CVE-Manager
cve-manager - консольная программа для отслеживания уязвимостей программного обеспечения, имеет модульную структуру, написана на Python и C++. Распространяется по лицензии GPLv3.0.
Структура программы
cve-manager состоит из следующих модулей:
- cve-manager - диалоговый интерфейс для запуска всех остальных модулей, написан на Python;
- cve-backup - осуществляет резервное копирование базы данных сформированной cve-manager, написан на Python;
- cve-download - осуществляет загрузку по https списков уязвимостей, предоставляемых NVD (National Vulnerability Database) и ФСТЭК (Федеральная служба по техническому и экспортному контролю), а также CPE словаря, написан на Python;
- cve-import - осуществляет для выбранных репозиториев внесение списка пакетов, которые размещены на alt-сервере (например "/ALT/Sisyphus/files/list/src.listа"), а также внесение загруженных списков уязвимостей и CPE словаря в базу данных (БД) MySQL, написан на C++;
- cpe-map - осуществляет установление соответствия импортированных в БД названий исходных пакетов рассматриваемых репозиториев и product из импортированного в БД CPE словаря, написан на Python;
- cve-fixes - извлекает 'Fixes' записи и URL из метаданных всех исходных пакетов рассматриваемых репозиториев, написан на Python, использует gb-x-parse-vulns-from-changelog;
- cve-issue - осуществляет установление соответствия между данными, внесёнными в БД с помощью модулей cve-import, cpe-map, cve-fixes, а именно - записи в БД вида "<CVE или ФСТЭК идентификатор>, <название пакета>, <наличие 'Fixes' записи>", написана на Python;
- cve-monitor - предназначен для посылки запросов в БД, например получение списка всех пакетов с имеющимися незакрытыми уязвимостями.
Настройка
Параметры cve-manager определяются файлом ini-формата /etc/cve-manager/cve-manager.conf. Данный ini-файл состоит из следующих секций:
1) database, содержащей параметры соединения с базой данных MySQL;
2) branches, содержащей метки о рассмотрении (значение 1) или не рассмотрении (значение 0) соответствующей ветви Sisyphus;
3) paths, в которой указывается путь к корневому каталогу alt-сервера, а также путь к каталогу, в который cve-download загружает входные данные и откуда cve-import их импортирует в БД.
Файл настройки принадлежит пользователю root, относится к группе cve и имеет режим rw-r-----. Таким образом, изменять файл настроек может только пользователь root, а для его чтения следует добавить нужного пользователя в группу cve (без возможности чтения файла настроек cve-manager работать не будет).
Использование
Запуск cve-manager:
cve-manager [-h] [-a] [-t] [-p] [-d]
-h, --help - Вывод справки;
-a, --auto - Запуск модулей один за другим в автоматическом режиме;
-s MODULE_NAME, --starting_step MODULE_NAME - Запуск работы в автоматическом режиме с указанного шага (название модуля без приставки "cve-")
-t, --timer - Задействование таймера, который измеряет интервалы времени исполнения запускаемых модулей;
-p, --plain - Упрощенный вывод (следует использовать, например, при записи в файл).
При запуске без параметра "-a" cve-manager работает в диалоговом режиме - на каждом шаге выводится справочная информация о возможных действиях. На первом шаге следует выбрать нужный для использования в данный момент модуль, при выборе модуля выводится справочная информация данного модуля. При начале работы с нуля следует запускать модули в том порядке, в котором они перечислены в разделе "Структура программы".
Разворачивание базы данных уязвимостей
Для работы cve-manager нет необходимости устанавливать MySQL сервер и создавать БД уязвимостей в своём окружении - в настройках cve-manager может быть указан адрес удалённого сервера. Тем не менее, это можно сделать, выполнив следующие шаги:
1) Установить MySQL сервер:
apt-get install MySQL-server
2) Внести изменения в файл настройки MySQL сервера /etc/my.cnf.d/server.cnf:
#skip-networking
bind-address = 127.0.0.1
3) Перезапустить MySQL сервер и запустить MySQL консоль:
su -l -c 'service mysqld restart'
mysql -u root
4) Задать пароль пользователя MySQL с именем root:
mysql> SET PASSWORD FOR 'root'@'localhost' = PASSWORD('root-passwd');
, где root-passwd - задаваемый пароль пользователя root
5) Добавить пользователя MySQL, от имени которого будет осуществляться работа с БД:
mysql> grant all privileges on *.* to 'user-name'@'localhost' identified by 'user-passwd';
, где user-name - имя пользователя, user-passwd- пароль пользователя.
6) При использовании MySQL-server версии >= 5.7 может возникнуть его несовместимость с C++ и Python MySQL-фреймворками;
Для исправления этого следует (например, для совместимости с версией 5.6):
6.1) Задать режим обратной совместимости в mysql консоли:
mysql -u root -p
mysql> set @@global.show_compatibility_56=ON;
6.2) Добавить в файл /etc/my.cnf.d/server.cnf строку:
show_compatibility_56 = 1