SEDATED

उद्देश्य

आज के CICD वातावरण में आवश्यक कोड परिवर्तनों की अधिकता के साथ, डेवलपर लगातार ऐसा कोड पुश कर रहे हैं जो अनजाने में संवेदनशील जानकारी शामिल कर सकता है। संवेदनशील डेटा का यह संभावित एक्सपोज़र संगठनों के लिए एक बड़ा जोखिम प्रस्तुत करता है (2017 OWASP टॉप टेन #3 - संवेदनशील डेटा एक्सपोज़र)। SEDATED® सभी आने वाले कोड परिवर्तनों की स्वचालित रूप से समीक्षा करके और डेवलपर को तत्काल प्रतिक्रिया प्रदान करके इस मुद्दे का समाधान करता है। यदि यह संवेदनशील डेटा की पहचान करता है, तो यह कमिट को Git सर्वर पर पुश होने से रोक देगा।

**नोट: SEDATED® द्वारा केवल कमिट पुश में जोड़ी या संशोधित की जा रही पंक्तियाँ (पैच फ़ाइल में + से शुरू होने वाली) स्कैन की जाती हैं। कमिट पुश में हटाई जा रही पंक्तियाँ (पैच फ़ाइल में - से शुरू होने वाली) SEDATED® द्वारा नहीं स्कैन की जाती हैं।

सेटअप

1. SEDATED® को क्लोन करें

git clone https://github.com/OWASP/SEDATED.git

cd SEDATED/

2. .example फ़ाइलों को अपडेट करें

cp /config/whitelists/commit_whitelist.txt.example /config/whitelists/commit_whitelist.txt

cp /config/whitelists/repo_whitelist.txt.example /config/whitelists/repo_whitelist.txt

cp /config/enforced_repos_list.txt.example /config/enforced_repos_list.txt

3. /config/custom_configs.sh वेरिएबल और फंक्शन को अनुकूलित करें (इच्छानुसार)

4. संगठन-विशिष्ट कार्यान्वयन के साथ SEDATED® को पुश करें

SEDATED® के संगठन-विशिष्ट कार्यान्वयन को संगठन की वांछित Git रिपॉजिटरी (GitHub, GitLab, Git, आदि) पर पुश करें।

5. प्री-रिसीव हुक को SEDATED® की pre-receive.sh फ़ाइल पर पॉइंट करें

GitHub एंटरप्राइज़ इंस्टेंस पर इसे पूरा करने के निर्देश GitHub_Enterprise_Setup.md में पाए जा सकते हैं।

स्थानीय परीक्षण

• GitHub Docker सेटअप - प्री-रिसीव हुक सक्षम के साथ Git सर्वर के रूप में कार्य करने के लिए GitHub डॉकर कंटेनर सेट करने के सामान्य निर्देश, जो स्थानीय परीक्षण के लिए है।
  • SEDATED® को डिज़ाइन के अनुसार कार्य करने देने के लिए कुछ संशोधन करने होंगे।
    • always_reject.sh को SEDATED® pre-receive.sh स्क्रिप्ट से बदलना होगा।
    • SEDATED® की सहायक फ़ाइलों/फ़ोल्डर संरचना को उसी निर्देशिका में शामिल करना होगा / pre-receive.sh स्क्रिप्ट के लिए सुलभ बनाना होगा।
    • कुछ अतिरिक्त समायोजन की भी आवश्यकता हो सकती है, लेकिन ऊपर दिए गए निर्देश स्थानीय परीक्षण के लिए एक अच्छा प्रारंभिक बिंदु हैं।

फ़ाइल विवरण

pre-receive.sh

• SEDATED® का हृदय और आत्मा।
• SEDATED® प्री-रिसीव Git हुक स्क्रिप्ट, जो SEDATED® के regexes (config/regexes.json) के साथ उपयोग की जाती है, Git इंस्टेंस पर पुश की जा रही कोड की जोड़ी या संशोधित पंक्तियों की पहचान करती है जिनमें हार्ड-कोडेड क्रेडेंशियल/संवेदनशील डेटा होता है (जैसा कि config/regexes.json में पहचाना गया है) और पुश को रोकती है यदि हार्ड-कोडेड क्रेडेंशियल/संवेदनशील डेटा वाली पंक्तियाँ पाई जाती हैं।

/config/custom_configs.sh

• SEDATED® कस्टम कॉन्फ़िगरेशन फ़ाइल, जो pre-receive.sh के साथ उपयोग की जाती है, संगठनों को अपने SEDATED® कार्यान्वयन को अनुकूलित करने की अनुमति देती है, बिना pre-receive.sh फ़ाइल के भीतर किसी भी स्रोत कोड को संशोधित किए, pre-receive.sh से प्राप्त बिल्ट-इन अनुकूलन योग्य वेरिएबल और फंक्शन प्रदान करके।

