ماسح معيار CIS GitLab Benchmark - gitlabcis

خلفية

في 17 أبريل 2024، نشرت GitLab™ منشور مدونة قدّمت فيه معيار GitLab Benchmark الصادر عن مركز الأمن على الإنترنت (CIS). بهدف تحسين أمان المنتج وتقديم توصيات تحصين لعملاء GitLab. يمكنك تنزيل نسخة من المعايير المنشورة على موقع مركز الأمن على الإنترنت.

"نشأ معيار CIS GitLab Benchmark من تعاون بين CIS وفريقي أمن الميدان وإدارة المنتجات في GitLab. بعد العديد من المحادثات مع العملاء، أدركنا الحاجة إلى معيار محدد يوجّه جهودهم في التحصين. أجرينا مراجعة متعمقة لمنتج GitLab ووثائقه لفهم كيفية توافق ما نقدمه مع معيار CIS لأمن سلسلة توريد البرمجيات. بعد اكتمال المسودة الأولية، دخلت في عملية إجماع CIS، حيث تمكن مجتمع معايير CIS الأوسع من مراجعتها واقتراح تعديلات قبل النشر."

المرجع: إنشاء معيار CIS GitLab Benchmark

نظرة عامة

gitlabcis هو حزمة Python® تدقق مشروع GitLab وفقًا لـ معيار CIS GitLab Benchmark الصادر عن مركز الأمن على الإنترنت (CIS). وهي تتضمن توصيات كرمز برمجي منسقة بصيغة YAML™.

تحسين منتج GitLab

تقرير الالتزام بالامتثال

هناك جهد أكبر لإضافة معيار CIS Benchmark كمعيار امتثال إلى تقرير الالتزام بالامتثال.

• عند تنفيذه، سيتيح هذا للعملاء رؤية تلقائية لما إذا كانت هناك إجراءات إضافية يتعين عليهم اتخاذها للامتثال للتدابير الموصى بها في معيار CIS Benchmark.

المساهمة في GitLab

خلال تطوير هذه الأداة، ساهم المؤلفون بميزتين في منتج GitLab (#39):

• عرض المشكلات المترابطة/ذات الصلة في طلبات الدمج عبر API
• Groups API: إضافة تقييد وصول المجموعة حسب النطاق

جدول المحتويات

[[TOC]]

إخلاء المسؤولية

إخلاء المسؤولية	التعليق
تفترض هذه الأداة أن المستخدم يستخدم GitLab في كل شيء	على سبيل المثال، التوصية الأولى (1.1.1 - version_control): "ضمان تتبع أي تغييرات على الكود في منصة للتحكم في الإصدارات." استخدام GitLab يلبي هذا الضابط تلقائيًا.
لا يمكن لهذه الأداة تدقيق كل توصية	لقد احتفظنا بسجل لكل توصية لا يمكننا أتمتتها. راجع مستند القيود الخاص بنا (docs/limitations.md)، الذي يسلط الضوء على فجوات الأتمتة التي لا يمكن فيها أتمتة شرط معين بثقة.
لا تنفذ هذه الأداة أي عمليات كتابة على مثيل GitLab أو مجموعتك أو مشروعك. لا يتم تنفيذ أي إجراءات كتابة.	صُممت هذه الأداة صراحةً للامتناع عن تنفيذ أي عمليات كتابة قد: تعدّل أو تغيّر أو تبدّل أو تؤثر بأي شكل آخر في إعدادات مشروع GitLab أو بياناته أو سلامته مما يضمن عدم إجراء أي تعديلات أو تغييرات غير مصرح بها على حالته أو محتوياته.
هذا ليس منتجًا رسميًا من GitLab	تم إنشاء هذا المستودع بواسطة مهندسي GitLab ولا يحظى بدعم رسمي من GitLab.

بدء الاستخدام

• مطلوب:
  • يجب أن يكون لديك python® وpip مثبّتين
  • أحد الخيارين:
    • GitLab رمز الوصول الشخصي (PAT)
    • GitLab رمز OAuth

الرموز

gitlabcis يتطلب أحد الرموز التالية:

رمز الوصول الشخصي (PAT)

• أنشئ رمز وصول شخصي (PAT).

