Bugsy

Bugsy ist ein Kommandozeilen-Tool (CLI), das automatische Behebung von Sicherheitslücken in Ihrem Code bietet. Es handelt sich um die Community-Edition von Mobb, dem ersten anbieterneutralen Tool zur automatischen Behebung von Sicherheitslücken. Bugsy hilft Entwicklern dabei, Sicherheitslücken in ihrem Code schnell zu erkennen und zu beheben.

Was ist Mobb?

Mobb ist das erste anbieterneutrale Tool zur automatischen Behebung von Sicherheitslücken. Es nimmt SAST-Ergebnisse von Checkmarx, CodeQL (GitHub Advanced Security), OpenText Fortify und Snyk auf und erstellt Code-Fixes, die Entwickler überprüfen und in ihren Code übernehmen können.

Was macht Bugsy?

Bugsy hat zwei Modi – Scan (kein SAST-Report erforderlich) und Analyse (der Benutzer muss einen zuvor generierten SAST-Report von einem der unterstützten SAST-Tools bereitstellen).

Scan

Verwendet die CLI-Tools von Checkmarx oder Snyk, um einen SAST-Scan auf einem gegebenen Open-Source-GitHub/GitLab/ADO-Repo durchzuführen
Analysiert den Schwachstellenreport, um Probleme zu identifizieren, die automatisch behoben werden können
Erstellt die Code-Fixes und leitet den Benutzer zur Fix-Report-Seite auf der Mobb-Plattform weiter

Analyse

Analysiert einen Checkmarx/CodeQL/Fortify/Snyk-Schwachstellenreport, um Probleme zu identifizieren, die automatisch behoben werden können
Erstellt die Code-Fixes und leitet den Benutzer zur Fix-Report-Seite auf der Mobb-Plattform weiter

Haftungsausschluss

Dies ist eine Community-Edition, die nur öffentliche GitHub-Repositories analysiert. Die Analyse privater Repositories ist für eine begrenzte Zeit erlaubt. Bugsy erkennt keine Schwachstellen in Ihrem Code; es verwendet die von den oben genannten SAST-Tools gefundenen Ergebnisse.

Verwendung

Kommandozeile

Sie können Bugsy einfach über die Kommandozeile mit npx ausführen:

npx mobbdev

Daraufhin wird die Hilfe zur Nutzung von Bugsy angezeigt:

Bugsy - Vertrauenswürdiger, automatischer Schwachstellenbeheber 🕵️‍♂️

Verwendung:
mobbdev <command> [options]


Befehle:
  mobbdev scan     Durchsucht Ihren Code auf Schwachstellen und erhält sofort automatisierte Korrekturen.
  mobbdev analyze  Stellt einen Schwachstellenreport und das zugehörige Code-Repository bereit und erhält sofort automatisierte Korrekturen.

Optionen:
  -h, --help  Hilfe anzeigen                                                                                        [boolean]

Beispiele:
  mobbdev scan -r https://github.com/WebGoat/WebGoat  Ein vorhandenes Repository scannen

Mit ❤️ entwickelt von Mobb

Um einen neuen SAST-Scan auf einem Repo durchzuführen und Korrekturen zu erhalten, führen Sie den Befehl Bugsy Scan aus. Beispiel:

npx mobbdev scan --repo https://github.com/mobb-dev/simple-vulnerable-java-project

Um Korrekturen für einen zuvor generierten SAST-Report zu erhalten, führen Sie den Befehl Bugsy Analyse aus. Beispiel: npx mobbdev analyze --scan-file sast_results.json --repo https://github.com/mobb-dev/simple-vulnerable-java-project

Bugsy generiert automatisch eine Korrektur für jede unterstützte Schwachstelle, die in den Ergebnissen identifiziert wurde, und verweist den Entwickler darauf, die Korrekturen zu überprüfen und in seinen Code zu übernehmen.

Um alle Optionen zu sehen, die Bugsy bietet, verwenden Sie die Scan- oder Analyze-Befehle mit der Option -h:

npx mobbdev scan -h
npx mobbdev analyze -h

Model Context Protocol (MCP) Server

Bugsy kann auch als MCP-Server verwendet werden, sodass KI-Assistenten wie Claude automatisch Schwachstellen in Ihren Code-Repositories scannen und beheben können.

Voraussetzungen

API-Schlüssel: Sie benötigen einen Mobb-API-Schlüssel, um die MCP-Server-Funktionalität zu nutzen
- Melden Sie sich unter mobb.ai an, um Ihren API-Schlüssel zu erhalten
- Setzen Sie die Umgebungsvariable API_KEY: export API_KEY=ihr_api_schluessel_hier
Lokales Git-Repository: Der MCP-Server analysiert Git-Repositories mit uncommitteten Änderungen
- Stellen Sie sicher, dass sich Ihr Code in einem lokalen Git-Repository befindet
- Halten Sie einige geänderte, hinzugefügte oder gestagte Dateien zur Analyse bereit

Installation

Führen Sie mobb-mcp über die Kommandozeile aus:

npx mobbdev mcp

Konfiguration

Fügen Sie Mobb MCP zu Ihrer Cursor MCP-Client-Konfiguration hinzu: API_URL ist nur erforderlich, wenn Sie nicht https://app.mobb.ai verwenden.