/config/enforced_repos_list.txt

• उपयोग किया जाता है जब config/custom_configs.sh में SEDATED® (प्री-रिसीव हुक) use_enforced_repo_check_custom फ़्लैग "True" पर सेट होता है।
• SEDATED® को एंटरप्राइज़ के भीतर वैश्विक रूप से "सक्षम" होने की अनुमति देता है, लेकिन केवल इस फ़ाइल में सूचीबद्ध रिपॉजिटरी पर चुनिंदा रूप से "लागू" होता है।
• किसी विशिष्ट संगठन या उपयोगकर्ता नाम के तहत सभी रिपॉजिटरी पर प्रवर्तन उस संगठन या उपयोगकर्ता नाम के अंत में /* जोड़कर पूरा किया जा सकता है जहाँ प्रवर्तन वांछित है।
• यदि SEDATED® किसी संगठन के भीतर वैश्विक रूप से सक्षम है और /config/enforced_repos_list.txt फ़ाइल में प्रकट नहीं होता है, तो पुश करने वाला (यदि कमांड लाइन से पुश कर रहा है) एक अनुकूलन योग्य संदेश देखेगा (/config/custom_configs.sh फ़ाइल के माध्यम से अनुकूलित करें) और SEDATED® पुश में शामिल किसी भी कोड को स्कैन नहीं करेगा।
• इस कार्यक्षमता को सक्षम/अक्षम करने का फ़्लैग /config/custom_configs.sh में पाया जा सकता है और इसे "True" या "False" पर सेट किया जा सकता है।
  • "False" - SEDATED® "सक्षम" वाली प्रत्येक रिपॉजिटरी पर SEDATED® "लागू" भी होगा।
  • "True" - केवल SEDATED® "सक्षम" वाली और /config/enforced_repos_list.txt में सूचीबद्ध रिपॉजिटरी पर SEDATED® "लागू" होगा। SEDATED® "सक्षम" वाली लेकिन /config/enforced_repos_list.txt फ़ाइल में सूचीबद्ध नहीं अन्य सभी रिपॉजिटरी केवल एक कस्टम संदेश देखेंगी, उन रिपॉजिटरी से पुश के लिए कोई कोड स्कैन नहीं किया जाएगा।
• यह फ़ाइल खाली हो सकती है, केवल तभी अस्तित्व में होनी चाहिए यदि config/custom_configs.sh में use_enforced_repo_check_custom फ़्लैग "True" पर सेट है।

/config/regexes.json

• संवेदनशील डेटा/हार्ड-कोडेड क्रेडेंशियल को फ़्लैग करने के लिए उपयोग किए जाने वाले रेगुलर एक्सप्रेशन (regexes) शामिल हैं।
• इन regexes का उपयोग GNU grep (pre-receive.sh में) -P फ़्लैग के साथ किया जाता है, जो उन्हें Perl-संगत रेगुलर एक्सप्रेशन (PCRE) बनाता है।
• आवश्यकतानुसार इस फ़ाइल में regexes जोड़े या हटाए जा सकते हैं, हालांकि यदि /testing/regex_testing/regex_test_script.sh स्क्रिप्ट का उपयोग कर रहे हैं तो /testing/regex_testing/test_cases.txt फ़ाइल को अपडेट करना होगा, अद्यतन regexes से संबंधित परीक्षण मामलों को जोड़कर या हटाकर ताकि /testing/regex_testing/regex_test_script.sh के परिणाम सटीक हों।
• यदि इस फ़ाइल में regexes जोड़/संशोधित कर रहे हैं तो वांछित regexes के आधार पर अतिरिक्त एस्केप कैरेक्टर \ की आवश्यकता हो सकती है क्योंकि यह फ़ाइल JSON प्रारूप में है।

/config/whitelists/commit_whitelist.txt

• गलत सकारात्मक (false positive) के मामले में उपयोग किया जाता है, एक या अधिक कमिट को स्कैनिंग प्रक्रिया से बाहर रखा जा सकता है यदि उनके कमिट आईडी इस फ़ाइल में शामिल हैं।
• कमिट आईडी इस फ़ाइल में कैरिज रिटर्न से अलग होने चाहिए जैसा कि /config/whitelists/commit_whitelist.txt.example फ़ाइल में दिखाया गया है।
• यह फ़ाइल खाली हो सकती है, लेकिन इसका अस्तित्व होना आवश्यक है।