يمكنك إما تمرير الرمز كخيار أو تخزينه كمتغير بيئة:

• GITLAB_TOKEN - (اختياري) متغير بيئة
• --token / -t - (اختياري) خيار رمز gitlabcis

رمز OAuth

• أنشئ رمز OAuth.

يمكنك إما تمرير الرمز كخيار أو تخزينه كمتغير بيئة:

• GITLAB_OAUTH_TOKEN - (اختياري) متغير بيئة
• --oauth-token / -ot - (اختياري) خيار رمز gitlabcis

نطاق الرمز

• مطلوب: يجب أن يحتوي رمزك على نطاق read_api على الأقل.
• (اختياري) منح رمزك نطاقًا أوسع سيفتح المزيد من الضوابط التي تتطلب مستويات أعلى من الصلاحيات.

التثبيت

هناك عدة طرق لتنزيل الماسح الضوئي. يرجى الاطلاع عليها أدناه:

Pypi

ثبّت gitlabcis من pypi.org:

pip install gitlabcis

GitLab

ثبّت gitlabcis من سجل الحزم:

pip install gitlabcis --index-url https://gitlab.com/api/v4/projects/57279821/packages/pypi/simple

إذا لم تكن قد قمت بذلك بالفعل، فستحتاج إلى إضافة ما يلي إلى ملف .pypirc الخاص بك:

[gitlab]
repository = https://gitlab.com/api/v4/projects/57279821/packages/pypi
username = __token__
password = <your personal access token>

ثبّت gitlabcis من المصدر عبر الاستنساخ، أو من صفحة الإصدارات الخاصة بنا:

# make a clone (or create a local fork) of the repo
git clone [email protected]:gitlab-security-oss/cis/gitlabcis.git
cd gitlabcis
make install

الاستخدام

يُتوقع استخدام الصيغة التالية:

gitlabcis URL OPTIONS

لقطة شاشة

إنشاء تقرير

لإنشاء تقرير من سطر الأوامر:

gitlabcis https://gitlab.example.com/path/to/project --token $TOKEN

إنشاء تقرير بصيغة JSON: (عند استخدام متغير $GITLAB_TOKEN، لا تحتاج إلى تحديد خيار --token)

gitlabcis \
    https://gitlab.example.com/path/to/project \
    -o results.json \
    -f json

لتنفيذ ضابط واحد:

gitlabcis \
    https://gitlab.example.com/path/to/project \
    -ids 1.2.3 # or multiple: 2.3.4 3.4.5 etc

افحص جميع المجموعات الفرعية والمشاريع ضمن مثيل أو مجموعة (بمستوى واحد افتراضيًا):

gitlabcis https://gitlab.example.com/path-to-group --nest

افحص جميع المجموعات الفرعية والمشاريع حتى عمق مستويين، مع كتابة ملفات JSON لكل كيان في ./results/:

gitlabcis \
    https://gitlab.example.com/path-to-group \
    --nest \
    --depth 2 \
    --output-dir results \
    -f json

افحص بعمق غير محدود وبادئة اسم ملف:

gitlabcis \
    https://gitlab.example.com/path-to-group \
    --nest \
    --depth 0 \
    --prefix "audit_" \
    --output-dir results \
    -f json

التوثيق

راجع دليل gitlabcis التوثيق (./docs) - هل هناك شيء مفقود؟ لا تتردد في المساهمة عبر مشكلة جديدة.

الترخيص

نُشر gitlabcis بموجب رخصة MIT، ويمكن مراجعتها في ملف ./LICENSE.

سجل التغييرات

راجع ./CHANGELOG.md لمزيد من المعلومات.

المطورون

مدونة قواعد السلوك

راجع قسم العنوان في مستند المساهمة (CONTRIBUTING.md) لمعرفة مدونة قواعد السلوك.

الأمان