एक और सुरक्षा प्रशिक्षण साइट क्यों?

हालांकि एप्लिकेशन सुरक्षा अवधारणाओं को सिखाने के लिए ओपन सोर्स प्रशिक्षण साइटें नई नहीं हैं, इन साइटों का लक्षित दर्शक पेन-टेस्टर और एथिकल हैकर रहे हैं। सुरक्षित कोडिंग डोजो मुख्य रूप से डेवलपर्स के लिए एक वितरण प्लेटफॉर्म के रूप में अभिप्रेत है और इसका कारण यह है:

• यह प्रमाणीकरण के लिए स्लैक के साथ एकीकृत होता है
• यह प्रतिभागियों को उनकी विकास टीमों के अनुसार समूहबद्ध करने की अनुमति देता है
• यह टीमों को प्रगति ट्रैक करने और एक-दूसरे के साथ प्रतिस्पर्धा करने की अनुमति देता है
• प्रत्येक पाठ को हमला/बचाव जोड़ी के रूप में बनाया गया है। डेवलपर्स हमला करके सॉफ़्टवेयर कमजोरियों का निरीक्षण कर सकते हैं और चुनौती हल करने के बाद वे संबंधित सॉफ़्टवेयर बचाव (कोड ब्लॉक) के बारे में सीखते हैं
• पूर्वनिर्धारित पाठ MITRE के सबसे खतरनाक सॉफ़्टवेयर त्रुटियों (जिसे SANS 25 के रूप में भी जाना जाता है) पर आधारित हैं, इसलिए हमला तकनीकों के बजाय सॉफ़्टवेयर त्रुटियों पर ध्यान केंद्रित किया गया है
• पूर्वनिर्धारित हैकिंग चुनौतियां प्रवेश स्तर के लिए बनाई गई हैं और डेवलपर्स को व्यस्त रखती हैं
  • अन्य प्रशिक्षण साइटों या CTF में चुनौतियों में एक पहेली पहलू होता है जो पेन-टेस्टर दर्शकों के लिए अच्छा है लेकिन कुछ डेवलपर्स की रुचि खत्म कर सकता है। सुरक्षित कोडिंग डोजो में भेद्यता प्रदर्शित करने पर ध्यान केंद्रित किया गया है।
  • ऐसे सुझाव हैं जो डेवलपर्स की मदद करते हैं जब वे समस्या का शोषण कर रहे होते हैं ताकि वे अटक न जाएं

SecureCodingDojo और अनुपालन आवश्यकताएं

हालांकि हम अनुपालन की गारंटी नहीं देते हैं, प्रशिक्षण का उपयोग PCI 6.5.a जैसी अनुपालन आवश्यकताओं को पूरा करने के लिए किया जा सकता है। SANS 25 / OWASP Top 10 / PCI 6.5 पर मैपिंग के लिए Insecure.Inc पाठ्यक्रम दस्तावेज़ देखें।

विकास पूर्व-आवश्यकताएं

प्रशिक्षण पोर्टल

• VS Code स्थापित करें
• node/npm (v10 के साथ विकसित)
• वैकल्पिक: MySQL सर्वर + MySQL Workbench (MySQL 5.7 के साथ विकसित)

Insecure.Inc

• Java EE में विकसित
• Eclipse Java EE नवीनतम संस्करण (Neon के साथ विकसित) + Java 1.8 + tomcat 8 Insecure.Inc प्रशिक्षण ऐप के लिए

विकास वातावरण सेटअप निर्देश

प्रशिक्षण पोर्टल

• विकि पर अधिक विवरण

Insecure.inc

• विकि पर अधिक विवरण

निर्माण

प्रशिक्षण पोर्टल

• ./buildTrainingPortal.sh स्क्रिप्ट चलाएं। यह एक डॉकर इमेज और एक AWS Elastic Beanstalk पैकेज बनाएगा।

Insecure.Inc

• प्रोजेक्ट पर राइट क्लिक करके .war फ़ाइल के रूप में निर्यात करें और इसे अपने Tomcat 8 इंस्टॉलेशन के /webapps फ़ोल्डर में डालें।