वैकल्पिक: डेवलपर्स से अनुरोध करें कि जब वे गलत सकारात्मक (false positives) का सामना करें तो इस (commit_whitelist.txt) फ़ाइल में पुल रिक्वेस्ट सबमिट करें ताकि उनकी समीक्षा की जा सके।

/config/whitelists/repo_whitelist.txt

• इस फ़ाइल में शामिल (संगठन/उपयोगकर्ता नाम)/रिपॉजिटरी को इस सूची से हटाए जाने तक संवेदनशील डेटा/हार्ड-कोडेड क्रेडेंशियल के लिए स्कैनिंग से पूरी तरह बाहर रखा जाएगा।
• बड़े पुश (उदाहरण के लिए रिपॉजिटरी माइग्रेशन) के मामले में उपयोग किया जाता है जहाँ SEDATED® 5 सेकंड की विंडो के भीतर पुश में शामिल नए/संशोधित कोड को स्कैन नहीं कर सकता (5 सेकंड की विंडो GitHub विशिष्ट है और अन्य Git इंस्टेंस पर भिन्न हो सकती है)।
• (संगठन/उपयोगकर्ता नाम)/रिपॉजिटरी नाम इस फ़ाइल में कैरिज रिटर्न से अलग होने चाहिए जैसा कि /config/whitelists/repo_whitelist.txt.example फ़ाइल में दिखाया गया है।
• यह फ़ाइल खाली हो सकती है, लेकिन इसका अस्तित्व होना आवश्यक है।

/testing/regex_testing/regex_test_script.sh

• SEDATED® रेगुलर एक्सप्रेशन परीक्षण स्क्रिप्ट, जो testing/regex_testing/test_cases.txt के साथ उपयोग की जाती है, config/regexes.json के अंदर regexes को ऑफ़लाइन परीक्षण/मान्य करने का एक सरल, त्वरित तरीका है कि वे मान्य हैं और वांछित पैटर्न से मेल खा रहे हैं और वांछित के रूप में बहिष्कृत/मेल नहीं खा रहे हैं।
  • यह सुनिश्चित करने के लिए परीक्षण मामलों (/testing/regex_testing/test_cases.txt) की सूची के विरुद्ध regexes का परीक्षण करता है कि regexes अपेक्षित रूप से काम कर रहे हैं।
  • सकारात्मक और नकारात्मक दोनों परीक्षण मामलों (/testing/regex_testing/test_cases.txt) के लिए परीक्षण शामिल है।
  • स्क्रिप्ट चलाते समय GNU grep का उपयोग करना होगा अन्यथा स्क्रिप्ट विफल हो जाएगी (BSD grep में -P फ़्लैग नहीं है)।
  • इस स्क्रिप्ट में उपयोग के लिए परीक्षण मामले /testing/regex_testing/test_cases.txt से लिए गए हैं।

/testing/regex_testing/test_cases.txt

• /testing/regex_testing/regex_test_script.sh में उपभोग के लिए पास किए जाने वाले परीक्षण मामलों की सूची।
• प्रत्येक परीक्षण मामले के अंत में >>pass या >>fail जोड़ा जाता है, ये /testing/regex_testing/regex_test_script.sh स्क्रिप्ट को regexes की अपेक्षा बताते हैं।
  • >>pass का अर्थ है कि पूर्ववर्ती स्ट्रिंग वाले पुश को SEDATED® द्वारा स्वीकार किया जाएगा (अर्थात regexes पूर्ववर्ती स्ट्रिंग को फ़्लैग नहीं करेंगे)।
  • >>fail का अर्थ है कि पूर्ववर्ती स्ट्रिंग वाले पुश को SEDATED® द्वारा अस्वीकार कर दिया जाएगा (अर्थात regexes पूर्ववर्ती स्ट्रिंग को फ़्लैग करेंगे)।

अनुकूलन

कस्टम वेरिएबल और फंक्शन संगठनों को मुख्य प्री-रिसीव हुक फ़ाइल को बदले बिना SEDATED® के अपने विशिष्ट कार्यान्वयन को आसानी से अनुकूलित करने की अनुमति देने के लिए डिज़ाइन किए गए हैं जो सभी भारी काम करता है। सभी कस्टम वेरिएबल और फंक्शन /config/custom_configs.sh में पाए जा सकते हैं और इस फ़ाइल में शामिल वेरिएबल की व्याख्या नीचे सूचीबद्ध है।

