secimport

Sandboxing a livello di modulo per applicazioni Python

secimport è un toolkit di sicurezza basato su eBPF che applica restrizioni sulle syscall per singolo modulo Python, offrendo un controllo granulare sul profilo di sicurezza della tua applicazione. Pensalo come seccomp-bpf per Linux, ma operante a livello di modulo Python.

Caratteristiche principali

• Sicurezza a livello di modulo: definisci e applica restrizioni sulle syscall per singolo modulo Python
• Profilazione automatizzata: traccia la tua applicazione per creare profili di sicurezza su misura
• Molteplici modalità di applicazione: registra, interrompi o termina i processi in caso di violazioni delle policy
• Pronto per la produzione: impatto trascurabile sulle prestazioni grazie a eBPF
• Protezione della supply chain: mitiga i rischi derivanti da dipendenze vulnerabili

Avvio rapido

Utilizzo di Docker (consigliato)

git clone https://github.com/avilum/secimport.git
cd secimport/docker
./build.sh && ./run.sh

Riga della command line:

secimport --help

 Usage: python -m secimport.cli [OPTIONS] COMMAND [ARGS]...

 secimport is a comprehensive toolkit designed to enable the tracing, construction, and execution of secure Python runtimes. It leverages USDT probes and eBPF/DTrace technologies to enhance overall security measures.
 WORKFLOW:     1. secimport trace / secimport shell     2. secimport build     3. secimport run
 QUICKSTART:     $ secimport interactive
 For more details, please see https://github.com/avilum/secimport/wiki/Command-Line-Usage

╭─ Options ──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ --install-completion          Install completion for the current shell.                                                                                                                                                                                    │
│ --show-completion             Show completion for the current shell, to copy it or customize the installation.                                                                                                                                             │
│ --help                        Show this message and exit.                                                                                                                                                                                                  │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
╭─ Commands ─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ trace         Trace a Python process using an entrypoint or interactive shell.                                                                                                                                                                             │
│ shell         Alias for 'trace'.                                                                                                                                                                                                                           │
│ trace-pid     Trace a running process by PID.                                                                                                                                                                                                              │
│ build         Build a sandbox profile from a trace log.                                                                                                                                                                                                    │
│ run           Run a Python process inside the sandbox.                                                                                                                                                                                                     │
│ interactive   Run secimport in interactive mode.                                                                                                                                                                                                           │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯

Creare la tua prima sandbox

secimport interactive

# In the Python shell that opens:
>>> secimport trace   # Start tracing
>>> import requests   # Perform actions you want to profile
>>> # Press CTRL+D to stop tracing

>>> secimport build   # Build sandbox from trace
>>> secimport run     # Run with enforcement

Utilizzo avanzato

Opzioni della riga di comando

secimport trace              # Trace a new Python process
secimport trace_pid <PID>    # Trace an existing process
secimport build              # Build sandbox from trace
secimport run [options]      # Run with enforcement

Modalità di applicazione

# Stop on violation
secimport run --stop_on_violation=true

# Kill on violation
secimport run --kill_on_violation=true

API Python

import secimport

# Replace standard import with secure import
requests = secimport.secure_import('requests', allowed_syscalls=['open', 'read', ...])

Installazione manuale

1. Installare Python con le sonde USDT:

   # Configure Python with --enable-dtrace
   # See detailed instructions in our wiki
   

2. Installa un backend supportato (eBPF o DTrace)

   # Ubuntu/Debian
   apt-get install bpftrace
   
   # For other platforms, see our Installation wiki
   

3. Installare secimport

   pip install secimport
   

Supporto seccomp-bpf tramite nsjail

Oltre alla sandbox che secimport crea,
Il comando secimport build crea una sandbox nsjail con profilo seccomp per il codice tracciato.
nsjail abilita il sandboxing tramite namespace con seccomp su Linux
secimport genera automaticamente profili seccomp da usare con nsjail come script bash eseguibile. Può essere utilizzato per limitare le syscall dell'intero processo Python, come ulteriore livello di difesa.

Documentazione