CodeSec من Contrast Security

توفّر CodeSec:

• أسرع وأدق ماسح ضوئي بتقنية SAST.
• نتائج فورية وقابلة للتنفيذ — افحص الكود وبيئات serverless.
• عملية تسجيل دخول سلسة وخالية من الاحتكاك عبر حساب GitHub أو Google. من البداية إلى النهاية في دقائق.
• من خلال تشغيل فحص على دوال lambda الخاصة بك، يمكنك اكتشاف: ثغرات إدارة الهوية والوصول (IAM) ذات الامتيازات الأقل (السياسات المفرطة في الصلاحيات) ومعالجتها.

التثبيت

NPM:

npm install --location=global @contrast/contrast

Homebrew:

brew tap contrastsecurity/tap

brew install contrast

الملفات الثنائية:

1. انتقل إلى https://pkg.contrastsecurity.com/ui/repos/tree/General/cli

2. اختر نظام التشغيل الخاص بك داخل مجلد cli وحمّل الحزمة.

3. يجب أن تسمح بأذونات التنفيذ على الملف حسب نظام التشغيل لديك.

المصادقة

قم بالمصادقة بإدخال contrast auth في الطرفية.

في نافذة المتصفح الناتجة، سجّل الدخول وقم بالمصادقة باستخدام بيانات اعتماد GitHub أو Google الخاصة بك.

تشغيل فحص

فحص SAST

المتطلبات

تأكد من أن لديك أنواع الملفات الصحيحة للفحص.

• ارفع ملف .jar أو .war لفحص مشروع Java للتحليل
• ارفع ملف .js أو .zip لفحص مشروع JavaScript للتحليل
• ارفع ملف .exe. أو .zip لفحص مشروع نماذج ويب .NET c#

بدء الفحص

استخدم أمر الفحص contrast scan

فحص دالة Lambda

المتطلبات

• يدعم حالياً دوال Java و Python على AWS. قم بتكوين بيانات اعتماد AWS على بيئتك المحلية عن طريق تشغيل الأوامر مع بيانات اعتمادك:

export AWS_DEFAULT_REGION=<YOUR_AWS_REGION>
export AWS_ACCESS_KEY_ID=<YOUR_ACCESS_KEY_ID>
export AWS_SECRET_ACCESS_KEY=<YOUR_SECRET_ACCESS_KEY>

• يجب أن تكون بيانات اعتماد AWS متاحة في إعداداتك المحلية (عادةً ~/.aws/credentials). لديك خيار تشغيل فحص lambda باستخدام ملف تعريف aws-profile الخاص بك عبر تمرير --profile. يمكنك أيضاً تصدير بيانات اعتماد مختلفة.

• هذه الأذونات مطلوبة لجمع كل المعلومات اللازمة حول AWS Lambda لاستخدام الأمر contrast lambda:

  • Lambda: GetFunction | GetLayerVersion
  • IAM: GetRolePolicy | GetPolicy | GetPolicyVersion | ListRolePolicies | ListAttachedRolePolicies

بدء الفحص

استخدم contrast lambda لفحص دوال AWS Lambda الخاصة بك. contrast lambda --function-name MyFunctionName --region my-aws-region

أوامر Contrast

auth

قم بمصادقة Contrast باستخدام حساب GitHub أو Google. سيتم فتح نافذة متصفح جديدة لتسجيل الدخول.

الاستخدام: contrast auth

config

يعرض بيانات الاعتماد المخزنة.

الاستخدام: contrast config

الخيارات:

• -c, --clear - يزيل بيانات الاعتماد المخزنة.

scan

ينفّذ فحص أمان SAST.

الاستخدام: contrast scan [option]

الخيارات:

• contrast scan --file

  • مسار الملف الذي تريد فحصه. يبحث Contrast عن ملف .jar أو .war أو .js. أو .zip في دليل العمل إذا لم يتم تحديد ملف.
  • الاسم المستعار: --f

• contrast scan --name

  • اسم مشروع Contrast. إذا لم يتم تحديده، يستخدم Contrast ملف contrast.settings لتحديد المشروع أو ينشئ مشروعاً.
  • الاسم المستعار: –n

• contrast scan --save

  • تنزيل النتائج إلى ملف بصيغة تبادل نتائج التحليل الثابت (SARIF). يتم تنزيل الملف إلى دليل العمل الحالي باسم افتراضي هو results.sarif. يمكنك عرض الملف باستخدام أي محرر نصوص.
  • الاسم المستعار: -s

• contrast scan --timeout

  • الوقت بالثواني للانتظار حتى اكتمال الفحص. القيمة الافتراضية هي 300 ثانية.
  • الاسم المستعار: -t

lambda

اسم دالة AWS lambda المراد فحصها.

الاستخدام: contrast lambda --function-name

الخيارات:

• contrast lambda --function-name --endpoint-url تجاوز نقطة نهاية AWS. مشابه لـ AWS CLI. الاسم المستعار: -e

• contrast lambda --function-name --region تجاوز المنطقة. الافتراضي هو AWS_DEFAULT_REGION. مشابه لـ AWS CLI. الاسم المستعار: -r

• contrast lambda --function-name --profile تجاوز ملف تعريف إعدادات AWS. مشابه لـ AWS CLI. الاسم المستعار: -p

• contrast lambda --function-name --json إرجاع الاستجابة بصيغة JSON (بدلاً من التنسيق الافتراضي المقروء للبشر). الاسم المستعار: -j

• contrast lambda -–function-name -–verbose يعيد معلومات موسّعة إلى الطرفية. الاسم المستعار: -v

• contrast lambda -–function-name --list-functions يعرض جميع دوال lambda المتاحة للفحص.

• contrast lambda --function-name -–help يعرض دليل الاستخدام. الاسم المستعار: -h

help

يعرض دليل الاستخدام. لإدراج مساعدة تفصيلية لأي أمر من أوامر CLI، أضف العلامة -h أو --help إلى الأمر. الاستخدام: contrast scan --help الاسم المستعار: -h

version

يعرض إصدار Contrast CLI. الاستخدام: contrast version الاسم المستعار: -v, --version