¿No encontraste lo que buscas? La arquitectura de Aura está basada en un sistema robusto de plugins, donde puedes personalizar casi cualquier cosa, desde un conjunto de analizadores de datos, protocolos de transporte hasta formatos de salida personalizados.

Instalación

::

O simplemente usa una imagen Docker preconstruida sourcecodeai/aura:dev

Ejecutando Aura

::

Aura utiliza las llamadas URIs para identificar el protocolo y la ubicación a escanear; si no se usa ningún protocolo, el argumento de escaneo se trata como una ruta a un archivo o directorio en el sistema local.

.. image:: files/imgs/aura_scan.png

Comparar paquetes::

.. image:: docs/source/_static/imgs/aura_diff.png

Encontrar los paquetes con typosquatting más populares (primero debes ejecutar aura update para descargar el conjunto de datos)::

.. image:: https://asciinema.org/a/367999.svg :target: https://asciinema.org/a/367999

.. image:: files/imgs/download_dataset.png :target: https://cdn.sourcecode.ai/pypi_datasets/index/datasets.html :align: center :width: 256

¿Por qué Aura?

Si bien existen otras herramientas con funcionalidades que se superponen con Aura, como Bandit, dlint, semgrep, etc., el enfoque de estas alternativas es diferente, lo que afecta la funcionalidad y cómo se utilizan. Estas alternativas están destinadas principalmente a ser utilizadas de manera similar a los linters, integradas en IDEs, ejecutadas frecuentemente durante el desarrollo, lo que hace importante minimizar los falsos positivos y reportar con explicaciones claras y accionables en los casos ideales.

Aura, por otro lado, informa sobre el comportamiento del código, anomalías y vulnerabilidades con la mayor cantidad de información posible, a costa de falsos positivos. Hay muchas cosas reportadas por Aura que no son necesariamente accionables por un usuario, pero que dicen mucho sobre el comportamiento del código, como realizar comunicación de red, acceder a archivos sensibles o usar mecanismos asociados con ofuscación que indican un posible código malicioso. Al recolectar este tipo de datos y agregarlos, Aura puede compararse en funcionalidad con otros sistemas de seguridad como antivirus, IDS o firewalls que esencialmente hacen el mismo análisis pero sobre un tipo diferente de datos (comunicación de red, procesos en ejecución, etc.).

Aquí hay una visión general rápida de las diferencias entre Aura y otros linters y herramientas SAST similares:

• datos de entrada:
  • Otras herramientas SAST - generalmente restringidas solo al código fuente Python (objetivo) y la versión de Python bajo la cual está instalada la herramienta.
  • Aura puede analizar tanto código binario (o no Python) como código fuente Python. Capaz de analizar una mezcla de código Python compatible con diferentes versiones de Python (py2k y py3k) usando la misma instalación de Aura.
• reporte:
  • Otras herramientas SAST - Apuntan a integrarse bien con otros sistemas como IDEs, sistemas CI con resultados accionables, mientras intentan minimizar los falsos positivos para evitar abrumar a los usuarios con demasiadas alertas no significativas.
  • Aura - reporta tanta información como sea posible que no es inmediatamente accionable, como el análisis de comportamiento y anomalías. El formato de salida está diseñado para un fácil procesamiento y agregación por máquina, en lugar de ser legible por humanos.
• configuración:
  • Otras herramientas SAST - Las herramientas se ajustan al proyecto objetivo personalizando las firmas para apuntar a tecnologías específicas utilizadas por el proyecto objetivo. A menudo es posible anular la configuración insertando comentarios dentro del código fuente, como # nosec, que suprimirá la alerta en esa posición.
  • Aura - se espera que haya poco o ningún conocimiento previo sobre las tecnologías utilizadas por el código que se está escaneando, como auditar un nuevo paquete Python para su aprobación como dependencia en un proyecto. En la mayoría de los casos, ni siquiera es posible modificar el código fuente escaneado, como usar comentarios para indicar al linter o a Aura que omita la detección en esa ubicación, porque está escaneando una copia de ese código alojada en alguna ubicación remota.

Autores y Colaboradores

• Martin Carnogursky - Trabajo inicial y líder del proyecto - https://is.muni.cz/person/410345
• Mirza Zulfan - Diseño del logotipo - https://github.com/mirzazulfan

Donar

• GitHub Sponsors: https://github.com/sponsors/RootLUG
• Liberapay: https://liberapay.com/SourceCode.AI
• BuyMeACoffee: https://www.buymeacoffee.com/SourceCodeAI
• BTC: 3FVTaLsLwTDinmDjPh3BjS1qv3bYHbkcYc
• XMR: 46xvWZGCexo1NbvjLMMpLB1GhRd819AQr8eFPJT1q6kKMuuDy43JLiESh9XUM3asjk4SVUYqGakFVQZRY1adx8cS6ka4EXr
• ETH/ERC20: 0x708F1A08E3ee4922f037673E720c405518C0Ec85

LICENCIA

El framework Aura está licenciado bajo GPL-3.0. Los conjuntos de datos producidos a partir de escaneos globales usando Aura se publican bajo la licencia CC BY-NC 4.0. Utilice la siguiente cita cuando use Aura o datos producidos por Aura en investigaciones:

::

.. |homepage_flair| image:: https://img.shields.io/badge/Homepage-aura.sourcecode.ai-blue :target: https://aura.sourcecode.ai/ :align: middle

.. |docs_flair| image:: https://img.shields.io/badge/-Documentation-blue :target: https://docs.aura.sourcecode.ai/ :align: middle

.. |docker_flair| image:: https://img.shields.io/badge/docker-SourceCodeAI/aura-blue :target: https://hub.docker.com/r/sourcecodeai/aura :align: middle

.. |license_flair| image:: https://img.shields.io/github/license/SourceCode-AI/aura?color=blue

.. |travis_flair| image:: https://travis-ci.com/SourceCode-AI/aura.svg?branch=dev

.. |pypi_flair| image:: https://badge.fury.io/py/aura-security.svg :target: https://pypi.org/project/aura-security/ :align: middle