AuraBorealis: Wissen Sie, was in Ihren Python-Paketen steckt?

Über

AuraBorealis ist eine Webanwendung zur Visualisierung von anomalem und potenziell bösartigem Code in Python-Paketregistern. Sie verwendet Sicherheitsauditdaten, die durch Scannen des Python Package Index (PyPI) mit Aura erzeugt werden, einer statischen Analyse, die für die groß angelegte Sicherheitsüberprüfung von Python-Paketen entwickelt wurde. Das aktuelle Tool ist ein Proof-of-Concept und enthält einige Live-Aura-Daten sowie einige Demo-Beispieldaten.

Zu den aktuellen Funktionen gehören:

• Scannen des gesamten Python-Paketregisters, um:

  • Pakete mit der höchsten Anzahl von Sicherheitswarnungen, sortiert nach Aura-Warnungstyp, aufzulisten
  • Pakete sortiert nach der Gesamtanzahl und der eindeutigen Anzahl von Warnungen aufzulisten
  • Pakete nach ihrem Gesamtschweregrad aufzulisten

• Anzeigen von Sicherheitswarnungen für ein einzelnes Paket, sortiert nach Kritikalität

• Visualisieren der Zeilennummern und Codezeilen in Dateien, die Sicherheitswarnungen für ein bestimmtes Paket generieren

• Vergleichen von zwei Paketen hinsichtlich Sicherheitswarnungen

Anleitung

Schalten Sie Ihr VPN ein (bei IQT)

Klonen Sie das Repository.

git clone https://github.com/IQTLabs/AuraBorealisApp.git

Navigieren Sie zum Verzeichnis aura-borealis-flask-app.

cd aura-borealis-flask-app

Installieren Sie die Abhängigkeiten.

pip install -r requirements.txt

Führen Sie die App aus.

python app.py

Navigieren Sie über einen Browser zur URL http://0.0.0.0:7000/.

Funktions-Roadmap

• Vergleichen eines Pakets mit einem Benchmark-Profil von Paketen mit ähnlichem Zweck hinsichtlich Sicherheitswarnungen
• Vergleichen verschiedener Versionen desselben Pakets hinsichtlich Sicherheitswarnungen
• Auflisten von Paketen, die zwischen zwei Daten Änderungen bei ihren Warnungen und/oder ihrem Schweregrad aufweisen
• Möglichkeit zum Scannen eines internen Pakets/Registers, das nicht öffentlich auf PyPI ist
• Anzeigen einer Berechtigungsanalyse (Stellt dieses Paket eine Netzwerkverbindung her? Benötigt dieses Paket Bibliotheksberechtigungen auf Betriebssystemebene?)

Kontaktinformationen

[email protected] (John Speed Meyers, IQT Labs, Leiter des Projekts Secure Code Reuse).

Der leitende Entwickler und Ersteller von Aura ist Martin Carnogusky von sourcecode.ai.

Verwandte Arbeiten

• IQT-Blogbeitrag über Secure Code Reuse
• IQT-Blogbeiträge über Typosquatting und Typosquatting-Verhinderung mittels pypi-scan
• USENIX-Artikel über "Counting Broken Links: A Quant's View of Software Supply Chain Security"
• IQT-Open-Source-Datensatz über bekannte Software-Lieferkettenkompromittierungen