Gixy-Next: Escáner de seguridad para configuraciones de NGINX para auditorías de seguridad

Descripción general

Gixy-Next (Gixy) es un escáner de seguridad y herramienta de endurecimiento para configuraciones de NGINX de código abierto que analiza estáticamente tu nginx.conf para detectar configuraciones de seguridad incorrectas, carencias de endurecimiento y problemas de rendimiento comunes antes de que lleguen a producción. Es un fork mantenido activamente de Gixy de Yandex. El código fuente de Gixy-Next está disponible en GitHub.

Gixy-Next también se puede ejecutar en el navegador en esta página. No se necesita descargar nada; puedes escanear tus configuraciones en el sitio web (localmente, usando WebAssembly).

Inicio rápido

Gixy-Next (la CLI gixy o gixy-next) se distribuye en PyPI. Puedes instalarlo con pip o uv:

# pip
pip3 install gixy-next
# uv
uv pip install gixy-next

A continuación puedes ejecutarlo:

# gixy defaults to reading /etc/nginx/nginx.conf
gixy
# But you can also specify a path to the configuration
gixy /opt/nginx.conf

También puedes exportar tu configuración de NGINX a un único archivo de volcado (consulta nginx -T Live Configuration Dump):

# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Scan the dump elsewhere (or via stdin):
gixy ./nginx-dump.conf
# or
cat ./nginx-dump.conf | gixy -

Escáner basado en web

En lugar de descargar y ejecutar Gixy-Next localmente, puedes usar esta página web y escanear una configuración desde tu navegador web (localmente, usando WebAssembly).

Escanear con Docker

Gixy-Next está disponible como imagen de Docker desde Docker Hub o GitHub Registry.

Escanea un archivo de configuración local montándolo en el contenedor:

# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" ghcr.io/megamansec/gixy-next /nginx.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" megamansec/gixy-next /nginx.conf

Analizar un volcado de configuración activa de NGINX:

# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" ghcr.io/megamansec/gixy-next /nginx-dump.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" megamansec/gixy-next /nginx-dump.conf

Escanear desde stdin:

# Use Github Registry
nginx -T | docker run --pull=always --rm -i ghcr.io/megamansec/gixy-next gixy-next -
# Or Docker Hub
nginx -T | docker run --pull=always --rm -i megamansec/gixy-next gixy-next -

Qué puede hacer

Gixy-Next puede detectar una amplia gama de configuraciones incorrectas de seguridad y rendimiento de NGINX en nginx.conf y en los archivos de configuración incluidos. Se admiten los siguientes plugins: