CodeSec par Contrast Security

CodeSec propose :

• Le scanner SAST le plus rapide et le plus précis.
• Des résultats immédiats et exploitables — scannez du code et des environnements serverless.
• Un processus de connexion fluide et sans friction avec un compte GitHub ou Google. De début à fin en quelques minutes.
• En exécutant une analyse sur vos fonctions lambda, vous pouvez détecter : les vulnérabilités de gestion des identités et des accès (IAM) liées au moindre privilège (politiques trop permissives) et leur remédiation.

Installation

NPM :

npm install --location=global @contrast/contrast

Homebrew :

brew tap contrastsecurity/tap

brew install contrast

Binaires :

1. Rendez-vous sur https://pkg.contrastsecurity.com/ui/repos/tree/General/cli

2. Sélectionnez votre système d'exploitation dans le dossier cli et téléchargez le paquet.

3. Vous devez autoriser les permissions d'exécution sur le fichier selon votre système d'exploitation.

S'authentifier

Authentifiez-vous en saisissant contrast auth dans le terminal.

Dans la fenêtre du navigateur qui s'ouvre, connectez-vous et authentifiez-vous avec vos identifiants GitHub ou Google.

Lancer une analyse

Analyse SAST

Prérequis

Assurez-vous de disposer des types de fichiers appropriés à analyser.

• Téléversez un fichier .jar ou .war pour analyser un projet Java.
• Téléversez un fichier .js ou .zip pour analyser un projet JavaScript.
• Téléversez un fichier .exe ou .zip pour analyser un projet .NET c# web forms.

Démarrer l'analyse

Utilisez la commande Contrast scan contrast scan

Analyse des fonctions Lambda

Prérequis

• Prend actuellement en charge les fonctions Java et Python sur AWS. Configurez les identifiants AWS dans votre environnement local en exécutant les commandes avec vos identifiants :

export AWS_DEFAULT_REGION=<YOUR_AWS_REGION>
export AWS_ACCESS_KEY_ID=<YOUR_ACCESS_KEY_ID>
export AWS_SECRET_ACCESS_KEY=<YOUR_SECRET_ACCESS_KEY>

• Les identifiants AWS doivent être disponibles dans votre configuration locale (généralement ~/.aws/credentials). Vous avez la possibilité d'exécuter une analyse lambda avec votre profil AWS en passant --profile. Vous pouvez également exporter d'autres identifiants.

• Ces permissions sont requises pour recueillir toutes les informations nécessaires sur une fonction AWS Lambda afin d'utiliser la commande contrast lambda :

  • Lambda: GetFunction | GetLayerVersion
  • IAM: GetRolePolicy | GetPolicy | GetPolicyVersion | ListRolePolicies | ListAttachedRolePolicies

Démarrer l'analyse

Utilisez contrast lambda pour analyser vos fonctions AWS Lambda. contrast lambda --function-name MyFunctionName --region my-aws-region

Commandes Contrast

auth

Authentifiez Contrast à l'aide de votre compte GitHub ou Google. Une nouvelle fenêtre de navigateur s'ouvrira pour la connexion.

Utilisation : contrast auth

config

Affiche les identifiants stockés.

Utilisation : contrast config

Options :

• -c, --clear - Supprime les identifiants stockés.

scan

Effectue une analyse SAST de sécurité.

Utilisation : contrast scan [option]

Options :

• contrast scan --file

  • Chemin du fichier que vous souhaitez analyser. Contrast recherche un fichier .jar, .war, .js ou .zip dans le répertoire de travail si aucun fichier n'est spécifié.
  • Alias : --f

• contrast scan --name

  • Nom du projet Contrast. S'il n'est pas spécifié, Contrast utilise contrast.settings pour identifier le projet ou crée un projet.
  • Alias : –n

• contrast scan --save

  • Télécharge les résultats dans un fichier au format SARIF (Static Analysis Results Interchange Format). Le fichier est téléchargé dans le répertoire de travail courant avec le nom par défaut results.sarif. Vous pouvez visualiser le fichier avec n'importe quel éditeur de texte.
  • Alias : -s

• contrast scan --timeout

  • Temps en secondes à attendre pour que l'analyse se termine. La valeur par défaut est de 300 secondes.
  • Alias : -t

lambda

Nom de la fonction AWS lambda à analyser.

Utilisation : contrast lambda --function-name

Options :

• contrast lambda --function-name --endpoint-url Remplacement du point de terminaison AWS. Similaire à AWS CLI. Alias : -e

• contrast lambda --function-name --region Remplacement de la région. Par défaut, utilise AWS_DEFAULT_REGION. Similaire à AWS CLI. Alias : -r

• contrast lambda --function-name --profile Remplacement du profil de configuration AWS. Similaire à AWS CLI. Alias : -p

• contrast lambda --function-name --json Renvoie la réponse au format JSON (au lieu du format lisible par défaut). Alias : -j

• contrast lambda -–function-name -–verbose Renvoie des informations étendues au terminal. Alias : -v

• contrast lambda -–function-name --list-functions Liste toutes les fonctions lambda disponibles à analyser.

• contrast lambda --function-name -–help Affiche le guide d'utilisation. Alias : -h

help

Affiche le guide d'utilisation. Pour afficher l'aide détaillée d'une commande CLI, ajoutez l'option -h ou --help à la commande. Utilisation : contrast scan --help Alias : -h

version

Affiche la version de la CLI Contrast. Utilisation : contrast version Alias : -v, --version