで稼働させます。
- OWASP関連は、Vulsで利用する前提で /opt/vuls/owasp に配置します。
- 実際は、スキャン結果のXMLさえVulsで読めれば、実行者や配置場所はどうでもいいです。
対象サーバでやることは以下の通りです。
- Vulsをインストールする
- OWASP Dependency Checkを入れる
- OWASP Dependency Checkでスキャンする
- Vulsのconfigに、OWASP Dependency CheckのXML指定を書く
- Vulsでスキャンする
実作業
Vulsをインストールする
VulsのREADMEを参照してください。
詳細は割愛しますが、以下のようにするのが良いと思われます。
- インストール先は /opt/vuls とする
- 最低限 Otherの権限は落とす(chmod 640等)
OWASP Dependency Checkを入れる
OWASP Dependency Checkのサイトを参照してください。
概要のみ記載します。
- JREをインストールする
- 各ディストリビューションのパッケージを利用するのが、アップデート関連を含めて、楽です。
- 上記サイトから、CommandLine版をダウンロードする
- 2016/11時点では、[Quick Download][Command Line]のリンクから落とすのが、楽です。
- /opt/vuls 以下にダウンロードしたファイルを展開することで、Dependency Checkは以下のPATHで使えるようになります。
/opt/vuls/owasp/dependency-check/dependency-check.sh- 初回のスキャンは、ものすごく時間掛かります。BEERでも飲みながら待ちましょう。
OWASP Dependency Checkでスキャンする
XMLで出力する必要がある為、--format XML , --out のオプションを利用します。
$ ./dependency-check.sh --format XML --out <XML_OUTPUT_FILE_PATH> --project <PROJ_NAME> -scan <CODE_DIR_PATH>
例えば、hogehugaプロジェクトで、/opt/codes/hogehoge 以下にソース群がある場合は、以下のような感じです。
[vuls@~]$ ./owasp/dependency-check/dependency-check.sh --format XML --project hogehuga -scan /opt/codes/hogehoge --out /opt/vuls/dependency-check-report.xml
これにより /opt/vuls/dependency-check-report.xml が生成されます。
Vulsのconfigに、OWASP Dependency CheckのXML指定を書く
ローカルスキャンの一環として書いてしまいます。
[servers]
[servers.192.168.0.10]
host = "192.168.0.10"
user = "vuls"
keyPath = "/opt/vuls/ssh_keys/local.id_rsa"
dependencyCheckXMLPath = "/opt/vuls/dependency-check-report.xml"
Vulsでスキャンする
いつも通りのスキャンを実施します。
[vuls@~]$ vuls scan -config=./config.toml -cve-dictionary-dbpath=/opt/vuls/cve.sqlite3 -report-json
これで、CPE指定した時と同じように検知結果が出ます。
検知テストをしてみる
古いApache Strutsをチェックし、実際にどのように表示されるかの確認をしてみた。
概要
Apache Strutsを実際に利用するわけではないので、ダウンロードして展開し、そのままスキャンをしてみます。
- ApacheStrutsを /opt/vuls/tmp/以下に展開
- OWASP Dependency Checkを実行し、XMLを生成
- vulsのconfig.tomlを修正し、当該XMLを含めて jsonの生成
- VulsRepoで閲覧
1.Apache Strustsを準備する
今の時点で古い、Apache Strutsをダウンロードして、展開します。
$ mkdir /opt/vuls/tmp; cd /opt/vuls/tmp
$ wget https://dist.apache.org/repos/dist/release/struts/2.3.20.1/struts-2.3.20.1-all.zip
$ unzip struts-2.3.20.1-all.zip
$ ls /opt/vuls/tmp
struts-2.3.20.1 struts-2.3.20.1-all.zip
$
2.OWASP Dependency Checkをする
まずは、スキャンできるかを確認する為、HTMLで出力してみましょう。
$ /opt/vuls/owasp/dependency-check/bin/dependency-check.sh --project struts -scan ./ --out /opt/vuls/tmp/struts-report.html
$ w3m /opt/vuls/tmp/struts-report.html
2016/11/07時点で、Vulnerable Dependencies:50、Vulnerbilities Found:556、となっている。
次はVulsで利用できるように XML で出力します。
$ /opt/vuls/owasp/dependency-check/bin/dependency-check.sh --format XML --project struts -scan ./ --out /opt/vuls/tmp/struts-report.xml
$ ls /opt/vuls/tmp
struts-2.3.20.1 struts-2.3.20.1-all.zip struts-report.html struts-report.xml
$
3.Vulsでスキャンする
利用するconfig.tomlを修正します。
$ vi /opt/vuls/config.toml
# 例えば以下のような感じです
[default]
port = "22"
user = "vuls"
[servers]
[servers.vuls-servre]
host = "192.168.0.11"
keyPath = "/opt/vuls/.ssh/id_rsa"
dependencyCheckXMLPath = "/opt/vuls/tmp/struts-report.xml"
prepareして念のため確認する。
$ vuls prepare -config /opt/vuls/config.toml
INFO[0000] Loaded from OWASP Dependency Check XML: vuls-servre
INFO[0000] Start Preparing (config: config-owasp.toml)
[MM D hh:mm:ss] INFO [localhost] Detecting OS...
[MM D hh:mm:ss] INFO [localhost] Detecting OS of servers...
[MM D hh:mm:ss] INFO [localhost] (1/1) Detected: vuls-servre: centos 6.8
[MM D hh:mm:ss] INFO [localhost] Detecting OS of containers...
[MM D hh:mm:ss] INFO [localhost] Checking sudo configuration...
[MM D hh:mm:ss] INFO [vuls-servre] sudo ... OK
[MM D hh:mm:ss] INFO [localhost] No need to install dependencies
$
あとは通常通りスキャンする。
$ vuls scan -config=./config.toml -cve-dictionary-dbpath=/opt/vuls/cve.sqlite3 -report-json
4.VulsRepoで閲覧する
いつも通りVulsRepoを見ると、Packagesでcpeなものが追加されているはずです。これは OWASP Dependency Checkの結果を取り込んだものです。
dependencyCheckXMLPathの有無で異なる結果を、画像で示します。
- 20161105_1240の物は、OWASPの結果を入れていないもの
- 20161107_1040の物は、OWASPのXMLを読ませたもの
- ScanTimeは適当です。
- 赤線を引いてある cpe:/a:...が、DependencyCheckで追加されたもの
以上です。