Zadig + 洞態 IAST：讓安全溶於持續交付

語言: CN / TW / HK

時間 2022-06-25 01:01:09 Zadig雲原生交付

主題: java github gitee yaml kubernetes python workflow devops docker compose

IAST 作為當下備受關注的一種安全測試技術，我們如何利用 Zadig 執行時環境管理能力，快速的將 IAST 能力整合到我們的日常工作流程中？

IAST 作為當下備受關注的一種安全測試技術，我們如何利用 Zadig 執行時環境管理能力，快速的將 IAST 能力整合到我們的日常工作流程中？本文中以 Zadig K8s 專案 + Java 服務為例，來了解在 Zadig 中如何為已有服務快速接入 IAST 監測服務漏洞資訊，為服務安全保駕護航。

What is IAST & DongTai？

IAST：互動式應用程式安全測試（Interactive Application Security Testing），是近年來興起的一項新技術，被 Gartner 公司列為資訊保安領域的 Top 10 技術之一。它融合了 SAST 和 DAST 技術的優點，IAST 使用執行時代理方法在測試階段分析&監控應用程式的行為。
DongTai 是一款開源的被動式互動式安全測試(IAST)產品，通過動態 Hook 和汙點跟蹤演算法等實現通用漏洞檢測、多請求關聯漏洞檢測(包括但不限於越權漏洞、未授權訪問)、第三方元件漏洞檢測等，目前支援 Java、Python 兩種語言的應用漏洞檢測。

❗️注意：主要用於 開發環境 和 測試環境，即只需單次訪問即可實行安全檢測，並不適用在併發量高的生產環境（參考 IAST 效能測試報告 [1]）

Zadig & IAST 執行原理圖

準備工作

1. Zadig 中待開啟 IAST 功能的服務，下面提供一個示例服務，服務名：demo ，服務 YAML 配置如下(Zadig 新建服務 [2])：

apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    app: dongtai-java-agent-demo
  name: dongtai-java-agent-demo
spec:
  selector:
    matchLabels:
      app: dongtai-java-agent-demo
  template:
    metadata:
      labels:
        app: dongtai-java-agent-demo
    spec:
      containers:
        - name: app-container
          image: dongtai/dongtai-java-agent-demo:0.0.1

2. 獲取 DongTai backend 服務，有以下兩種方式：

使用洞態官方提供的 SaaS 版本
使用 Docker-Compose 或者 Kubernetes 完成私有化安裝安裝文件 [3]

我們以第一種方式為例，使用洞態官方提供的 SaaS 服務，註冊登入賬號，進入專案管理介面：

點選頁面右上角「+ Add Agent」
在「下載探針」部分可以直接下載或者獲取下載連結

這裡假設我們獲取到的連線是：

AGENT_URL= http://192.168.2.169:8000/api/v1/agent/download?url=http://192.168.2.169:8000&language=java
AUTH_HEADER= 'Authorization: Token 88cab3057e199b95cb0780e2a8ab4771c8874acd'


以下是圖中 Shell 指令碼：

以下是圖中 Shell 指令碼：

curl -X GET "http://192.168.2.169:8000/api/v1/agent/download?url=http://192.168.2.169:8000&language=java" -H 'Authorization: Token 88cab3057e199b95cb0780e2a8ab4771c8874acd' -o agent.jar -k

建立&部署注入 Agent 的 demo 服務

在 Zadig 中複製待測試服務配置，修改 K8s resource name 以及 label&selector 等，避免和現有服務衝突。
配置中新增 initContainer，提前將 agent 下載到服務所在容器中。
修改服務啟動命令，新增 -javaagent:/path/to/agent.jar
新建服務，服務名：demo-with-iast，貼上修改後的配置並儲存，修改後的服務 YAML 配置如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    app: dongtai-java-agent-demo-iast
  name: dongtai-java-agent-demo-iast
spec:
  selector:
    matchLabels:
      app: dongtai-java-agent-demo-iast
  template:
    metadata:
      labels:
        app: dongtai-java-agent-demo-iast
    spec:
      volumes:
        - name: dongtai-iast-agent
          emptyDir: {}
      initContainers:
        - name: agent-init-container
          image: curlimages/curl
          volumeMounts:
            - name: dongtai-iast-agent
              mountPath: /tmp
          args:
            - "-k"
            - "-X"
            - "GET"
            - ${AGENT_URL}  # 替換成前面獲取到的 AGENT_URL
            - "-H"
            - ${AUTH_HEADER} # 替換成前面獲取到的 AUTH_HEADER 
            - "-o"
            - "/tmp/agent.jar"
      containers:
        - name: app-container
          image: dongtai/dongtai-java-agent-demo:0.0.1
          volumeMounts:
            - name: dongtai-iast-agent
              mountPath: /agent
          env:
            - name: JAVA_TOOL_OPTIONS
              value: "-javaagent:/agent/agent.jar"

5. 將新建服務 demo-with-iast 部署到環境中(Zadig 建立環境 [4])，檢視對應環境中服務的日誌，出現如下日誌則意味著 agent 注入成功。