SAMMY Open Source v2

Dieses Repository enthält die Open-Source-Version von SAMMY – dem OWASP-SAMM-Tool.

https://owasp.org/www-project-open-sammy/

Lizenz

Dieses Projekt ist unter der Creative Commons Attribution-ShareAlike 4.0 International License lizenziert. Details finden Sie in der Datei LICENSE.

SAMMY v2

• Das Setup enthält einen vordefinierten Benutzer, der in der Datenbank angelegt ist:
  • Benutzername: [email protected]
  • Passwort: admin
  • MFA-Schlüssel: AB4FHDUHYVGW7IAB (fügen Sie diesen Schlüssel manuell zu Ihrer Authenticator-App hinzu)

So führen Sie es ohne Docker aus

Voraussetzungen

• MySQL oder MariaDB
• Redis (nur wenn Sie es mit APP_ENV=prod ausführen möchten)
• php8.2+
• composer

Optional

• Symfony CLI (https://symfony.com/download)

So führen Sie es aus

1. Erstellen Sie eine Datei .env.local mit Ihrer lokalen Konfiguration. Beispiel mit MariaDB:
   • Für jede andere Datenbank finden Sie hier den passenden Verbindungsstring – https://www.doctrine-project.org/projects/doctrine-dbal/en/latest/reference/configuration.html#connecting-using-a-url

DATABASE_URL=mysql://root:[email protected]:3306/sammy?serverVersion=11.3.2-MariaDB
REDIS_HOST=127.0.0.1
REDIS_PORT=6379
APP_ENV=dev
APP_DEBUG=1

2. installieren & ausführen

composer install
./scripts/setup_database.sh
# if you have symfony cli
symfony server:start --allow-http
# else
php -S 0.0.0.0:8000 -t ./public
open http://127.0.0.1:8000

So führen Sie es mit Docker aus

# 1. start DB and Redis
docker compose up -d db redis
# 2. now we can start our application
docker compose up -d --build app
# 3. sync SAMM model. Note, this step syncs the SAMM model from the core GitHub repo. You only have to run this the very first time and upon every SAMM model update.
docker compose exec app ./scripts/sync_samm.sh
# 4. sync DSOMM model. Note, this step syncs the DSOMM model from the core GitHub repo. You only have to run this the very first time and upon every DSOMM model update.
docker compose exec app ./scripts/sync_dsomm.sh
# 5. Enjoy
open http://127.0.0.1:8000

E-Mail-Versand

• Wenn Sie die E-Mail-Funktion nutzen möchten, müssen Sie Folgendes zu Ihrer Datei .env.local oder compose.yaml hinzufügen. Alle Felder sind Pflichtfelder. Außerdem sollte der Server standardmäßig über ein korrektes SSL verfügen.
  • für .env.local
    root@kitploit:~

      PHPMAILER_SMTP_HOST=
      PHPMAILER_SMTP_PORT=
      PHPMAILER_SMTP_USERNAME=
      PHPMAILER_SMTP_PASSWORD=
      PHPMAILER_SMTP_DEFAULT_SENDER=
      PHPMAILER_SMTP_USE_AUTH=
      PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
      PHPMAILER_SMTP_AUTO_TLS=
    

    • für compose.yaml im Abschnitt app unter environment
    root@kitploit:~

    - PHPMAILER_SMTP_HOST=
    - PHPMAILER_SMTP_PORT=
    - PHPMAILER_SMTP_USERNAME=
    - PHPMAILER_SMTP_PASSWORD=
    - PHPMAILER_SMTP_DEFAULT_SENDER=
    - PHPMAILER_SMTP_USE_AUTH=
    - PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
    

• Wenn Sie Docker verwenden, müssen Sie nichts weiter tun. Es gibt einen Cronjob, der alle 2 Minuten ausgeführt wird.
• Wenn Sie dies lokal ausführen, müssen Sie den folgenden Befehl manuell ausführen:

php ./bin/console app:process-mailing

DSOMM-Unterstützung

Wir unterstützen Bewertungen für das DSOMM-Modell. Standardmäßig ist das DSOMM-Modell mit allen erforderlichen Dingen in Ihrer Datenbank enthalten. Wenn Sie möchten, können Sie eine benutzerdefinierte DSOMM-Variante importieren. Sie können beispielsweise ein Modell mit mehr/weniger Domänen und Practices haben. Sie können mehrere DSOMM-Varianten gleichzeitig haben.

php ./bin/console app:sync-from-dsomm --source="path/to/dsomm-file.yaml"

Optional können Sie eine Metamodell-ID angeben, wenn Sie Updates an einer vorhandenen DSOMM-Variante durchführen möchten

php ./bin/console app:sync-from-dsomm --source="path/to/dsomm-file.yaml" --metamodel=33

Wir erwarten eine einzelne YAML-Datei mit der gesamten Datenstruktur wie unten. Standardmäßig verwenden wir diese Datei https://github.com/devsecopsmaturitymodel/DevSecOps-MaturityModel-data/blob/main/src/assets/YAML/generated/generated.yaml