المحتويات

• الأدوات
  • تقوية إطار عمل الويب
  • تحليل الشيفرة الساكن
  • اختبار أمان التطبيقات الديناميكي
  • التحقق من الإدخال/الإخراج
  • التركيب الآمن
  • CSRF
  • الثغرات والتنبيهات الأمنية
  • التقوية الأمنية
• مصادر البيانات
• الحوادث الأمنية
• تعليمي
  • ساحة الاختراق
  • المقالات
  • الأوراق البحثية
  • الكتب
  • خرائط الطريق
• الشركات

الأدوات

تقوية إطار عمل الويب

• Helmet - يساعدك Helmet على تأمين تطبيقات Express الخاصة بك عبر تعيين رؤوس HTTP متنوعة.
• koa-helmet - يساعدك koa-helmet على تأمين تطبيقات Koa الخاصة بك عبر تعيين رؤوس HTTP متنوعة.
• blankie - إضافة CSP لـ hapi.
• fastify-helmet - يساعدك fastify-helmet على تأمين تطبيقات fastify الخاصة بك عبر تعيين رؤوس أمان مهمة.
• nis2-express-middleware - برمجية وسيطة شاملة لـ Express.js للامتثال لتوجيه NIS2 الأوروبي (التسجيل، والدفاع النشط، والإعدادات الافتراضية الآمنة).
• nuxt-security - 🛡 وحدة أمان لـ Nuxt مبنية على OWASP Top 10 وHelmet.
• reporting-api - برمجية وسيطة لـ Express لجمع تقارير CSP وCOOP/COEP وPermissions-Policy وNEL والأعطال وإهمال الميزات (Reporting API v0/v1 وreport-uri القديم).

أمان GitHub Actions وCI/CD

• New dependencies advisor - إجراء GitHub Action يضيف تعليقات إلى طلبات السحب تتضمن معلومات عن صحة الحزم الخاصة باعتماديات npm المضافة حديثًا.
• OpenSSF Scorecard Monitor - بسّط تتبع OpenSSF Scorecard في مؤسستك عبر تقارير Markdown وJSON آلية، بالإضافة إلى تنبيهات اختيارية عبر مشكلات GitHub.

