CodeSec von Contrast Security

CodeSec bietet:

• Den schnellsten und genauesten SAST-Scanner.
• Sofortige und umsetzbare Ergebnisse – scannt Code und serverlose Umgebungen.
• Einen reibungslosen und nahtlosen Anmeldeprozess mit GitHub oder Google-Konto. In wenigen Minuten vom Start bis zum Ende.
• Durch das Ausführen eines Scans Ihrer Lambda-Funktionen können Sie Folgendes finden: Least-Privilege-Identitäts- und Zugriffsverwaltungs-Schwachstellen (IAM) (übermäßig freizügige Richtlinien) und deren Behebung.

Installation

NPM:

npm install --location=global @contrast/contrast

Homebrew:

brew tap contrastsecurity/tap

brew install contrast

Binärdateien:

1. Gehen Sie zu https://pkg.contrastsecurity.com/ui/repos/tree/General/cli

2. Wählen Sie unter dem Ordner cli Ihr Betriebssystem aus und laden Sie das Paket herunter.

3. Sie müssen je nach Betriebssystem Ausführungsberechtigungen für die Datei erlauben.

Authentifizierung

Authentifizieren Sie sich, indem Sie contrast auth im Terminal eingeben.

Melden Sie sich im daraufhin geöffneten Browserfenster an und authentifizieren Sie sich mit Ihren GitHub- oder Google-Anmeldedaten.

Einen Scan ausführen

SAST-Scan

Anforderungen

Stellen Sie sicher, dass Sie die richtigen Dateitypen zum Scannen haben.

• Laden Sie eine .jar- oder .war-Datei hoch, um ein Java-Projekt zur Analyse zu scannen
• Laden Sie eine .js- oder .zip-Datei hoch, um ein JavaScript-Projekt zur Analyse zu scannen
• Laden Sie eine .exe- oder .zip-Datei hoch, um ein .NET-c#-Web Forms-Projekt zu scannen

Scan starten

Verwenden Sie den Contrast-Scan-Befehl contrast scan

Lambda-Funktionsscan

Anforderungen

• Unterstützt derzeit Java- und Python-Funktionen auf AWS. Konfigurieren Sie AWS-Anmeldedaten in Ihrer lokalen Umgebung, indem Sie die Befehle mit Ihren Anmeldedaten ausführen:

export AWS_DEFAULT_REGION=<YOUR_AWS_REGION>
export AWS_ACCESS_KEY_ID=<YOUR_ACCESS_KEY_ID>
export AWS_SECRET_ACCESS_KEY=<YOUR_SECRET_ACCESS_KEY>

• AWS-Anmeldedaten sollten in Ihrer lokalen Konfiguration verfügbar sein (normalerweise ~/.aws/credentials). Sie haben die Möglichkeit, einen Lambda-Scan mit Ihrem AWS-Profil auszuführen und --profile zu übergeben. Sie können auch andere Anmeldedaten exportieren.

• Diese Berechtigungen sind erforderlich, um alle notwendigen Informationen zu einer AWS-Lambda-Funktion zu sammeln, um den Befehl contrast lambda zu verwenden:

  • Lambda: GetFunction | GetLayerVersion
  • IAM: GetRolePolicy | GetPolicy | GetPolicyVersion | ListRolePolicies | ListAttachedRolePolicies

Scan starten

Verwenden Sie contrast lambda, um Ihre AWS-Lambda-Funktionen zu scannen. contrast lambda --function-name MyFunctionName --region my-aws-region

Contrast-Befehle

auth

Authentifizieren Sie Contrast mit Ihrem GitHub- oder Google-Konto. Ein neues Browserfenster wird zur Anmeldung geöffnet.

Verwendung: contrast auth

config

Zeigt gespeicherte Anmeldedaten an.

Verwendung: contrast config

Optionen:

• -c, --clear – Entfernt gespeicherte Anmeldedaten.

scan

Führt einen Sicherheits-SAST-Scan durch.

Verwendung: contrast scan [Option]

Optionen:

• contrast scan --file

  • Pfad der Datei, die Sie scannen möchten. Contrast sucht nach einer .jar-, .war-, .js- oder .zip-Datei im aktuellen Arbeitsverzeichnis, wenn keine Datei angegeben ist.
  • Alias: --f

• contrast scan --name

  • Name des Contrast-Projekts. Wenn nicht angegeben, verwendet Contrast contrast.settings, um das Projekt zu identifizieren, oder erstellt ein Projekt.
  • Alias: –n

• contrast scan --save

  • Lädt die Ergebnisse in eine Datei im Static Analysis Results Interchange Format (SARIF) herunter. Die Datei wird mit dem Standardnamen results.sarif in das aktuelle Arbeitsverzeichnis heruntergeladen. Sie können die Datei mit einem beliebigen Texteditor anzeigen.
  • Alias: -s

• contrast scan --timeout

  • Zeit in Sekunden, die auf den Abschluss des Scans gewartet wird. Standardwert ist 300 Sekunden.
  • Alias: -t

lambda

Name der zu scannenden AWS-Lambda-Funktion.

Verwendung: contrast lambda --function-name

Optionen:

• contrast lambda --function-name --endpoint-url AWS-Endpunkt-Überschreibung. Ähnlich wie AWS CLI. Alias: -e

• contrast lambda --function-name --region Regionsüberschreibung. Standardmäßig AWS_DEFAULT_REGION. Ähnlich wie AWS CLI. Alias: -r

• contrast lambda --function-name --profile Überschreibung des AWS-Konfigurationsprofils. Ähnlich wie AWS CLI. Alias: -p

• contrast lambda --function-name --json Gibt die Antwort im JSON-Format zurück (statt des standardmäßigen, für Menschen lesbaren Formats). Alias: -j

• contrast lambda -–function-name -–verbose Gibt erweiterte Informationen an das Terminal zurück. Alias: -v

• contrast lambda -–function-name --list-functions Listet alle verfügbaren Lambda-Funktionen zum Scannen auf.

• contrast lambda --function-name -–help Zeigt die Verwendungsanleitung an. Alias: -h

help

Zeigt die Verwendungsanleitung an. Um eine detaillierte Hilfe für einen beliebigen CLI-Befehl aufzulisten, fügen Sie dem Befehl das Flag -h oder --help hinzu. Verwendung: contrast scan --help Alias: -h

version

Zeigt die Version von Contrast CLI an. Verwendung: contrast version Alias: -v, --version