geçenlerde Google açıkladı bir blog yazısı aracılığıyla fuzzing testlerinin düzenlenmesine izin veren ClusterFuzzLite projesi Sürekli entegrasyon sistemlerinin çalışma aşamasında olası güvenlik açıklarının erken tespiti için kod.
Şu anda, ClusterFuzz GitHub Eylemlerinde çekme isteklerinin fuzz testini otomatikleştirmek için kullanılabilir, Google Cloud Derleme ve Prow, ancak gelecekte diğer IC sistemleriyle uyumlu olması bekleniyor. Proje, bulanık test kümelerinin çalışmasını koordine etmek için oluşturulan ClusterFuzz platformuna dayanıyor ve Apache 2.0 lisansı altında dağıtılıyor.
Google'ın 2016 yılında OSS-Fuzz hizmetini tanıtmasının ardından, sürekli fuzzing test programına 500'den fazla büyük açık kaynak projesinin kabul edildiğini belirtmek gerekir. Gerçekleştirilen kontroller sonucunda 6.500'den fazla onaylanmış güvenlik açığı giderildi ve 21.000'den fazla hata düzeltildi.
ClusterFuzzLite Hakkında
ClusterFuzzLite, bulanık test mekanizmaları geliştirmeye devam ediyor Önerilen değişikliklerin akran incelemesi aşamasında sorunları daha erken belirleme yeteneği ile. ClusterFuzzLite, systemd ve curl projelerindeki değişiklik inceleme süreçlerinde zaten tanıtıldı., yeni kodun doğrulanmasının ilk aşamasında kullanılan statik analizörlerde ve linterlerde tespit edilmeyen hataların tespit edilmesini mümkün kılmıştır.
Bugün, güvenlik açıklarını her zamankinden daha hızlı bulmak için CI / CD iş akışlarının bir parçası olarak çalışan sürekli bir bulanıklaştırma çözümü olan ClusterFuzzLite'ı duyurmaktan mutluluk duyuyoruz. Sadece birkaç satır kodla GitHub kullanıcıları, ClusterFuzzLite'ı iş akışlarına entegre edebilir ve hataları yapılmadan önce yakalamak için fuzz çekme isteklerini gerçekleştirerek yazılım tedarik zincirinin genel güvenliğini iyileştirebilir.
2016'daki lansmanından bu yana, Google'ın OSS-Fuzz programına 500'den fazla kritik açık kaynak projesi entegre edildi ve bunun sonucunda 6.500'den fazla güvenlik açığı ve 21.000 işlevsel hata düzeltildi. ClusterFuzzLite, OSS-Fuzz ile el ele gider ve regresyon hatalarını geliştirme sürecinde çok daha erken tespit eder.
ClusterFuzzLite, C, C ++, Java'da proje doğrulamasını destekler (ve diğer JVM tabanlı diller), Go, Python, Rust ve Swift. Fuzzing testleri LibFuzzer motoru kullanılarak gerçekleştirilir. AddressSanitizer, MemorySanitizer ve UBSan (UndefinedBehaviorSanitizer) araçları da bellek hatalarını ve anormallikleri algılamak için çağrılabilir.
Temel özelliklerden ClusterFuzzLite, örneğin şunları vurgular: önerilen değişikliklerin hızlı doğrulanması kodun kabul edilmesinden önceki aşamadaki hataları bulmak ve ayrıca kazaların meydana geldiği koşullara ilişkin raporların indirilmesi, hareket etme yeteneği daha gelişmiş bulanıklaştırma testleri kod değişikliğini doğruladıktan sonra görünmeyen daha derin hataları belirlemek için, ayrıca testler sırasında kodun kapsamını değerlendirmek için kapsam raporlarının oluşturulması ve gerekli işlevselliği seçmenize izin veren modüler mimari.
systemd ve curlya dahil büyük projeler, kod incelemesi sırasında olumlu sonuçlarla ClusterFuzzLite kullanıyor. curl yazarı Daniel Stenberg'e göre, “İnsan gözden geçirenler kodu kabul edip onayladıklarında ve onların statik kod çözümleyicileri ve linterleri daha fazla sorun tespit edemediğinde, sizi bir sonraki kod olgunluğu ve sağlamlık düzeyine götüren şey fuzzingdir. OSS-Fuzz ve ClusterFuzzLite, tüm gün, her gün ve her etkileşimde curl'yi kaliteli bir proje olarak korumamıza yardımcı oluyor.
Fuzzing testlerinin, gerçek verilere (örneğin, rastgele etiket parametreleri olan html sayfaları, anormal başlıklara sahip dosyalar veya resimler, vb.) yakın her türlü rastgele girdi verisi kombinasyonundan oluşan bir akış oluşturduğunu ve süreçteki olası hataları düzelttiğini hatırlamalıyız.
Herhangi bir sıra başarısız olursa veya beklenen yanıtla eşleşmezse, bu davranış büyük olasılıkla bir hatayı veya güvenlik açığını gösterir.
Nihayet onun hakkında daha fazla bilgi edinmekle ilgileniyorsanayrıntıları kontrol edebilirsiniz Aşağıdaki bağlantıda.