Jackhammer:

Una herramienta de evaluación/gestión de vulnerabilidades de seguridad para resolver todos los problemas del equipo de seguridad.

¿Qué es Jackhammer?

Jackhammer es una herramienta de colaboración construida con el objetivo de cerrar la brecha entre el equipo de seguridad vs el equipo de desarrollo, el equipo de QA y ser un facilitador para que el TPM entienda y rastree la calidad del código que se envía a producción. Puede realizar análisis estático de código y análisis dinámico con capacidad de gestión de vulnerabilidades incorporada. Encuentra vulnerabilidades de seguridad en las aplicaciones objetivo y ayuda a los equipos de seguridad a gestionar el caos en esta nueva era de integración continua y despliegues continuos/múltiples.

Funciona completamente bajo RBAC (Control de Acceso Basado en Roles). Existen paneles de control atractivos para escaneos individuales y de equipo, brindando amplia flexibilidad para colaborar con diferentes equipos. Está totalmente construido sobre una arquitectura enchufable que se puede integrar con cualquier herramienta de código abierto/comercial.

Jackhammer utiliza el proyecto OWASP pipeline para ejecutar múltiples herramientas de código abierto y comerciales contra su código, aplicación web, aplicación móvil, CMS (WordPress) y red.

Características principales:

Proporciona una interfaz unificada para colaborar en los hallazgos
El escaneo (de código) se puede realizar para todos los repositorios de gestión de código
Programación de escaneos basada en intervalos: diario, semanal, mensual
Filtrado avanzado de falsos positivos
Publicar vulnerabilidades en sistemas de seguimiento de errores
Mantener un control de las estadísticas y tendencias de vulnerabilidades en sus aplicaciones
Se integra con la mayoría de herramientas de escaneo de código abierto y comerciales
Gestión de usuarios y roles que brinda un mayor control
Niveles de gravedad configurables en la lista de hallazgos en todas las aplicaciones
Progresión de estado de vulnerabilidad integrada
Filtros fáciles de usar para revisar conjuntos específicos entre toneladas de vulnerabilidades
Escaneo asíncrono (a través de Sidekiq) que escala
Gestión de vulnerabilidades sin interrupciones
Rastrear estadísticas y graficar tendencias de seguridad en sus aplicaciones
Se integra fácilmente con una variedad de herramientas de escaneo de código abierto, comerciales y personalizadas

Escáneres de vulnerabilidades compatibles:

Análisis estático:

* requiere licencia ** requiere licencia comercial

Encontrar secretos/tokens/credenciales codificados:

Trufflehog (Ligeramente modificado/extendido para mejores resultados e integración a partir de mayo de 2017)

Aplicación web:

Arachni

Aplicación móvil:

Androbugs (Ligeramente modificado/extendido para mejores resultados e integración a partir de mayo de 2017)
Androguard (Ligeramente modificado/extendido para mejores resultados e integración a partir de mayo de 2017)

Wordpress:

WPScan (Ligeramente modificado/extendido para mejores resultados e integración a partir de mayo de 2017)

Red:

Nmap

Agregar escáneres personalizados (otros de código abierto/comerciales/personales):

Puede agregar cualquier escáner a jackhammer en 10-30 minutos. Consulte los enlaces/video

Inicio rápido e instalación

Consulte nuestra [Guía de inicio rápido/instalación][] si desea probar Jackhammer lo antes posible usando Docker Compose.

Ejecute los siguientes comandos para la configuración local (modo corporativo):

 git clone https://github.com/olacabs/jackhammer
 sh ./docker-build.sh

Credenciales predeterminadas para la configuración local:

usuario: [email protected]

contraseña: j4ckh4mm3r

(Para modo de usuario único)

sh ./docker-build.sh SingleUser

regístrese para obtener acceso

Reiniciar Jackhammer

docker-compose stop
docker-compose rm
docker-compose up -d

Guía de usuario

La [Guía de usuario][] le dará una visión general de cómo usar Jackhammer una vez que tenga todo en funcionamiento.

Demo

Enlace del entorno de demostración:

https://jch.olacabs.com/

Credenciales predeterminadas: