SAMMY Código Abierto v2

Este repositorio aloja la versión de código abierto de SAMMY, la herramienta OWASP SAMM.

https://owasp.org/www-project-open-sammy/

Licencia

Este proyecto está licenciado bajo la Licencia Creative Commons Attribution-ShareAlike 4.0 International. Consulta el archivo LICENSE para obtener más detalles.

SAMMY v2

• La instalación incluye un usuario predefinido inyectado en la base de datos:
  • usuario: [email protected]
  • contraseña: admin
  • clave MFA: AB4FHDUHYVGW7IAB (añade esta clave a tu aplicación de autenticación manualmente)

Cómo ejecutarlo sin docker

Requisitos

• MySQL o MariaDB
• Redis (solo si quieres ejecutarlo en APP_ENV=prod)
• php8.2+
• composer

Opcional

• Symfony CLI (https://symfony.com/download)

Cómo ejecutarlo

1. Crea un archivo .env.local con tu configuración local. Ejemplo con MariaDB:
   • en caso de cualquier otra base de datos, aquí puedes encontrar la cadena de conexión adecuada: https://www.doctrine-project.org/projects/doctrine-dbal/en/latest/reference/configuration.html#connecting-using-a-url

DATABASE_URL=mysql://root:[email protected]:3306/sammy?serverVersion=11.3.2-MariaDB
REDIS_HOST=127.0.0.1
REDIS_PORT=6379
APP_ENV=dev
APP_DEBUG=1

2. Instala y ejecuta

composer install
./scripts/setup_database.sh
# if you have symfony cli
symfony server:start --allow-http
# else
php -S 0.0.0.0:8000 -t ./public
open http://127.0.0.1:8000

Cómo ejecutarlo con docker

# 1. start DB and Redis
docker compose up -d db redis
# 2. now we can start our application
docker compose up -d --build app
# 3. sync SAMM model. Note, this step syncs the SAMM model from the core GitHub repo. You only have to run this the very first time and upon every SAMM model update.
docker compose exec app ./scripts/sync_samm.sh
# 4. sync DSOMM model. Note, this step syncs the DSOMM model from the core GitHub repo. You only have to run this the very first time and upon every DSOMM model update.
docker compose exec app ./scripts/sync_dsomm.sh
# 5. Enjoy
open http://127.0.0.1:8000

Envío de correos

• Si quieres usar la función de correo, tienes que añadir lo siguiente a tu archivo .env.local o compose.yaml. Todos los campos son obligatorios. Además, el servidor debería usar SSL adecuado por defecto.
  • para .env.lcoal
    root@kitploit:~

      PHPMAILER_SMTP_HOST=
      PHPMAILER_SMTP_PORT=
      PHPMAILER_SMTP_USERNAME=
      PHPMAILER_SMTP_PASSWORD=
      PHPMAILER_SMTP_DEFAULT_SENDER=
      PHPMAILER_SMTP_USE_AUTH=
      PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
      PHPMAILER_SMTP_AUTO_TLS=
    

    • para compose.yaml, en la sección app, bajo environment
    root@kitploit:~

    - PHPMAILER_SMTP_HOST=
    - PHPMAILER_SMTP_PORT=
    - PHPMAILER_SMTP_USERNAME=
    - PHPMAILER_SMTP_PASSWORD=
    - PHPMAILER_SMTP_DEFAULT_SENDER=
    - PHPMAILER_SMTP_USE_AUTH=
    - PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
    

• Si estás usando docker, no tienes que hacer nada más. Hay un cronjob que se ejecuta cada 2 minutos.
• Si estás ejecutando esto localmente, tienes que ejecutar el siguiente comando manualmente:

php ./bin/console app:process-mailing

Soporte DSOMM

Tenemos soporte para evaluaciones del modelo DSOMM. Por defecto, tendrás el modelo DSOMM en tu base de datos con lo necesario. Si lo deseas, puedes importar una variación DSOMM personalizada. Por ejemplo, puedes tener un modelo con más o menos dominios y prácticas. Puedes tener muchas variaciones DSOMM simultáneamente.

php ./bin/console app:sync-from-dsomm --source="path/to/dsomm-file.yaml"

Opcionalmente, puedes pasar el ID del metamodelo si deseas realizar actualizaciones a una variación DSOMM existente.

php ./bin/console app:sync-from-dsomm --source="path/to/dsomm-file.yaml" --metamodel=33

Esperamos un único archivo YAML con toda la estructura de datos, como se muestra a continuación. Por defecto, usaremos este archivo: https://github.com/devsecopsmaturitymodel/DevSecOps-MaturityModel-data/blob/main/src/assets/YAML/generated/generated.yaml