SAMMY Open Source v2

Ce dépôt héberge la version open source de SAMMY – l'outil OWASP SAMM.

https://owasp.org/www-project-open-sammy/

Licence

Ce projet est sous licence Creative Commons Attribution-ShareAlike 4.0 International. Voir le fichier LICENSE pour plus de détails.

SAMMY v2

• L'installation est livrée avec un utilisateur prédéfini injecté dans la base de données :
  • nom d'utilisateur : [email protected]
  • mot de passe : admin
  • clé MFA : AB4FHDUHYVGW7IAB (ajoutez cette clé manuellement dans votre application d'authentification)

Comment l'exécuter sans Docker

Prérequis

• MySQL ou MariaDB
• Redis (uniquement si vous souhaitez l'exécuter en APP_ENV=prod)
• php8.2+
• composer

Optionnel

• Symfony CLI (https://symfony.com/download)

Comment l'exécuter

1. Créez un fichier .env.local avec votre configuration locale. Exemple avec MariaDB :
   • pour tout autre base de données, vous trouverez la chaîne de connexion appropriée ici - https://www.doctrine-project.org/projects/doctrine-dbal/en/latest/reference/configuration.html#connecting-using-a-url

DATABASE_URL=mysql://root:[email protected]:3306/sammy?serverVersion=11.3.2-MariaDB
REDIS_HOST=127.0.0.1
REDIS_PORT=6379
APP_ENV=dev
APP_DEBUG=1

2. installer et exécuter

composer install
./scripts/setup_database.sh
# si vous avez symfony cli
symfony server:start --allow-http
# sinon
php -S 0.0.0.0:8000 -t ./public
open http://127.0.0.1:8000

Comment l'exécuter avec Docker

# 1. démarrer DB et Redis
docker compose up -d db redis
# 2. on peut maintenant démarrer notre application
docker compose up -d --build app
# 3. synchroniser le modèle SAMM. Note : cette étape synchronise le modèle SAMM depuis le dépôt GitHub central. Vous ne devez l'exécuter que la première fois et à chaque mise à jour du modèle SAMM.
docker compose exec app ./scripts/sync_samm.sh
# 4. synchroniser le modèle DSOMM. Note : cette étape synchronise le modèle DSOMM depuis le dépôt GitHub central. Vous ne devez l'exécuter que la première fois et à chaque mise à jour du modèle DSOMM.
docker compose exec app ./scripts/sync_dsomm.sh
# 5. Profitez-en
open http://127.0.0.1:8000

Envoi de courriels

• Si vous souhaitez utiliser la fonctionnalité d'envoi de courriels, vous devez ajouter les informations suivantes à votre fichier .env.local ou compose.yaml. Tous les champs sont obligatoires. De plus, le serveur doit utiliser un SSL approprié par défaut.
  • pour .env.lcoal
    root@kitploit:~

      PHPMAILER_SMTP_HOST=
      PHPMAILER_SMTP_PORT=
      PHPMAILER_SMTP_USERNAME=
      PHPMAILER_SMTP_PASSWORD=
      PHPMAILER_SMTP_DEFAULT_SENDER=
      PHPMAILER_SMTP_USE_AUTH=
      PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
      PHPMAILER_SMTP_AUTO_TLS=
    

  • pour compose.yaml dans la section app sous environment
    root@kitploit:~

    - PHPMAILER_SMTP_HOST=
    - PHPMAILER_SMTP_PORT=
    - PHPMAILER_SMTP_USERNAME=
    - PHPMAILER_SMTP_PASSWORD=
    - PHPMAILER_SMTP_DEFAULT_SENDER=
    - PHPMAILER_SMTP_USE_AUTH=
    - PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
    

• Si vous utilisez Docker, vous n'avez rien d'autre à faire. Un cronjob s'exécute toutes les 2 minutes.
• Si vous exécutez cela localement, vous devez lancer manuellement la commande suivante :

php ./bin/console app:process-mailing

Support DSOMM

Nous prenons en charge les évaluations pour le modèle DSOMM. Par défaut, vous aurez le modèle DSOMM dans votre base de données avec les éléments nécessaires. Si vous le souhaitez, vous pouvez importer une variation DSOMM personnalisée. Par exemple, vous pouvez avoir un modèle avec plus ou moins de domaines et de pratiques. Vous pouvez avoir plusieurs variations DSOMM simultanément.

php ./bin/console app:sync-from-dsomm --source="chemin/vers/fichier-dsomm.yaml"

Optionnellement, vous pouvez passer l'ID du métamodèle si vous souhaitez effectuer des mises à jour d'une variation DSOMM existante.

php ./bin/console app:sync-from-dsomm --source="chemin/vers/fichier-dsomm.yaml" --metamodel=33

Nous attendons un seul fichier YAML avec toute la structure de données comme ci-dessous. Par défaut, nous utiliserons ce fichier : https://github.com/devsecopsmaturitymodel/DevSecOps-MaturityModel-data/blob/main/src/assets/YAML/generated/generated.yaml