CVE-Manager

cve-manager - консольная программа, предназначенная для формирования базы данных уязвимостей программ заданных репозиториев rpm-пакетов, а также для предоставления интерфейса к записям сформированной базы данных (например, для дальнейшего их представления на web-ресурсе и осуществления почтовой рассылки).

На данный момент поддерживается два источника списков уязвимостей - NVD (National Vulnerability Database) и ФСТЭК (Федеральная служба по техническому и экспортному контролю).

Имеет модульную структуру, написана на Python и C++. Распространяется по лицензии GPLv3.0.

Структура программы

cve-manager состоит из следующих модулей:

1. cve-manager - диалоговый интерфейс для запуска всех остальных модулей;
2. cve-backup - осуществляет резервное копирование/восстановление ранее сформированной базы данных уязвимостей (БДУ);
3. cve-download - осуществляет загрузку по HTTPS списков уязвимостей, предоставляемых NVD и ФСТЭК, а также CPE словаря;
4. cve-import - осуществляет для выбранных репозиториев внесение списка пакетов, которые размещены на alt-сервере (например /ALT/p8/files/list/src.list и /ALT/p8/files/list/bin.list для ветви p8), а также внесение загруженных списков уязвимостей и CPE словаря в БД MySQL; Имеет возможность фильтрации импортируемых списков пакетов в соответствии с содержимым предоставляемого текстового файла, каждая строка которого является названием пакета, информация о котором должна быть учтена в БДУ;
5. cve-fixes - извлекает 'Fixes' записи и URL из метаданных всех исходных пакетов рассматриваемых репозиториев, использует gb-x-parse-vulns-from-changelog;
6. cpe-map - осуществляет установление соответствия импортированных в БД названий исходных пакетов рассматриваемых репозиториев и 1) названий программных продуктов из импортированного в БД CPE словаря, а также 2) названий программных продуктов из импортированного в БД списка уязвимостей ФСТЭК;
7. cve-issues - осуществляет установление соответствия между данными, внесёнными в БД с помощью модулей cve-import, cpe-map, cve-fixes, а именно - записи в БД вида "<CVE или ФСТЭК идентификатор>, <название пакета>, <Fix-status>", где <Fix-status> - значение из следующего набора:
   1. changelog - устранение данной уязвимости обозначено в changelog-секции пакета;
   2. bigger version - версия пакета в репозитории больше данной уязвимой версии;
   3. lesser version - версия пакета в репозитории меньше данной уязвимой версии;
   4. [NO FIX] - версия пакета в репозитори совпадает с уязвимой версией пакета и устранение данной уязвимости не зафиксировано;
8. cve-monitor - предназначен для посылки запросов в БД и выдачи результатов, например получение списка всех пакетов с имеющимися незакрытыми уязвимостями; На данный момент (версия 0.17.0) результаты представляются в произвольной текстовой форме, в ближайшей перспективе возможность их получения в формате XML/JSON/YAML.

Все модули кроме cve-import написаны на Python, cve-import написан на C++.

Настройка

Параметры cve-manager определяются файлом ini-формата /etc/cve-manager/cve-manager.conf. Данный ini-файл состоит из следующих секций:

1. database, содержащей параметры соединения с базой данных MySQL;
2. branches, содержащей метки о рассмотрении (значение 1) или не рассмотрении (значение 0) соответствующей ветви Sisyphus;
3. paths, в которой указывается путь к корневому каталогу alt-сервера, а также путь к каталогу, в который cve-download загружает входные данные и откуда cve-import их импортирует в БД.

Файл настройки принадлежит пользователю root, относится к группе cve и имеет режим rw-rw----. Также группе cve принадлежат все модули, кроме модуля cve-monitor.

Таким образом вносить изменения в БДУ могут только члены группы cve. При этом cve-monitor имеет свой файл настройки /etc/cve-manager/cve-monitor.conf, позволяющий пользователям, не являющимся членами группы cve, осуществлять соединение с БДУ с правом только на чтение (SELECT) - структура данного файла повторяет структуру файла cve-manager.conf за исключением отсутствия секции paths.

Использование

Запуск cve-manager:
cve-manager [-h] [-a] [-t] [-p] [-d]

-h, --help - Вывод справки;

-a, --auto - Запуск модулей один за другим в автоматическом режиме;

-s MODULE_NAME, --starting_step MODULE_NAME - Запуск работы в автоматическом режиме с указанного шага (название модуля без приставки "cve-")

-t, --timer - Задействование таймера, который измеряет интервалы времени исполнения запускаемых модулей;

-p, --plain - Упрощенный вывод (следует использовать, например, при записи в файл).

При запуске без параметра "-a" cve-manager работает в диалоговом режиме - на каждом шаге выводится справочная информация о возможных действиях. На первом шаге следует выбрать нужный для использования в данный момент модуль, при выборе модуля выводится справочная информация данного модуля. При начале работы с нуля следует запускать модули в том порядке, в котором они перечислены в разделе "Структура программы".

При этом, так как каждый модуль является самостоятельной программой, можно запускать модули напрямую, например:

cve-download --everything

cve-import --prepare

Разворачивание базы данных уязвимостей

Для работы cve-manager нет необходимости устанавливать MySQL сервер и создавать БД уязвимостей в своём окружении - в настройках cve-manager может быть указан адрес удалённого сервера. Тем не менее, это можно сделать, выполнив следующие шаги:

1. Установить MySQL сервер:

apt-get install MySQL-server

2. Внести изменения в файл настройки MySQL сервера /etc/my.cnf.d/server.cnf:

#skip-networking
bind-address = 127.0.0.1

3. Перезапустить MySQL сервер и запустить MySQL консоль:

su -l -c 'service mysqld restart'

mysql -u root

4. Задать пароль пользователя MySQL с именем root:

mysql> SET PASSWORD FOR 'root'@'localhost' = PASSWORD('root-passwd');

, где root-passwd - задаваемый пароль пользователя root;

5. Добавить пользователя MySQL, от имени которого будет осуществляться формирование БД:

mysql> GRANT ALL PRIVILEGES ON *.* to 'user-name'@'localhost' IDENTIFIED BY 'user-passwd';

, где user-name - имя пользователя, user-passwd- пароль пользователя;

6. Добавить пользователя MySQL, от имени которого будут осуществляться запросы на чтение записей БД (мониторинг):

mysql> GRANT SELECT ON *.* TO 'monitor'@'localhost' IDENTIFIED BY 'monitor';

7. При использовании MySQL-server версии >= 5.7 может возникнуть его несовместимость с используемыми C++ и Python MySQL-фреймворками; Для исправления этого следует (например, для совместимости с версией 5.6):

7.1. Задать режим обратной совместимости в mysql консоли:

mysql -u root -p

mysql> set @@global.show_compatibility_56=ON;

7.2. Добавить в файл /etc/my.cnf.d/server.cnf строку:

show_compatibility_56 = 1

Ссылки

Проект на git.altlinux.org