jackhammer

Jackhammer:

أداة واحدة لتقييم وإدارة الثغرات الأمنية لحل جميع مشاكل فريق الأمان.

ما هو Jackhammer؟

Jackhammer هي أداة تعاونية تهدف إلى سد الفجوة بين فريق الأمان وفريق التطوير وفريق ضمان الجودة، وتكون ميسرة لـ TPM لفهم وتتبع جودة الكود الذي يتم إدخاله إلى الإنتاج. يمكنها إجراء تحليل ثابت للكود وتحليل ديناميكي مع قدرة مدمجة لإدارة الثغرات. تكتشف الثغرات الأمنية في التطبيقات المستهدفة وتساعد فرق الأمان على إدارة الفوضى في هذا العصر الجديد من التكامل المستمر والنشر المستمر/المتعدد.

يعمل بشكل كامل على RBAC (التحكم في الوصول القائم على الأدوار). توجد لوحات معلومات رائعة للمسح الفردي ومسح الفريق مما يوفر مرونة كبيرة للتعاون مع الفرق المختلفة. تم بناؤه بالكامل على بنية قابلة للتوصيل يمكن دمجها مع أي أداة مفتوحة المصدر/تجارية.

يستخدم Jackhammer مشروع OWASP pipeline لتشغيل أدوات متعددة مفتوحة المصدر وتجارية ضد الكود الخاص بك، تطبيق الويب، تطبيق الجوال، CMS (ووردبريس)، الشبكة.

الميزات الرئيسية:

• توفير واجهة موحدة للتعاون على النتائج
• يمكن إجراء المسح (للكود) لجميع مستودعات إدارة الكود
• جدولة عمليات المسح بناءً على فترات زمنية # يوميًا، أسبوعيًا، شهريًا
• تصفية متقدمة للنتائج الإيجابية الخاطئة
• نشر الثغرات في أنظمة تتبع الأخطاء
• تتبع الإحصائيات واتجاهات الثغرات في تطبيقاتك
• التكامل مع معظم أدوات المسح مفتوحة المصدر والتجارية
• إدارة المستخدمين والأدوار مما يمنح تحكمًا أكبر
• مستويات خطورة قابلة للتكوين في قائمة النتائج عبر التطبيقات
• تقدم حالة الثغرات المضمن
• مرشحات سهلة الاستخدام لمراجعة مجموعات مستهدفة من عدد كبير من الثغرات
• مسح غير متزامن (عبر Sidekiq) قابل للتوسع
• إدارة سلسة للثغرات
• تتبع الإحصائيات ورسم اتجاهات الأمان في تطبيقاتك
• التكامل بسهولة مع مجموعة متنوعة من أدوات المسح مفتوحة المصدر والتجارية والمخصصة

ماسحات الثغرات المدعومة:

التحليل الثابت:

• Brakeman
• Bundler-Audit
• Dawnscanner
• FindSecurityBugs
• Xanitizer*
• NodeSecurityProject
• Retire.js

   * ترخيص مطلوب      ** ترخيص تجاري مطلوب

العثور على الأسرار/الرموز/بيانات الاعتماد الثابتة (Hard-coded):

• Trufflehog (معدل/موسع قليلاً للحصول على نتائج أفضل وتكامل اعتبارًا من مايو 2017)

تطبيق الويب:

• Arachni

تطبيق الجوال:

• Androbugs (معدل/موسع قليلاً للحصول على نتائج أفضل وتكامل اعتبارًا من مايو 2017)
• Androguard (معدل/موسع قليلاً للحصول على نتائج أفضل وتكامل اعتبارًا من مايو 2017)

ووردبريس:

• WPScan (معدل/موسع قليلاً للحصول على نتائج أفضل وتكامل اعتبارًا من مايو 2017)

الشبكة:

• Nmap

إضافة ماسحات مخصصة (أخرى مفتوحة المصدر/تجارية/شخصية):

يمكنك إضافة أي ماسح إلى Jackhammer في غضون 10-30 دقيقة. تحقق من الروابط/الفيديو

البدء السريع والتثبيت

راجع [دليل البدء السريع/التثبيت][] إذا كنت ترغب في تجربة Jackhammer بأسرع ما يمكن باستخدام Docker Compose.

قم بتشغيل الأوامر التالية للإعداد المحلي (وضع الشركة):

 git clone https://github.com/olacabs/jackhammer
 sh ./docker-build.sh

بيانات الاعتماد الافتراضية للإعداد المحلي:

username: [email protected]

password: j4ckh4mm3r

(لوضع المستخدم الفردي)

sh ./docker-build.sh SingleUser

قم بالتسجيل للوصول

إعادة تشغيل Jackhammer

docker-compose stop
docker-compose rm
docker-compose up -d

دليل المستخدم

سيمنحك [دليل المستخدم][] نظرة عامة حول كيفية استخدام Jackhammer بمجرد تشغيله.

عرض توضيحي

رابط بيئة العرض التوضيحي:

https://jch.olacabs.com/

بيانات الاعتماد الافتراضية:

username: [email protected]

password: [email protected]