Dependency Combobulator

Dependency Combobulator ist ein Open-Source, modulares und erweiterbares Framework zur Erkennung und Verhinderung von Dependency-Confusion-Leaks und potenziellen Angriffen. Dies ermöglicht einen ganzheitlichen Ansatz zur Sicherstellung sicherer Anwendungsveröffentlichungen, die gegen verschiedene Quellen (z. B. GitHub Packages, JFrog Artifactory) und viele Paketverwaltungsschemata (z. B. npm, maven) evaluiert werden können.

Zielgruppen

Das Framework kann von Sicherheitsauditoren, Pentestern und sogar in automatisierter Weise in das Anwendungssicherheitsprogramm und den Release-Zyklus eines Unternehmens integriert werden.

Hauptfunktionen

• Plugbar – Eingriff auf Commit-Ebene, Build, Release-Schritte im SDLC.
• Erweiterbar – füge einfach dein eigenes Paketverwaltungsschema oder deine bevorzugte Codequelle hinzu
• Allzweck-Heuristik-Engine – ein abstraktes Paketdatenmodell bietet einen agnostischen heuristischen Ansatz
• Unterstützt eine breite Palette von Technologien
• Flexibel – Entscheidungsbäume können basierend auf Erkenntnissen oder Urteilen des Toolkits bestimmt werden

Leicht erweiterbar

Das Projekt stellt die Fähigkeit des Praktikers in den Vordergrund, das Toolkit an seine eigenen spezifischen Bedürfnisse anzupassen und zu erweitern. Daher ist es so konzipiert, dass es auf andere Quellen, öffentliche Registries, Paketverwaltungsschemata erweitert werden kann und das abstrakte Modell sowie die dazugehörige Heuristik-Engine erweitert.

Installation

Dependency Combobulator ist sofort einsatzbereit – einfach git clone oder das Paket von https://github.com/apiiro/combobulator herunterladen

Stelle sicher, dass die erforderlichen Abhängigkeiten installiert sind, indem du Folgendes ausführst:

pip install -r requirements.txt

Argumente (--help)

  -h, --help            show this help message and exit
  -t {npm,maven}, --type {npm,maven}
                        Package Manager Type, i.e: npm, maven
  -l LIST_FROM_FILE, --load_list LIST_FROM_FILE
                        Load list of dependencies from a file
  -d FROM_SRC, --directory FROM_SRC
                        Extract dependencies from local source repository
  -p--package SINGLE    Name a single package.
  -c CSV, --csv CSV     Export packages properties onto CSV file
  -gh GITHUB_TOKEN, --github GITHUB_TOKEN
                        GitHub Access Token (Overrides .env file setting)
  -a {compare,comp,heuristics,heur}, --analysis {compare,comp,heuristics,heur}
                        Required analysis level - compare (comp), heuristics
                        (heur) (default: compare)

Apiiro <Heart> Community

Unterstützte Pakettypen (-t, --t): npm, maven

Unterstützte Quellenabhängigkeitsbewertung:

• Aus einer Datei, die die Abhängigkeitskennungen Zeile für Zeile enthält. (-l, --load_list)
• Durch Analyse der Software-Stückliste des entsprechenden Repos (z.B. package.json, pom.xml) (-d, --directory)
• Benennen einer einzelnen Kennung (-p, --package)

Die Analyseebene ist anpassbar, da du in Sekunden dein eigenes bevorzugtes Analyseprofil erstellen kannst. Dependency Combobulator wird mit mehreren integrierten Analyseebenen ausgeliefert, die mit -a, --analysis ausgewählt werden.

Unterstützte Ausgabeformate:

• Bildschirm stdout (Standard)
• CSV-Export in eine bestimmte Datei -(-CSV)

Verwendungsbeispiele

https://user-images.githubusercontent.com/90651458/140915800-c267034b-90c9-42d1-b12a-83e12f70d44e.mp4

Danksagungen

Das Projekt wird von Apiiro mit 💜 gewartet und gesponsert

Wir ehren großartige Entwickler & AppSec-Praktiker mit einer Leidenschaft für Veränderung 🙏