secimport

Sandboxing a nivel de módulo para aplicaciones Python

secimport es un kit de herramientas de seguridad basado en eBPF que aplica restricciones de llamadas al sistema por módulo de Python, proporcionando un control granular sobre el perfil de seguridad de tu aplicación. Piénsalo como seccomp-bpf para Linux, pero operando a nivel de módulo de Python.

Características principales

• Seguridad a nivel de módulo: Define y aplica restricciones de llamadas al sistema por módulo de Python
• Perfilado automatizado: Rastrea tu aplicación para crear perfiles de seguridad a medida
• Múltiples modos de aplicación: Registra, detiene o mata procesos ante violaciones de políticas
• Listo para producción: Impacto insignificante en el rendimiento gracias a eBPF
• Protección de la cadena de suministro: Mitiga los riesgos de dependencias vulnerables

Inicio rápido

Usando Docker (Recomendado)

git clone https://github.com/avilum/secimport.git
cd secimport/docker
./build.sh && ./run.sh

Línea de comandos:

secimport --help

 Usage: python -m secimport.cli [OPTIONS] COMMAND [ARGS]...

 secimport is a comprehensive toolkit designed to enable the tracing, construction, and execution of secure Python runtimes. It leverages USDT probes and eBPF/DTrace technologies to enhance overall security measures.
 WORKFLOW:     1. secimport trace / secimport shell     2. secimport build     3. secimport run
 QUICKSTART:     $ secimport interactive
 For more details, please see https://github.com/avilum/secimport/wiki/Command-Line-Usage

╭─ Options ──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ --install-completion          Install completion for the current shell.                                                                                                                                                                                    │
│ --show-completion             Show completion for the current shell, to copy it or customize the installation.                                                                                                                                             │
│ --help                        Show this message and exit.                                                                                                                                                                                                  │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
╭─ Commands ─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ trace         Trace a Python process using an entrypoint or interactive shell.                                                                                                                                                                             │
│ shell         Alias for 'trace'.                                                                                                                                                                                                                           │
│ trace-pid     Trace a running process by PID.                                                                                                                                                                                                              │
│ build         Build a sandbox profile from a trace log.                                                                                                                                                                                                    │
│ run           Run a Python process inside the sandbox.                                                                                                                                                                                                     │
│ interactive   Run secimport in interactive mode.                                                                                                                                                                                                           │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯

Creación de tu primer sandbox

secimport interactive

# In the Python shell that opens:
>>> secimport trace   # Start tracing
>>> import requests   # Perform actions you want to profile
>>> # Press CTRL+D to stop tracing

>>> secimport build   # Build sandbox from trace
>>> secimport run     # Run with enforcement

Uso avanzado

Opciones de línea de comandos

secimport trace              # Trace a new Python process
secimport trace_pid <PID>    # Trace an existing process
secimport build              # Build sandbox from trace
secimport run [options]      # Run with enforcement

Modos de aplicación

# Stop on violation
secimport run --stop_on_violation=true

# Kill on violation
secimport run --kill_on_violation=true

API de Python

import secimport

# Replace standard import with secure import
requests = secimport.secure_import('requests', allowed_syscalls=['open', 'read', ...])

Instalación manual

1. Instala Python con sondas USDT:

   # Configure Python with --enable-dtrace
   # See detailed instructions in our wiki
   

2. Instala un backend compatible (eBPF o DTrace)

   # Ubuntu/Debian
   apt-get install bpftrace
   
   # For other platforms, see our Installation wiki
   

3. Instalar secimport

   pip install secimport
   

Soporte de seccomp-bpf usando nsjail

Además del sandbox que construye secimport,
El comando secimport build crea un sandbox de nsjail con perfil de seccomp para tu código rastreado.
nsjail habilita el sandboxing de namespaces con seccomp en linux
secimport genera automáticamente perfiles de seccomp para usar con nsjail como script bash ejecutable. Se puede usar para limitar las syscalls de todo el proceso de python, como otra capa de defensa.

Documentación