CodeSec de Contrast Security

CodeSec ofrece:

• El escáner SAST más rápido y preciso.
• Resultados inmediatos y accionables — escanea código y entornos serverless.
• Un proceso de inicio de sesión sin fricciones y sin interrupciones con GitHub o una cuenta de Google. De principio a fin en minutos.
• Al ejecutar un escaneo en tus funciones lambda, puedes encontrar: vulnerabilidades de gestión de identidad y acceso (IAM) de privilegio mínimo (políticas demasiado permisivas) y su remediación.

Instalación

NPM:

npm install --location=global @contrast/contrast

Homebrew:

brew tap contrastsecurity/tap

brew install contrast

Binarios:

1. Ve a https://pkg.contrastsecurity.com/ui/repos/tree/General/cli

2. Selecciona tu sistema operativo en la carpeta cli y descarga el paquete.

3. Debes permitir permisos de ejecución en el archivo según tu sistema operativo.

Autenticación

Autentícate ejecutando contrast auth en la terminal.

En la ventana del navegador resultante, inicia sesión y autentícate con tus credenciales de GitHub o Google.

Ejecutar un escaneo

Escaneo SAST

Requisitos

Asegúrate de tener los tipos de archivo correctos para escanear.

• Sube un archivo .jar o .war para escanear un proyecto Java para su análisis
• Sube un archivo .js o .zip para escanear un proyecto JavaScript para su análisis
• Sube un archivo .exe. o .zip para escanear un proyecto de formularios web de .NET C#

Empieza a escanear

Usa el comando contrast scan de Contrast.

Escaneo de funciones Lambda

Requisitos

• Actualmente admite funciones Java y Python en AWS. Configura las credenciales de AWS en tu entorno local ejecutando los comandos con tus credenciales:

export AWS_DEFAULT_REGION=<YOUR_AWS_REGION>
export AWS_ACCESS_KEY_ID=<YOUR_ACCESS_KEY_ID>
export AWS_SECRET_ACCESS_KEY=<YOUR_SECRET_ACCESS_KEY>

• Las credenciales de AWS deben estar disponibles en tu configuración local (normalmente ~/.aws/credentials). Tienes la opción de ejecutar un escaneo lambda con tu perfil de AWS pasando --profile. También puedes exportar credenciales diferentes.

• Estos permisos son necesarios para recopilar toda la información requerida sobre una AWS Lambda al usar el comando contrast lambda:

  • Lambda: GetFunction | GetLayerVersion
  • IAM: GetRolePolicy | GetPolicy | GetPolicyVersion | ListRolePolicies | ListAttachedRolePolicies

Iniciar el escaneo

Usa contrast lambda para escanear tus funciones de AWS Lambda. contrast lambda --function-name MyFunctionName --region my-aws-region

Comandos de Contrast

auth

Autentica Contrast usando tu cuenta de GitHub o Google. Se abrirá una nueva ventana del navegador para iniciar sesión.

Uso: contrast auth

config

Muestra las credenciales almacenadas.

Uso: contrast config

Opciones:

• -c, --clear - Elimina las credenciales almacenadas.

scan

Realiza un escaneo SAST de seguridad.

Uso: contrast scan [option]

Opciones:

• contrast scan --file

  • Ruta del archivo que deseas escanear. Contrast busca un archivo .jar, .war, .js. o .zip en el directorio de trabajo si no se especifica un archivo.
  • Alias: --f

• contrast scan --name

  • Nombre del proyecto de Contrast. Si no se especifica, Contrast usa contrast.settings para identificar el proyecto o crea un proyecto.
  • Alias: –n

• contrast scan --save

  • Descarga los resultados a un archivo SARIF (Static Analysis Results Interchange Format). El archivo se descarga en el directorio de trabajo actual con el nombre predeterminado results.sarif. Puedes ver el archivo con cualquier editor de texto.
  • Alias: -s

• contrast scan --timeout

  • Tiempo en segundos de espera para que se complete el escaneo. El valor predeterminado es 300 segundos.
  • Alias: -t

lambda

Nombre de la función lambda de AWS que se va a escanear.

Uso: contrast lambda --function-name

Opciones:

• contrast lambda --function-name --endpoint-url Anulación del endpoint de AWS. Similar a la CLI de AWS. Alias: -e

• contrast lambda --function-name --region Anulación de la región. Usa como valor predeterminado AWS_DEFAULT_REGION. Similar a la CLI de AWS. Alias: -r

• contrast lambda --function-name --profile Anulación del perfil de configuración de AWS. Similar a la CLI de AWS. Alias: -p

• contrast lambda --function-name --json Devuelve la respuesta en JSON (en lugar del formato legible por humanos predeterminado). Alias: -j

• contrast lambda -–function-name -–verbose Devuelve información ampliada a la terminal. Alias: -v

• contrast lambda -–function-name --list-functions Enumera todas las funciones lambda disponibles para escanear.

• contrast lambda --function-name -–help Muestra la guía de uso. Alias: -h

help

Muestra la guía de uso. Para consultar la ayuda detallada de cualquier comando CLI, añade la opción -h o --help al comando. Uso: contrast scan --help Alias: -h

version

Muestra la versión de la CLI de Contrast. Uso: contrast version Alias: -v, --version