Dependency Combobulator

Dependency Combobulator هو إطار عمل مفتوح المصدر، معياري وقابل للتوسع، لاكتشاف ومنع تسرب التبعيات والهجمات المحتملة. يسهّل هذا الإطار نهجًا شاملًا لضمان إصدارات تطبيقات آمنة يمكن تقييمها مقابل مصادر مختلفة (مثل GitHub Packages، JFrog Artifactory) وأنظمة إدارة حزم متعددة (مثل npm، maven).

الجمهور المستهدف

يمكن استخدام الإطار من قبل مدققي الأمان، ومختبري الاختراق، وحتى دمجه في برنامج أمان التطبيقات ودورة الإصدار في المؤسسة بطريقة آلية.

الميزات الرئيسية

• قابل للتوصيل - يمكن التدخل على مستوى الالتزام، البناء، خطوات الإصدار في دورة حياة تطوير البرمجيات (SDLC).
• قابل للتوسع - أضف بسهولة نظام إدارة الحزم أو مصدر الشيفرة الذي تختاره.
• محرك الاستدلال العام - نموذج بيانات مجرد للحزم يوفر نهجًا استدلاليًا غير محدد.
• يدعم مجموعة واسعة من التقنيات.
• مرن - يمكن تحديد أشجار القرار بناءً على الرؤى أو الأحكام التي يقدمها الإطار.

سهل التوسعة

يركز المشروع على قدرة الممارس على توسيع الإطار وتكييفه وفق احتياجاته الخاصة. لذلك، تم تصميمه ليكون قابلاً للتوسيع ليشمل مصادر أخرى، وسجلات عامة، وأنظمة إدارة حزم، وتوسيع النموذج المجرد ومحرك الاستدلال المصاحب.

التثبيت

Dependency Combobulator جاهز للعمل كما هو - فقط قم بـ git clone أو تنزيل الحزمة من https://github.com/apiiro/combobulator

تأكد من تثبيت التبعيات المطلوبة عن طريق تشغيل:

pip install -r requirements.txt

الوسائط (--help)

  -h, --help            show this help message and exit
  -t {npm,maven}, --type {npm,maven}
                        Package Manager Type, i.e: npm, maven
  -l LIST_FROM_FILE, --load_list LIST_FROM_FILE
                        Load list of dependencies from a file
  -d FROM_SRC, --directory FROM_SRC
                        Extract dependencies from local source repository
  -p--package SINGLE    Name a single package.
  -c CSV, --csv CSV     Export packages properties onto CSV file
  -gh GITHUB_TOKEN, --github GITHUB_TOKEN
                        GitHub Access Token (Overrides .env file setting)
  -a {compare,comp,heuristics,heur}, --analysis {compare,comp,heuristics,heur}
                        Required analysis level - compare (comp), heuristics
                        (heur) (default: compare)

Apiiro <Heart> Community

أنواع الحزم المدعومة (-t, --t): npm, maven

تقييم مصدر التبعية المدعوم:

• من ملف يحتوي على معرفات التبعية سطرًا بسطر. (-l, --load_list)
• عن طريق تحليل قائمة مكونات البرنامج الخاصة بالمستودع المناسب (مثل package.json, pom.xml) (-d, --directory)
• تسمية معرف واحد (-p, --package)

مستوى التحليل قابل للتخصيص حيث يمكنك بناء ملف التحليل المفضل لديك في ثوانٍ. يأتي Dependency Combobulator مع عدة مستويات تحليل جاهزة، يتم تحديدها بواسطة -a, --analysis

صيغة الإخراج المدعومة:

• شاشة stdout (افتراضي)
• تصدير CSV إلى ملف محدد (-CSV)

أمثلة الاستخدام

https://user-images.githubusercontent.com/90651458/140915800-c267034b-90c9-42d1-b12a-83e12f70d44e.mp4

الشكر

المشروع يتم صيانته ورعايته بواسطة Apiiro 💜

نحن نكرم المطورين العظماء وممارسي أمن التطبيقات الذين لديهم شغف بالتغيير 🙏