Insecure.Inc होस्ट करना

विकि देखें।

प्रशिक्षण पोर्टल तैनात करना

विकि पर अधिक जानकारी।

स्लैक सेटअप निर्देश

आपको प्रमाणीकरण के लिए एक Slack ऐप बनाना होगा।

• https://api.slack.com/ पर जाएं
• Start Building दबाएं और अपने विकास स्लैक टीम में एक स्लैक ऐप बनाने के लिए संकेतों का पालन करें
• एक बार आपका ऐप बन जाने के बाद, आप अपने config.json को कॉन्फ़िगर करने के लिए अपने ऐप क्रेडेंशियल्स प्राप्त कर पाएंगे
• OAuth और अनुमतियों के तहत रीडायरेक्ट URL कॉन्फ़िगर करें। उदाहरण के लिए localhost सेटअप के लिए रीडायरेक्ट url होगा: http://localhost:8081/public/slack/callback

Google सेटअप निर्देश

Google प्रमाणीकरण भी config.json में कॉन्फ़िगर किया जा सकता है। आपको एक Google डेवलपर खाता चाहिए और Google API कंसोल से OAuth क्रेडेंशियल्स प्राप्त करने होंगे: https://console.developers.google.com

उसी स्थान पर आप अपना डोमेन और अधिकृत रीडायरेक्ट URI सेटअप करेंगे। उदाहरण के लिए localhost सेटअप के लिए रीडायरेक्ट url होगा: http://localhost:8081/public/google/callback

स्थानीय प्रमाणीकरण सेटअप निर्देश

छोटी टीमों या पूर्व-कॉन्फ़िगर छवियों के लिए स्लैक या Google प्रमाणीकरण एक विकल्प नहीं हो सकता है। इस परिदृश्य के लिए आप स्थानीय फ्लैट फ़ाइल के साथ काम करने वाले प्रमाणीकरण को कॉन्फ़िगर कर सकते हैं।

अधिक जानकारी के लिए विकि देखें।

• localUsers.json.sample को localUsers.json में कॉपी करें
• config.json में वह पंक्ति जोड़ें जो localUsersPath निर्दिष्ट करती है
• स्थानीय प्रमाणीकरण के साथ कई सावधानियां हैं जैसे खाता लॉकआउट का अभाव, पासवर्ड समाप्ति आदि।

DB सेटअप निर्देश

यदि आप DB कॉन्फ़िगर नहीं करते हैं तो प्रशिक्षण पोर्टल बस एक स्थानीय SQLite DB का उपयोग करेगा

आप MySQL भी स्थापित कर सकते हैं और उस DB के लिए एक DB और क्रेडेंशियल्स बना सकते हैं। अपने उपयोगकर्ता नाम और पासवर्ड को नोट करें क्योंकि आपको उनकी बाद में आवश्यकता होगी।

एन्क्रिप्शन कुंजी बीज और पर्यावरण चर

आपको OS पर्यावरण चर के रूप में एन्क्रिप्शन कुंजियां सेटअप करनी होंगी। *nix/mac पर .bash_profile को निम्नानुसार संशोधित करें

निम्नलिखित प्रतिभागियों को अपनी स्वयं की चुनौती कोड उत्पन्न करने से रोकने के लिए है।

सुरक्षित कोडिंग डोजो का विस्तार करना

आप मौजूदा पाठों के मॉडल का अनुसरण करके नए पाठ जोड़ सकते हैं।

चुनौतियाँ

चुनौतियाँ ./trainingportal/static/lessons में परिभाषित हैं फ़ाइल definitions.json संबंधित html चुनौती विवरण, प्ले लिंक और कोड ब्लॉक आईडी द्वारा संबंधित कोड ब्लॉक की ओर इशारा करती है। एक नया बनाने के लिए पहले से परिभाषित उदाहरणों का अनुसरण करें।

कोड ब्लॉक

कोड ब्लॉक ./trainingportal/static/codeBlocks में परिभाषित हैं। इस फ़ोल्डर में एक परिभाषा json और प्रत्येक चुनौती के लिए कुछ html फ़ाइलों के साथ समान संरचना है।