Jackhammer: Ein Tool zur Sicherheits-Schwachstellenbewertung und -verwaltung, das alle Probleme des Sicherheitsteams löst.

Was ist Jackhammer?

Jackhammer ist ein Kollaborationstool, das entwickelt wurde, um die Kluft zwischen dem Sicherheitsteam und dem Entwicklerteam sowie dem QA-Team zu überbrücken und als Vermittler für TPM zu dienen, um die Qualität des in die Produktion gelangenden Codes zu verstehen und zu verfolgen. Es kann statische Codeanalyse und dynamische Analyse mit integrierter Schwachstellenverwaltungsfähigkeit durchführen. Es findet Sicherheitsschwachstellen in den Zielanwendungen und hilft Sicherheitsteams, das Chaos in diesem neuen Zeitalter der kontinuierlichen Integration und kontinuierlichen/mehrfachen Bereitstellungen zu bewältigen.

Es arbeitet vollständig auf RBAC (Rollenbasierte Zugriffskontrolle). Es gibt coole Dashboards für Einzelscans und Team-Scans, die reichlich Flexibilität für die Zusammenarbeit mit verschiedenen Teams bieten. Es ist vollständig auf einer pluggbaren Architektur aufgebaut, die mit jedem Open-Source-/kommerziellen Tool integriert werden kann.

Jackhammer nutzt das OWASP-Pipeline-Projekt, um mehrere Open-Source- und kommerzielle Tools gegen Ihren Code, Ihre Web-App, mobile App, CMS (WordPress) und Netzwerk auszuführen.

Hauptfunktionen:

Bietet eine einheitliche Oberfläche zur Zusammenarbeit an Ergebnissen
Scannen (Code) kann für alle Code-Verwaltungs-Repositories durchgeführt werden
Planung von Scans basierend auf Intervallen # täglich, wöchentlich, monatlich
Erweiterte Falsch-Positiv-Filterung
Veröffentlichung von Schwachstellen in Bug-Tracking-Systeme
Behalten Sie Statistiken und Schwachstellentrends in Ihren Anwendungen im Auge
Integration mit der Mehrheit der Open-Source- und kommerziellen Scan-Tools
Benutzer- und Rollenverwaltung bietet mehr Kontrolle
Konfigurierbare Schweregrade für die Liste der Ergebnisse in allen Anwendungen
Integrierter Fortschritt des Schwachstellenstatus
Einfach zu bedienende Filter, um gezielte Sets aus einer Vielzahl von Schwachstellen zu überprüfen
Asynchrones Scannen (über Sidekiq), das skaliert
Nahtloses Schwachstellenmanagement
Verfolgen Sie Statistiken und grafische Sicherheitstrends in Ihren Anwendungen
Einfache Integration mit einer Vielzahl von Open-Source-, kommerziellen und benutzerdefinierten Scan-Tools

Unterstützte Schwachstellenscanner:

Statische Analyse:

* Lizenz erforderlich ** kommerzielle Lizenz erforderlich

Finden von hartcodierten Geheimnissen/Tokens/Zugangsdaten:

Trufflehog (Leicht modifiziert/erweitert für bessere Ergebnisse und Integration, Stand Mai 2017)

Web-App:

Arachni

Mobile App:

Androbugs (Leicht modifiziert/erweitert für bessere Ergebnisse und Integration, Stand Mai 2017)
Androguard (Leicht modifiziert/erweitert für bessere Ergebnisse und Integration, Stand Mai 2017)

Wordpress:

WPScan (Leicht modifiziert/erweitert für bessere Ergebnisse und Integration, Stand Mai 2017)

Netzwerk:

Nmap

Hinzufügen benutzerdefinierter (anderer Open-Source-/kommerzieller/persönlicher) Scanner:

Sie können innerhalb von 10-30 Minuten einen beliebigen Scanner zu Jackhammer hinzufügen. Überprüfen Sie die Links/Videos

Kurzanleitung und Installation

Siehe unsere [Kurzanleitung/Installationsanleitung][], wenn Sie Jackhammer so schnell wie möglich mit Docker Compose ausprobieren möchten.

Führen Sie die folgenden Befehle für die lokale Einrichtung (Corporate-Modus) aus:

 git clone https://github.com/olacabs/jackhammer
 sh ./docker-build.sh

Standard-Anmeldedaten für die lokale Einrichtung:

username: [email protected]

password: j4ckh4mm3r

(Für den Einzelbenutzermodus)

sh ./docker-build.sh SingleUser

Bitte registrieren Sie sich für den Zugriff.

Neustart von Jackhammer

docker-compose stop
docker-compose rm
docker-compose up -d

Benutzerhandbuch

Das [Benutzerhandbuch][] gibt Ihnen einen Überblick darüber, wie Sie Jackhammer nutzen können, sobald alles läuft.

Demo

Link zur Demo-Umgebung:

https://jch.olacabs.com/

Standard-Anmeldedaten: