Dependency Combobulator

Dependency Combobulator est un framework open-source, modulaire et extensible pour détecter et prévenir les fuites de confusion de dépendances et les attaques potentielles. Cela facilite une approche holistique pour garantir des versions d'applications sécurisées pouvant être évaluées par rapport à différentes sources (par exemple, GitHub Packages, JFrog Artifactory) et de nombreux schémas de gestion de paquets (par exemple, npm, maven).

Public visé

Le framework peut être utilisé par les auditeurs de sécurité, les pentesteurs et même intégré automatiquement dans le programme de sécurité des applications et le cycle de publication d'une entreprise.

Principales fonctionnalités

• Enfichable - intervenir au niveau des commits, des builds et des étapes de publication dans le SDLC.
• Extensible - ajoutez facilement votre propre schéma de gestion de paquets ou source de code de votre choix.
• Moteur heuristique polyvalent - un modèle de données de paquets abstrait fournit une approche heuristique agnostique.
• Prend en charge un large éventail de technologies.
• Flexible - les arbres de décision peuvent être déterminés en fonction des informations ou des verdicts fournis par la boîte à outils.

Facilement extensible

Le projet met l'accent sur la capacité du praticien à étendre et adapter la boîte à outils à ses besoins spécifiques. En tant que tel, il est conçu pour pouvoir être étendu à d'autres sources, registres publics, schémas de gestion de paquets et pour étendre le modèle abstrait et le moteur heuristique qui l'accompagne.

Installation

Dependency Combobulator est prêt à fonctionner tel quel - il suffit de git clone ou de télécharger le package depuis https://github.com/apiiro/combobulator

Assurez-vous d'installer les dépendances requises en exécutant :

pip install -r requirements.txt

Arguments (--help)

  -h, --help            show this help message and exit
  -t {npm,maven}, --type {npm,maven}
                        Package Manager Type, i.e: npm, maven
  -l LIST_FROM_FILE, --load_list LIST_FROM_FILE
                        Load list of dependencies from a file
  -d FROM_SRC, --directory FROM_SRC
                        Extract dependencies from local source repository
  -p--package SINGLE    Name a single package.
  -c CSV, --csv CSV     Export packages properties onto CSV file
  -gh GITHUB_TOKEN, --github GITHUB_TOKEN
                        GitHub Access Token (Overrides .env file setting)
  -a {compare,comp,heuristics,heur}, --analysis {compare,comp,heuristics,heur}
                        Required analysis level - compare (comp), heuristics
                        (heur) (default: compare)

Apiiro <Heart> Communauté

Types de paquets pris en charge (-t, --t) : npm, maven

Évaluation des sources de dépendances prises en charge :

• À partir d'un fichier contenant les identifiants de dépendances ligne par ligne. (-l, --load_list)
• En analysant le logiciel de nomenclature du dépôt approprié (par exemple, package.json, pom.xml) (-d, --directory)
• Nommer un seul identifiant (-p, --package)

Le niveau d'analyse est personnalisable car vous pouvez créer votre propre profil d'analyse préféré en quelques secondes. Dependency Combobulator est livré avec plusieurs niveaux d'analyse prêts à l'emploi, sélectionnés par -a, --analysis.

Formats de sortie pris en charge :

• Sortie standard (par défaut)
• Export CSV vers un fichier désigné (-CSV)

Exemples d'utilisation

https://user-images.githubusercontent.com/90651458/140915800-c267034b-90c9-42d1-b12a-83e12f70d44e.mp4

Crédits

Le projet est maintenu et sponsorisé par Apiiro avec 💜

Nous honorons les grands développeurs et praticiens AppSec passionnés par le changement 🙏