Опубликован secimport 0.8 для sandbox-изоляции отдельных Python-модулей

26.05.2023 10:50

Доступен выпуск инструментария secimport 0.8, позволяющего изолировать определённые Python-модули при их использовании в своих проектах. Код secimport написан на Python, распространяется под лицензией MIT и может работать в Linux, Windows, macOS и Solaris. Для трассировки выполнения и блокирования системных вызовов применяются подсистемы DTrace и eBPF.

Инструментарий даёт возможность построить профиль выполнения каждого модуля, используемого в приложении. Кроме отладочных целей, при помощи специальной обвязки созданный профиль можно задействовать на этапе импорта для блокировки в выбранных модулях системных вызовов, отличных от тех, что упомянуты в профиле, что позволит блокировать активность, в случае эксплуатации уязвимостей, или не допустить нецелевое использование модулей, не заслуживающих доверия.

Secimport также может применяться для выборочной блокировки опасных системных вызовов и принудительного ограничения функциональности, например, запрета сетевых операций, запуска процессов или доступа к файлам. Для отслеживания системных вызовов в Linux применяется пакет bpftrace, а в macOS, Solaris и Windows - инструментарий DTrace. Отмечается, что модуль готов для рабочих применений и оказывает минимальное влияние на производительность.

исправить +8 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/59200-secimport

Ключевые слова: secimport, sandbox, python

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (33)

1.1, Ivan_83 (ok), 11:04, 26/05/2023 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ] [к модератору]	+6 +/–

2.3, Аноним (3), 11:20, 26/05/2023 Скрыто ботом-модератором [к модератору]	+3 +/–

3.13, Омноном (?), 13:32, 26/05/2023 Скрыто ботом-модератором [к модератору]	–4 +/–

4.18, Аноним (3), 14:44, 26/05/2023 Скрыто ботом-модератором [к модератору]	+2 +/–

2.4, 1 (??), 11:23, 26/05/2023 Скрыто ботом-модератором [к модератору]	+/–

3.8, Аноним (3), 11:44, 26/05/2023 Скрыто ботом-модератором [к модератору]	–2 +/–

4.12, 1 (??), 12:49, 26/05/2023 Скрыто ботом-модератором [к модератору]	+1 +/–

5.16, Аноним (3), 14:41, 26/05/2023 Скрыто ботом-модератором [к модератору]	+/–

4.14, keydon (ok), 13:59, 26/05/2023 Скрыто ботом-модератором [к модератору]	+/–

5.17, Аноним (3), 14:42, 26/05/2023 Скрыто ботом-модератором [к модератору]	+/–

4.26, YetAnotherOnanym (ok), 19:18, 26/05/2023 Скрыто ботом-модератором [к модератору]	–2 +/–

5.30, Аноним (30), 20:31, 26/05/2023 Скрыто ботом-модератором [к модератору]	+/–

6.32, YetAnotherOnanym (ok), 21:25, 26/05/2023 Скрыто ботом-модератором [к модератору]	+/–

7.43, Аноним (43), 03:25, 28/05/2023 Скрыто ботом-модератором [к модератору]	+2 +/–

8.44, YetAnotherOnanym (ok), 11:16, 28/05/2023 Скрыто ботом-модератором [к модератору]	–1 +/–

9.45, Аноним (45), 17:41, 28/05/2023 Скрыто ботом-модератором [к модератору]	+/–

9.46, Аноним (46), 19:15, 28/05/2023 Скрыто ботом-модератором [к модератору]	+/–

6.37, _kp (ok), 02:41, 27/05/2023 Скрыто ботом-модератором [к модератору]	–1 +/–

7.38, keydon (ok), 10:46, 27/05/2023 Скрыто ботом-модератором [к модератору]	+/–

4.36, _kp (ok), 02:38, 27/05/2023 Скрыто ботом-модератором [к модератору]	+/–

....ответы скрыты (19)

1.2, Аноним (3), 11:19, 26/05/2023 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
И как в себе воспитать экстрасенсорные способности какие вызовы в каком пакете заблокировать?

2.5, 1 (??), 11:24, 26/05/2023 [^] [^^] [^^^] [ответить]	+1 +/–
На самом деле всё очень просто ... Запрещаешь ВСЁ ! А потом потихоньку приоткрываешь крышечку ящика пандоры.

3.6, Аноним (3), 11:38, 26/05/2023 [^] [^^] [^^^] [ответить]	+/–
А если таких пакетов например 100, а критериев запрещение например 10. Буду потихонечку открывать в 1000 итераций, когда я узнаю что вот зловред уже вылез или нет?

2.9, Ivan_83 (ok), 11:59, 26/05/2023 [^] [^^] [^^^] [ответить]	+5 +/–
Не тащить в рот каку проще чем потом гадать от чего лечится. Все модные-современные языки это как раз про 100500 зависимостей на каждый чих, а потом поди угадай из какой зависимости и что прилетит.

2.10, Аноним (10), 12:41, 26/05/2023 [^] [^^] [^^^] [ответить]	+/–
Все пакеты с десериализацией рандомных блобов рандомно подгружаемых из интернета можешь блокировать, к примеру. Т.е. половину каталога.

1.7, Да ну нахер (?), 11:39, 26/05/2023 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Прекрасно, а как мне заизолировать сам secimport?

2.11, 1 (??), 12:48, 26/05/2023 [^] [^^] [^^^] [ответить]	+2 +/–
докер в докер в докер в докер и всё это в VM

3.19, Аноним (3), 14:45, 26/05/2023 [^] [^^] [^^^] [ответить]	+/–
Стараюсь всё это если не гуёвое запускать в докере и всё равно каждый страшно вдруг что вылезет из контейнера.

4.25, Аноним (46), 19:14, 26/05/2023 [^] [^^] [^^^] [ответить]	+/–
Ну запускай в виртуалке, кто ж мешает

1.27, YetAnotherOnanym (ok), 19:21, 26/05/2023 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ] [к модератору]	–4 +/–

2.29, Аноним (46), 19:31, 26/05/2023 Скрыто ботом-модератором [к модератору]	+1 +/–

3.31, YetAnotherOnanym (ok), 21:13, 26/05/2023 Скрыто ботом-модератором [к модератору]	+/–

3.35, Аноним (35), 00:16, 27/05/2023 Скрыто ботом-модератором [к модератору]	–2 +/–

игнорирование участников | лог модерирования

Добавить комментарий

Текст: