Argus

Ce dépôt contient le code de notre article USENIX Security '23 "ARGUS: A Framework for Staged Static Taint Analysis of GitHub Workflows and Actions". Argus est un outil d'analyse de sécurité complet spécialement conçu pour GitHub Actions. Construit dans le but d'améliorer la sécurité des workflows CI/CD, Argus utilise des techniques de suivi de flux (taint-tracking) et un classificateur d'impact pour détecter les vulnérabilités potentielles dans les workflows GitHub Actions.

Visitez notre site web - secureci.org pour plus d'informations.

Fonctionnalités

• Taint-Tracking : Argus utilise des algorithmes sophistiqués pour suivre le flux de données potentiellement non fiables depuis des sources spécifiques jusqu'à des sinks critiques pour la sécurité dans les workflows GitHub Actions. Cela permet d'identifier les vulnérabilités qui pourraient conduire à des attaques par injection de code.

• Classificateur d'impact : Argus classe les vulnérabilités identifiées en classes de sévérité Haute, Moyenne et Basse, offrant une meilleure compréhension de l'impact potentiel de chaque vulnérabilité identifiée. Ceci est crucial pour prioriser les efforts de correction.

Utilisation

Ce script Python fournit une interface en ligne de commande pour interagir avec les dépôts GitHub et les actions GitHub.

python argus.py --mode [mode] --url [url] [--output-folder path_to_output] [--config path_to_config] [--verbose] [--branch branch_name] [--commit commit_hash] [--tag tag_name] [--action-path path_to_action] [--workflow-path path_to_workflow]

Paramètres :

• --mode : Le mode de fonctionnement. Choisissez entre 'repo' ou 'action'. Ce paramètre est obligatoire.
• --url : L'URL GitHub. Utilisez USERNAME:TOKEN@URL pour les dépôts privés. Ce paramètre est obligatoire.
• --output-folder : Le dossier de sortie. La valeur par défaut est '/tmp'. Ce paramètre est facultatif.
• --config : Le fichier de configuration. Ce paramètre est facultatif.
• --verbose : Mode verbeux. Si cette option est fournie, le niveau de journalisation est défini sur DEBUG. Sinon, il est défini sur INFO. Ce paramètre est facultatif.
• --branch : Le nom de la branche. Vous devez fournir exactement un des paramètres : --branch, --commit, --tag. Ce paramètre est facultatif.
• --commit : Le hash du commit. Vous devez fournir exactement un des paramètres : --branch, , . Ce paramètre est facultatif.

Exemple :

Pour utiliser ce script afin d'interagir avec un dépôt GitHub, vous pouvez exécuter une commande comme suit :

python argus.py --mode repo --url https://github.com/username/repo.git --branch master

Cela exécuterait le script en mode repo sur la branche master du dépôt spécifié.

Comment utiliser

Argus peut être exécuté dans un conteneur Docker. Pour ce faire, suivez les étapes :

• Installez docker et docker-compose
  • apt-get -y install docker.io docker-compose
• Clonez la branche release de ce dépôt
  • git clone <>
• Construisez le conteneur docker
  • docker-compose build
• Vous pouvez maintenant exécuter argus. Exemple d'exécution :
  • docker-compose run argus --mode {mode} --url {url to target repo}
• Les résultats seront disponibles dans le dossier results

Visualisation des résultats SARIF

Vous pouvez visualiser les résultats SARIF soit via un visualiseur en ligne, soit avec une extension Visual Studio Code (VSCode).

1. Visualiseur en ligne : Le SARIF Web Viewer est un outil en ligne qui vous permet de visualiser les fichiers SARIF. Vous pouvez télécharger votre fichier SARIF (argus_report.sarif) directement sur le site pour voir les résultats.

2. Extension VSCode : Si vous préférez utiliser VSCode, vous pouvez installer l'extension SARIF Viewer. Après avoir installé l'extension, vous pouvez ouvrir votre fichier SARIF (argus_report.sarif) dans VSCode. Les résultats apparaîtront dans le volet SARIF Explorer, qui offre une vue détaillée et navigable des résultats.

N'oubliez pas de manipuler le fichier SARIF avec précaution, surtout s'il contient des informations sensibles provenant de votre base de code.

Dépannage

Si un problème survient concernant l'autorisation GitHub nécessaire pour l'exécution, vous pouvez fournir username:TOKEN dans la variable d'environnement GITHUB_CREDS. Celle-ci sera utilisée pour toutes les requêtes faites à GitHub. Notez que nous ne stockons ces informations nulle part et ne créons rien sur le compte GitHub - nous les utilisons uniquement pour cloner les dépôts.

Contributions

Argus est un projet open-source, et nous accueillons les contributions de la communauté. Que ce soit pour signaler un bug, suggérer une fonctionnalité ou écrire du code, vos contributions sont toujours les bienvenues !

Citer Argus

Si vous utilisez Argus dans vos recherches, veuillez citer notre article :

  @inproceedings{muralee2023Argus,
    title={ARGUS: A Framework for Staged Static Taint Analysis of GitHub Workflows and Actions},
    author={S. Muralee, I. Koishybayev, A. Nahapetyan, G. Tystahl, B. Reaves, A. Bianchi, W. Enck, 
      A. Kapravelos, A. Machiry},
    booktitle={32st USENIX Security Symposium (USENIX Security 23)},
    year={2023},
  }

Licence

Argus est sous licence GPL.