कस्टम वेरिएबल

• show_SEDATED_link_custom - OWASP/SEDATED GitHub रिपॉजिटरी का लिंक प्रदर्शित करने के लिए "True" (केस-सेंसिटिव), अन्यथा "False" पर सेट करें।
• documentation_link_custom - संगठन-विशिष्ट दस्तावेज़ीकरण का लिंक जोड़ें कि संगठन डेवलपर्स को अस्वीकृत पुश को कैसे संभालना चाहिए और/या SEDATED® के बारे में सामान्य संगठन-विशिष्ट जानकारी।
  • जब पुश अस्वीकार किया जाता है तो डेवलपर को वापस प्रदर्शित किया जाता है।
  • जब प्रवर्तित रिपो चेक सही पर सेट होता है और रिपो enforced_repos_list.txt फ़ाइल पर शामिल नहीं होती है तो डेवलपर को वापस प्रदर्शित किया जाता है।
• use_enforced_repo_check_custom - "True" या "False" (केस-सेंसिटिव)।
  • इस फ़्लैग के अर्थ के बारे में अधिक जानकारी के लिए ऊपर /config/enforced_repos_list.txt का फ़ाइल विवरण देखें।
• enforced_repo_check_true_message_custom कस्टम संदेश के साथ (केवल आवश्यक है यदि use_enforced_repo_check_custom "True" पर सेट है)।
• obfuscate_output_custom - "True" या "False" (केस-सेंसिटिव)। SEDATED® के आउटपुट में प्रदर्शित संवेदनशील डेटा को मास्क करने के लिए इस विकल्प का उपयोग करें।

कस्टम फंक्शन

• SET_USER_REPO_NAME_CUSTOM
  • उपयोगकर्ता/संगठन/समूह और रिपॉजिटरी नाम सेट करता है।
  • यदि GitHub का उपयोग कर रहे हैं तो GITHUB_REPO_NAME वेरिएबल का उपयोग करके उपयोगकर्ता/संगठन/समूह और रिपॉजिटरी नाम सेट करता है।
  • यदि GitHub का उपयोग नहीं कर रहे हैं तो ये नाम प्राप्त करने के लिए कस्टम वेरिएबल सेट किए जा सकते हैं।
  • दिए गए गैर-GitHub नाम सादे Git में केवल नाम प्राप्त करने के लिए सेटअप किए गए हैं, लेकिन विभिन्न कार्यान्वयन (Git SCM) के आधार पर समायोजित करने की आवश्यकता हो सकती है।
• PRINT_ERROR_MESSAGE_CUSTOM
  • त्रुटियों का सामना करने पर एक कस्टम त्रुटि संदेश मुद्रित करने की अनुमति देता है।
• EXIT_SEDATED_CUSTOM
  • SEDATED® से बाहर निकलने पर अतिरिक्त कस्टम कार्रवाई करें (जैसे लॉग, मेट्रिक्स भेजें, आदि)।
  • अतिरिक्त कार्रवाई के रूप में डिफ़ॉल्ट : "कुछ न करें" है, और इसे बदलना आवश्यक नहीं है।
• UNABLE_TO_ACCESS_REPO_WHITELIST_CUSTOM
  • जब SEDATED® रिपो व्हाइटलिस्ट फ़ाइल तक पहुँचने में असमर्थ हो तो अतिरिक्त कस्टम कार्रवाई करें (जैसे त्रुटि संदेश प्रिंट करें, लॉग करें, मीट्रिक भेजें, आदि)।
  • अतिरिक्त कार्रवाई के रूप में डिफ़ॉल्ट : "कुछ न करें" है, और इसे बदलना आवश्यक नहीं है।
• PUSH_ACCEPTED_CUSTOM
  • जब पुश स्वीकार किया जाता है तो अतिरिक्त कस्टम कार्रवाई करें (जैसे लॉग, मेट्रिक्स भेजें, आदि)।
  • अतिरिक्त कार्रवाई के रूप में डिफ़ॉल्ट : "कुछ न करें" है, और इसे बदलना आवश्यक नहीं है।
• UNABLE_TO_ACCESS_REGEXES_CUSTOM
  • जब SEDATED® regexes.json फ़ाइल तक पहुँचने में असमर्थ हो तो अतिरिक्त कस्टम कार्रवाई करें।
  • अतिरिक्त कार्रवाई के रूप में डिफ़ॉल्ट : "कुछ न करें" है, और इसे बदलना आवश्यक नहीं है।
  • SEDATED® exit 1 करेगा और यदि regexes तक पहुँचने में असमर्थ है तो त्रुटि संदेश प्रिंट करेगा, हालांकि इन मामलों में वांछित होने पर अतिरिक्त कस्टम कार्रवाई की जा सकती है (जैसे अतिरिक्त त्रुटि संदेश प्रिंट करें, लॉग करें, मीट्रिक भेजें, आदि)।
• PUSH_REJECTED_WITH_VIOLATIONS_CUSTOM
  • जब उल्लंघन होने के कारण पुश अस्वीकार कर दिए जाते हैं तो अतिरिक्त कस्टम कार्रवाई करें (जैसे लॉग, मेट्रिक्स भेजें, आदि)।
  • अतिरिक्त कार्रवाई के रूप में डिफ़ॉल्ट : "कुछ न करें" है, और इसे बदलना आवश्यक नहीं है।
• UNABLE_TO_ACCESS_COMMIT_WHITELIST_CUSTOM
  • जब SEDATED® कमिट व्हाइटलिस्ट फ़ाइल तक पहुँचने में असमर्थ हो तो अतिरिक्त कस्टम कार्रवाई करें (जैसे लॉग, मेट्रिक्स भेजें, आदि)।
  • अतिरिक्त कार्रवाई के रूप में डिफ़ॉल्ट : "कुछ न करें" है, और इसे बदलना आवश्यक नहीं है।

