أورا بوريلس: هل تعرف ما يوجد داخل حزم بايثون الخاصة بك؟

حول

أورا بوريلس هو تطبيق ويب لتصور الأكواد الشاذة والتي قد تكون ضارة في سجلات حزم بايثون. يستخدم بيانات تدقيق أمني منتجة عن طريق فحص مؤشر حزم بايثون (PyPI) عبر أورا، وهو تحليل ثابت مصمم لتدقيق أمني واسع النطاق لحزم بايثون. الأداة الحالية هي نموذج إثبات المفهوم، وتتضمن بعض بيانات أورا الحية، بالإضافة إلى بعض البيانات الوهمية لأغراض العرض.

الميزات الحالية تتضمن:

• مسح سجل حزم بايثون بالكامل لـ:

  • عرض الحزم ذات أعلى عدد من التحذيرات الأمنية، مرتبة حسب نوع التحذير في أورا
  • عرض الحزم مرتبة حسب العدد الإجمالي والفريد للتحذيرات
  • عرض الحزم حسب درجة الخطورة الإجمالية

• عرض التحذيرات الأمنية لحزمة فردية، مرتبة حسب الأهمية

• تصور أرقام الأسطر وأسطر الأكواد في الملفات التي تولد تحذيرات أمنية لحزمة معينة

• مقارنة حزمتين من حيث التحذيرات الأمنية

التعليمات

قم بتشغيل VPN الخاص بك (في IQT)

استنساخ المستودع.

git clone https://github.com/IQTLabs/AuraBorealisApp.git

انتقل إلى دليل aura-borealis-flask-app.

cd aura-borealis-flask-app

تثبيت التبعيات.

pip install -r requirements.txt

تشغيل التطبيق.

python app.py

انتقل إلى الرابط http://0.0.0.0:7000/ عبر متصفح.

خريطة طريق الميزات

• مقارنة حزمة مع ملف معياري للحزم ذات الغرض المماثل من حيث التحذيرات الأمنية
• مقارنة إصدارات مختلفة من نفس الحزمة من حيث التحذيرات الأمنية
• عرض الحزم التي لديها تغييرات في تحذيراتها و/أو درجة خطورتها بين تاريخين
• القدرة على فحص حزمة/سجل داخلي غير عام على PyPI
• عرض تحليل للأذونات (هل تقوم هذه الحزمة بإجراء اتصال شبكي؟ هل تتطلب هذه الحزمة أذونات مكتبة على مستوى نظام التشغيل؟)

معلومات الاتصال

[email protected] (جون سبيد مايرز، مختبرات IQT، قائد مشروع إعادة استخدام الكود الآمن).

المطور الرئيسي ومنشئ أورا هو مارتن كارنوغوسكي من sourcecode.ai.

أعمال ذات صلة

• منشور مدونة IQT حول إعادة استخدام الكود الآمن
• منشورات مدونة IQT حول التلاعب بالأسماء و منع التلاعب بالأسماء عبر pypi-scan
• مقال USENIX حول "عد الروابط المكسورة: نظرة محلل كمي لأمن سلسلة توريد البرمجيات"
• مجموعة بيانات مفتوحة المصدر من IQT مجموعة البيانات حول اختراقات سلسلة توريد البرمجيات المعروفة