تحليل الشيفرة الساكن

• eslint-plugin-security - قواعد ESLint لأمان Node. سيساعد هذا المشروع في تحديد نقاط الضعف الأمنية المحتملة، لكنه يجد الكثير من النتائج الإيجابية الخاطئة التي تحتاج إلى فرز من قبل الإنسان.
• tslint-plugin-security - قواعد TSLint لأمان Node. سيساعد هذا المشروع في تحديد نقاط الضعف الأمنية المحتملة، لكنه يجد الكثير من النتائج الإيجابية الخاطئة التي تحتاج إلى فرز من قبل الإنسان.
• safe-regex - اكتشاف التعبيرات النمطية الأسّية ذات الوقت الكارثي المحتمل عن طريق تحديد ارتفاع النجمة إلى 1.
• vuln-regex-detector - تتيح لك هذه الوحدة فحص تعبير نمطي بحثًا عن الثغرات. في JavaScript، يمكن أن تكون التعبيرات النمطية (regexes) "عرضة للخطر": قابلة للتتبع العكسي الكارثي. إذا كان تطبيقك يُستخدم على جانب العميل، فقد يكون هذا مشكلة في الأداء. على جانب الخادم، قد يعرّضك هذا لهجوم حجب الخدمة عبر التعبيرات النمطية (REDOS).
• regolith - مكتبة Regex لـ TypeScript صُممت لمنع هجمات ReDoS؛ أنشأت ارتباطات TypeScript لمكتبة Rust Regex لمنع هجمات حجب الخدمة عبر التعبيرات النمطية.
• git-secrets - يمنعك من إيداع الأسرار وبيانات الاعتماد في مستودعات git.
• DevSkim - DevSkim عبارة عن مجموعة من إضافات IDE وقواعد توفر قدرات "فحص" أمني. كما يدعم CLI بحيث يمكن دمجه في خط أنابيب CI/CD.
• ban-sensitive-files - يفحص أسماء الملفات المراد إيداعها مقابل مكتبة من قواعد أسماء الملفات لمنع تخزين الملفات الحساسة في Git. يفحص بعض الملفات بحثًا عن محتويات حساسة (على سبيل المثال authToken داخل ملف .npmrc).
• NodeJSScan - ماسح شيفرة أمني ساكن لتطبيقات Node.js. يتضمن واجهة مستخدم أنيقة يمكنها الإشارة إلى مكان المشكلة وكيفية إصلاحها.
• NodeSecure CLI - أداة سطر أوامر Node.js تتيح لك تحليل شجرة التبعيات لحزمة npm معينة أو دليل بعمق.
• Trust But Verify - يقارن TBV حزمة npm بمستودعها المصدري للتأكد من أن الناتج النهائي متطابق.
• lockfile-lint - فحص ملفات القفل لتحسين سياسات الأمان والثقة للحفاظ على النظافة من حقن الحزم الخبيثة والتكوينات غير الآمنة الأخرى.
• pkgsign - أداة سطر أوامر لتوقيع والتحقق من حزم npm وyarn.
• semgrep - تحليل ساكن مفتوح المصدر، يعمل دون اتصال، وسهل التخصيص للعديد من اللغات. بعض الأدوات الأخرى في هذه القائمة (NodeJSScan) تستخدم semgrep كمحرك لها.
• npm-scan - أداة فحص ثغرات قابلة للتوسيع قائمة على الاستدلال لحزم npm المثبتة.
• js-x-ray - ماسح SAST لـ JavaScript وNode.js قادر على اكتشاف أنماط شيفرة خبيثة معروفة متنوعة (استيراد غير آمن، عبارة غير آمنة، RegEx غير آمن، حرفيات مُرمّزة، شيفرات مصغّرة ومشوّشة).
• cspscanner - يساعد CSP Scanner المطورين وخبراء الأمان على فحص وتقييم أمان المحتوى (CSP) لموقع ما بسهولة.
• eslint-plugin-anti-trojan-source - إضافة ESLint لاكتشاف ومنع هجمات Trojan Source من الدخول إلى قاعدة شيفرتك.
• sdc-check - أداة صغيرة لإبلاغك بالمخاطر المحتملة في قائمة تبعيات مشروعك
• fix-lockfile-integrity - أداة سطر أوامر لإصلاح تجزئة السلامة الضعيفة (sha1) إلى تجزئة سلامة أكثر أمانًا (sha512) في ملف قفل npm الخاص بك.
• Bearer - أداة سطر أوامر لاكتشاف المخاطر الأمنية ومخاطر الخصوصية في شفرتك البرمجية ومساعدتك على إصلاحها وفقًا لقائمة OWASP Top 10.
• GuardDog - GuardDog هي أداة سطر أوامر لتحديد حزم PyPI وnpm الخبيثة
• repolyze - تحليل مستودع شفرة مصدرية على git بحثًا عن مؤشرات السلامة والمقاييس الحيوية للمشروع
• eslint-plugin-node-security - قواعد ESLint لواجهات Node.js الأساسية (fs، child_process، vm، path، Buffer) التي تكتشف أنماط حقن الأوامر واجتياز المسارات وتنفيذ الشفرة، مع مرجع CWE في كل تقرير.

اختبار أمان التطبيقات الديناميكي

• PurpleTeam - برنامج SaaS وأداة سطر أوامر لاختبار الانحدار الأمني، مثالي للإدراج في خطوط أنابيب البناء الخاصة بك. لا تحتاج إلى كتابة أي اختبارات بنفسك. purpleteam ذكي بما يكفي لمعرفة كيفية الاختبار، كل ما عليك فعله هو توفير ملف Job يخبر purpleteam بما تريد اختباره.