Jackhammer:

Un outil d'évaluation/gestion des vulnérabilités de sécurité pour résoudre tous les problèmes de l'équipe sécurité.

Qu'est-ce que Jackhammer ?

Jackhammer est un outil de collaboration conçu pour combler le fossé entre l'équipe sécurité et les équipes de développement et QA, et pour faciliter la compréhension et le suivi de la qualité du code mis en production par le TPM. Il peut effectuer de l'analyse statique et dynamique du code avec une capacité intégrée de gestion des vulnérabilités. Il trouve les vulnérabilités de sécurité dans les applications cibles et aide les équipes sécurité à gérer le chaos dans cette ère nouvelle d'intégration continue et de déploiements continus/multiples.

Il fonctionne entièrement sur RBAC (Contrôle d'accès basé sur les rôles). Il propose des tableaux de bord sympas pour les scans individuels et d'équipe, offrant une grande flexibilité pour collaborer avec différentes équipes. Il est entièrement construit sur une architecture enfichable qui peut être intégrée avec n'importe quel outil open source ou commercial.

Jackhammer utilise le projet OWASP pipeline pour exécuter plusieurs outils open source et commerciaux contre votre code, application web, application mobile, CMS (WordPress), réseau.

Fonctionnalités clés :

Fournit une interface unifiée pour collaborer sur les résultats
Le scan (code) peut être effectué pour tous les dépôts de gestion de code
Planification des scans basée sur des intervalles # quotidien, hebdomadaire, mensuel
Filtrage avancé des faux positifs
Publier les vulnérabilités dans les systèmes de suivi de bogues
Garder un œil sur les statistiques et les tendances des vulnérabilités dans vos applications
S'intègre avec la majorité des outils de scan open source et commerciaux
Gestion des utilisateurs et des rôles offrant un meilleur contrôle
Niveaux de sévérité configurables sur la liste des résultats dans toutes les applications
Progression intégrée du statut des vulnérabilités
Filtres faciles à utiliser pour examiner des ensembles ciblés parmi des tonnes de vulnérabilités
Scan asynchrone (via sidekiq) qui passe à l'échelle
Gestion transparente des vulnérabilités
Suivre les statistiques et les graphiques des tendances de sécurité dans vos applications
S'intègre facilement avec une variété d'outils de scan open source, commerciaux et personnalisés

Analyseurs de vulnérabilités pris en charge :

Analyse statique :

* licence requise ** licence commerciale requise

Recherche de secrets/tokens/identifiants codés en dur :

Trufflehog (Légèrement modifié/étendu pour un meilleur résultat et une meilleure intégration depuis mai 2017)

Application web :

Arachni

Application mobile :

Androbugs (Légèrement modifié/étendu pour un meilleur résultat et une meilleure intégration depuis mai 2017)
Androguard (Légèrement modifié/étendu pour un meilleur résultat et une meilleure intégration depuis mai 2017)

WordPress :

WPScan (Légèrement modifié/étendu pour un meilleur résultat et une meilleure intégration depuis mai 2017)

Réseau :

Nmap

Ajout d'analyseurs personnalisés (autres open source/commerciaux/personnels) :

Vous pouvez ajouter n'importe quel analyseur à Jackhammer en 10 à 30 minutes. Consultez les liens/vidéo

Démarrage rapide et installation

Consultez notre [Guide de démarrage rapide/installation][] si vous souhaitez essayer Jackhammer le plus rapidement possible en utilisant Docker Compose.

Exécutez les commandes suivantes pour l'installation locale (mode entreprise) :

 git clone https://github.com/olacabs/jackhammer
 sh ./docker-build.sh

Identifiants par défaut pour l'installation locale :

username: [email protected]

password: j4ckh4mm3r

(Pour le mode utilisateur unique)

sh ./docker-build.sh SingleUser

inscrivez-vous pour l'accès

Redémarrage de Jackhammer

docker-compose stop
docker-compose rm
docker-compose up -d

Guide d'utilisation

Le [Guide d'utilisation][] vous donnera un aperçu de l'utilisation de Jackhammer une fois que tout est opérationnel.

Démo

Lien de l'environnement de démonstration :

https://jch.olacabs.com/

Identifiants par défaut :