{
  "mcpServers": {
    "mobb-mcp": {
      "command": "npx",
      "args": ["mobbdev", "mcp"],
      "env": {
        "API_KEY": "ihr_mobb_api_schluessel_hier",
        "API_URL": "optional__ihre_mobb_api_url_hier",
        "MVS_AUTO_FIX": "true"
      }
    }
  }
}

Umgebungsvariablen:

API_KEY: Ihr Mobb-API-Schlüssel (erforderlich)
API_URL: Benutzerdefinierte Mobb-API-URL (optional, Standard: https://app.mobb.ai)
MVS_AUTO_FIX: Überschreibt die Auto-Fix-Einstellung – auf "true" oder "false" setzen, um die automatische Anwendung von Korrekturen unabhängig von der Datenbankeinstellung des Benutzers zu erzwingen (optional)

Verwendung

Nach der Konfiguration können Sie den MCP-Server über Ihren KI-Assistenten verwenden:

Bitten Sie Claude, nach Schwachstellen zu suchen:
```
Führe einen Scan mit mobb-mcp aus
```
oder
```
Führe das MCP-Tool fix-vulnerabilities aus
```
Der MCP-Server wird:
- Den Repository-Pfad validieren
- Nach Git-Änderungen suchen (geänderte, hinzugefügte oder gestagte Dateien)
- Die geänderten Dateien zur Analyse hochladen
- Automatisierte Korrekturen für erkannte Schwachstellen generieren
- Detaillierte Korrekturempfehlungen zurückgeben

Verfügbare MCP-Tools

fix_vulnerabilities: Scannt die aktuellen Codeänderungen und gibt Korrekturen für potenzielle Schwachstellen zurück
- Parameter: path (String) – Der Pfad zum lokalen Git-Repository
- Rückgabe: Detaillierte Schwachstellenbehebungen mit Code-Patches und Erklärungen

Beispiel MCP-Workflow

Nehmen Sie Änderungen an Ihrem Code vor
Stagen oder ändern Sie Dateien in Git
Fragen Sie Ihren KI-Assistenten: "Kannst du meinen Code auf Sicherheitsschwachstellen überprüfen?"
Der Assistent verwendet den MCP-Server, um Ihre Änderungen zu analysieren
Sie erhalten detaillierte Korrekturempfehlungen mit Code-Patches

Fehlerbehebung

"API_KEY environment variable is not set": Stellen Sie sicher, dass Sie Ihren Mobb-API-Schlüssel gesetzt haben
"Path is not a valid git repository": Stellen Sie sicher, dass Sie auf ein gültiges Git-Repository verweisen
"No changed files found": Stellen Sie sicher, dass Sie geänderte, hinzugefügte oder gestagte Dateien in Ihrem Repository haben

Bugsy als Teil einer CI/CD-Pipeline verwenden

Wenn Sie SAST-Scans als Teil Ihrer CI/CD-Pipeline nutzen, kann Bugsy einfach hinzugefügt werden und sofort eine Behebung für jedes erkannte Problem bereitstellen. Hier ist ein einfaches Beispiel für eine Befehlszeile, die Bugsy in Ihrer Pipeline ausführt:

npx mobbdev analyze --ci --scan-file $SAST_RESULTS_FILENAME --repo $CI_PROJECT_URL --ref $CI_COMMIT_REF_NAME --api-key $MOBB_API_KEY

Polling-Modus

Standardmäßig verwendet Bugsy WebSocket-Verbindungen für Echtzeit-Statusaktualisierungen während der Analyse. Einige Proxy-Umgebungen oder Firewalls blockieren jedoch möglicherweise WebSocket-Verbindungen. In solchen Fällen können Sie das Flag --polling verwenden, um stattdessen HTTP-Polling zu nutzen:

npx mobbdev analyze --scan-file report.json --repo https://github.com/org/repo --polling

Wann --polling verwenden?

Ihr Netzwerk blockiert WebSocket-Verbindungen (ws:// oder wss://)
Sie befinden sich hinter einem Unternehmensproxy, der WebSocket nicht unterstützt
Bei Verwendung des Standard-WebSocket-Modus treten Verbindungszeitüberschreitungen auf

Eigenschaften des Polling-Modus:

Polling-Intervall: 5 Sekunden
Timeout: 30 Minuten
Etwas höhere Latenz im Vergleich zum WebSocket-Modus, funktioniert aber in eingeschränkten Umgebungen

Beitrag

Installieren Sie die Abhängigkeiten und führen Sie die Tests aus:

pnpm install

# oder verwenden Sie npm run build:dev, um auf Änderungen zu achten
pnpm run build

# oder verwenden Sie npm test:watch, um auf Änderungen zu achten
pnpm run test

Debugging

Wenn Sie VSCode verwenden, können Sie die Datei launch.json zum Debuggen des Codes nutzen. Führen Sie die Konfiguration CLI tests aus, um die Tests kontinuierlich auszuführen und zu debuggen.

Unterstützung erhalten

Wenn Sie Unterstützung bei der Verwendung von Bugsy benötigen oder einfach Ihre Gedanken teilen und mehr erfahren möchten, sind Sie herzlich eingeladen, unserem Discord-Server beizutreten.

bugsy

Beliebteste