Security Review - przegląd modułu Drupala
Podczas pracy nad projektem istnieje wiele sposobów na podniesienie bezpieczeństwa strony. Jednym z nich jest wykorzystanie zautomatyzowanych testów bezpieczeństwa, które wspomagają programistów w wyeliminowaniu jak największej liczby błędów bezpieczeństwa.
W Droptica nasz zespół programistów Drupala skupia się na dostarczeniu najbezpieczniejszych rozwiązań. Pomaga nam w tym sam drupalowy CMS, który jest bezpieczniejszy niż inne systemy CMS. Dzięki ogromnej społeczności skupionej wokół projektów open source, do którego Drupal należy, klienci otrzymują rozwiązania z jednej strony efektywne, z drugiej mają pewność co do bezpieczeństwa. W tym miejscu warto nadmienić o specjalnym zespole dedykowanym właśnie temu zagadnieniu, którym jest Drupal Security Team.
Chciałbym w tym tekście przybliżyć Ci działanie jednego z narzędzi pozwalających podnieść bezpieczeństwo Twojej strony internetowej - modułu Security Review.
Daty
Moduł został wydany 4 listopada 2009 natomiast ostatnia aktualizacja miała miejsce 4 października 2019 roku. Moduł posiada wersję na Drupala 7 oraz 8.
Popularność modułu
Według drupal.org modułu używa 30000 stron z czego 28000 to Drupal 7 a 2000 to Drupal 8.
Autorzy modułu
Autorem modułu jest użytkownik greggles. Moduł jest wspierany i rozwijany przez organizacje Acquia, CARD.com oraz Google Summer of Code. Najwięcej commitów dostarczyli użytkownicy coltrane (111), banviktor (58) oraz greggles (8).
Do czego służy moduł
Moduł przeprowadza automatyczny audyt strony wyszczególniając wiele wektorów ataku, które mogą prowadzić do błędów bezpieczeństwa. Oto lista niektórych z nich.
Uprawnienia do plików
Zapisywanie plików w głównym katalogu serwera jest niebezpieczne i może prowadzić do błędu typu remote code execution. Atakujący może użyć tej podatności do przejęcia kontroli nad stroną. Więcej informacji na temat poprawnej konfiguracji uprawnień można znaleźć pod tym linkiem.
Lista tagów akceptowanych przez formaty tekstu dostępne w CMS
Niektóre tagi HTML są określane jako niebezpieczne. Oznacza to, że mogą pozwolić atakującemu na przejęcie kontroli nad stroną. Drupal posiada mechanizm filtrowania HTML, który usuwa szkodliwe tagi - ten test sprawdza, czy filtrowanie jest skonfigurowane poprawnie.
Raportowanie błędów
Drupal może ujawniać informacje o błędach osobom nieuprawnionym. Atakujący może wykorzystać te informacje do doprecyzowania ataku lub znalezienia kolejnych wektorów.
Niebezpieczne rozszerzenia plików
Niektóre rozszerzenia są określane jako niebezpieczne. Oznacza to, że mogą powodować błędy bezpieczeństwa takie jak remote code execution. Atakujący może dzięki temu przejąć kontrolę nad stroną, a Security Review sprawdza, czy Drupal pozwala na przesyłanie plików o niebezpiecznych rozszerzeniach.
Błędy bazy danych
Wiele błędów bazy danych wywoływanych z jednego adresu IP to przesłanka do tego, że ktoś próbuje dokonać ataku typu SQL injection. Moduł informuje, czy wiele błędów bazy danych zostało wywołanych z tego samego adresu IP.
Brute force panelu logowania
Wiele nieudanych prób logowania to przesłanka, że ktoś stara się dostać na konto innego użytkownika. Jesteśmy o tym informowani.
Trusted hosts (HTTP host header attack)
Poprawna konfiguracja Trusted Host chroni przed atakiem typu HTTP host header, dogłębny opis ustawień jest dostępny pod tym linkiem.
Views access
Security Review rekomenduje, aby dostęp do widoków Drupala posiadał przynajmniej minimalną kontrolę dostępu ‘access content’. Ten test sprawdza, czy widoki posiadają przynajmniej minimalny poziom kontroli dostępu.
Security Review nie wprowadza żadnych poprawek bezpieczeństwa, a jedynie sugeruje, w których miejscach mogą istnieć wektory ataku. Są to sugerowane zmiany, które wymagają analizy przez specjalistę.
Unboxing
Moduł instalujemy standardowo, lecz sugerujemy wykorzystanie Composera:
composer require drupal/security_review
Ustawienia
Przechodząc pod adres:
/admin/config/security-review
możemy skonfigurować moduł wybierając role, które nie są zaufane. Security Review sprawdza na tej podstawie, czy użytkownicy z niezaufanymi rolami posiadają uprawnienia do funkcjonalności, które mogą powodować błędy bezpieczeństwa. Możemy również wybrać, które elementy z listy do sprawdzenia chcemy pominąć oraz wybrać metodę sprawdzania trusted hosts.
Konfiguracja ról
Moduł dostarcza dwa rodzaje uprawnień: ‘access security review list’, ‘run security checks’. W pierwszej kolejności należy skonfigurować zaufane role, które będą mogły odczytywać raporty oraz uruchamiać skan. W tym celu należy przejść pod adres:
/admin/people/permissions
i skonfigurować uprawnienia dla wybranych ról.
Użycie modułu
Moduł został już skonfigurowany. Aby uruchomić audyt, wystarczy przejść pod adres:
/admin/reports/security-review
i kliknąć “Run checklist”, a następnie Security Review przeprowadzi audyt. Można również użyć komendy drusha:
drush secrev
Każdy test posiada podsumowanie, które możemy zobaczyć klikając na “details”.
Przykład dla błędu “Errors are written to the screen”:
Przechodząc do ustawień logowania błędów widzimy, że Drupal przedstawia wszystkie informacje, łącznie z backtrace:
W przypadku wersji produkcyjnej strony należy ustawić tę opcję na “none”, aby zminimalizować ryzyko ujawnienia informacji, które mogą pomóc atakującemu w przejęciu strony.
Podobne informacje są przedstawione dla każdego z błędów bezpieczeństwa wykrytych podczas audytu. Wszystkie punkty należy przejrzeć manualnie i wprowadzić odpowiednie zmiany, jeśli są one wymagane.
Alternatywne moduły
Moduł Paranoia identyfikuje wszystkie miejsca, w których użytkownik może mieć możliwość wywołania niestandardowego kodu PHP i stara się je blokować. Redukuje to możliwość wystąpienia błędu remote code execution. Dodatkowo, moduł zabezpiecza główne konto admina (konto z id 1) uniemożliwiając jego edycję oraz blokuje możliwość odinstalowania samego siebie w standardowy sposób (aby odinstalować moduł paranoia, należy manualnie edytować bazę danych). Wszystkie funkcjonalności dostarczane przez moduł paranoia mają na celu zwiększenie bezpieczeństwa strony.
Podsumowanie
Moduł Security Review to niezwykle ważne i przydatne narzędzie. Dzięki zebranym przez moduł informacjom, zyskujesz bezcenną wiedzą dotyczącą tego, co należy zrobić, by poprawić bezpieczeństwo swojej strony. Po przeanalizowaniu wyników możesz wyeliminować niektóre z wektorów ataku. Nasz zespół rekomenduje użycie tego modułu podczas tworzenia strony.