अनुकूलता

केवल उन SCM टूल के साथ संगत है जो Git संस्करण नियंत्रण प्रणाली का उपयोग करते हैं।

• GitHub
  • पूरी तरह से परीक्षित (Enterprise v2.15.3)।
  • SEDATED® GitHub एंटरप्राइज़ सेटअप.
• GitLab
  • प्रारंभिक रूप से परीक्षित।
  • उपयोगकर्ता/संगठन और रिपो नाम सेट करने के लिए SET_USER_REPO_NAME_CUSTOM में संशोधन की आवश्यकता होगी।
• Git
  • प्रारंभिक रूप से परीक्षित।
  • सभी SEDATED® फ़ाइलों/फ़ोल्डरों को .git/hooks/ निर्देशिका में रखना होगा (दस्तावेज़ीकरण फ़ोल्डर/फ़ाइलों को छोड़कर)।
  • pre-receive.sample से .sample हटाएँ और SEDATED® की pre-receive.sh फ़ाइल से कोड को उस pre-receive फ़ाइल में कॉपी करें जिसे हमने .sample फ़ाइल से अभी बनाया है।
  • कार्यान्वयन के आधार पर git-template या समान का उपयोग करना चाह सकते हैं।
• कोई अन्य Git SCM टूल
  • परीक्षित नहीं।
  • उपयोगकर्ता/संगठन और रिपो नाम सेट करने के लिए SET_USER_REPO_NAME_CUSTOM में संशोधन की संभावना होगी।
  • काम करने के लिए अतिरिक्त संशोधनों की आवश्यकता हो सकती है।

योगदान करें

इस परियोजना में योगदान का स्वागत है!

आप निम्नलिखित में से किसी भी तरीके से योगदान कर सकते हैं:

• सुधार के लिए अपने विचार हमें (या समुदाय में किसी ऐसे व्यक्ति को जो SEDATED® के कोड बेस में आपके विचार को वास्तविकता में बदलने की चुनौती लेना चाहे) सबमिट करने के लिए कृपया एक मुद्दा उठाएँ जिसमें अच्छी व्याख्या हो कि आप क्या सोचते हैं कि SEDATED® को बेहतर बना सकता है और आपको कैसे लगता है कि कोड बेस के भीतर यह व्यावहारिक रूप से हो सकता है।
• SEDATED® को बेहतर बनाने के लिए अपने कोड परिवर्तनों के साथ एक पुल रिक्वेस्ट सबमिट करें और हम समीक्षा, परीक्षण और मर्ज करेंगे। :)

लेखक

• डेनिस कैनेडी
• सिमोन क्लाउटियर

लाइसेंस

SEDATED® को BSD 3-क्लॉज़ "न्यू" या "रिवाइज़्ड" लाइसेंस के तहत लाइसेंस दिया गया है।

**SEDATED® हार्ड-कोडेड क्रेडेंशियल, कुंजी, रहस्य, आदि के हर उदाहरण को फ़्लैग करने की गारंटी नहीं देता है, यह regex पैटर्न मिलान का उपयोग करता है और हालांकि यह अधिकांश उदाहरणों को पकड़ने में काफी अच्छा हो गया है, यह सही नहीं है, लेकिन हम SEDATED® को और भी बेहतर बनाने में मदद करने के लिए विचारों और/या पुल रिक्वेस्ट का हमेशा स्वागत करते हैं।