salesforce/vulnreportPlateforme open-source de gestion et d'automatisation de pentesting par Salesforce Product Security
Vulnreport est une plateforme de gestion des tests d'intrusion et de génération de rapports de constatations bien formatés et exploitables, sans le surcoût habituel qui accapare le temps des ingénieurs en sécurité. La plateforme est conçue pour prendre en charge l'automatisation à chaque étape du processus et permettre une personnalisation pour les autres systèmes que vous utilisez dans le cadre de votre processus de test d'intrusion.
Vulnreport a été développé par l'équipe Salesforce Product Security afin d'éliminer le temps consacré à la rédaction, au formatage et à la relecture des rapports pour les tests d'intrusion. Notre objectif était et reste de créer d'excellents outils de sécurité qui permettent aux testeurs d'intrusion et aux ingénieurs en sécurité de se concentrer sur la découverte et la correction des vulnérabilités.
Vulnreport est une application web Ruby (pile Sinatra/Rack) soutenue par une base de données PostgreSQL avec une couche de cache Redis.
Vulnreport peut être installé sur une VM locale ou un serveur derrière quelque chose comme nginx, ou peut être déployé sur .
Pour déployer localement, vous devez vous assurer d'avoir installé les dépendances :
Clonez le dépôt et ouvrez le fichier .env, en le mettant à jour si nécessaire. Exécutez ensuite bundle install. Vous voudrez probablement modifier start.sh pour l'adapter à votre environnement – celui inclus dans le dépôt est destiné à une utilisation locale lors du débogage/développement.
Vous devriez également créer un fichier .env basé sur .env.example, ou définir les mêmes variables d'environnement définies dans .env dans votre environnement.
Vous pouvez déployer automatiquement sur Heroku. Après cela, suivez les instructions ci-dessous pour vous connecter à Vulnreport et terminer la configuration.
Pour déployer sur Heroku (en supposant que vous avez créé une application Heroku et que vous avez installé le toolbelt)
git clone [Vulnreport repo url]
heroku git:remote -a [Heroku app name]
heroku addons:create heroku-postgresql:hobby-dev
heroku addons:create heroku-redis:hobby-dev
heroku addons:create rollbar:free
heroku addons:create sendgrid:starter
Vous voudrez ensuite ouvrir le fichier .env et copier les clés/valeurs (en mettant à jour les valeurs si nécessaire) dans les paramètres Heroku de votre application. Cela peut également être fait via les commandes CLI du toolbelt. Notez que les variables d'environnement par défaut après l'exécution des addons devraient convenir, mais vous pouvez les vérifier. Vous voudrez certainement mettre à jour VR_SESSION_SECRET. S'il ne s'agit pas de votre installation de production, vous devriez changer RACK_ENV en development.
heroku config:set VR_SESSION_SECRET=abc123456
heroku config:set RACK_ENV=production
git push heroku master
Vous pouvez maintenant suivre les instructions d'installation comme si vous exécutiez Vulnreport localement.
Pour gérer la configuration initiale de Vulnreport, exécutez le script SEED.rb. Si vous déployez sur Heroku, exécutez-le via heroku run ./SEED.rb.
Si vous avez utilisé la fonctionnalité automatisée « Déployer sur Heroku », cette étape a dû être traitée automatiquement pour vous.
Running ./SEED.rb on ⬢ vulnreport-test... up, run.8035
Vulnreport 3.0.0.alpha seed script
WARNING: This script should be run ONCE immediately after deploying and then DELETED
Setting up Vulnreport now...
Setting up the PostgreSQL database...
Done
Seeding the database...
Done
User ID 1 created for you
ALL DONE! :)
Login to Vulnreport now and go through the rest of the settings!
Maintenant, supprimez le fichier SEED.rb.
L'utilisateur administrateur par défaut a été créé pour vous avec le nom d'utilisateur admin et le mot de passe admin. Celui-ci doit être immédiatement changé et/ou l'SSO doit être configuré.
À ce stade, rendez-vous sur l'URL de votre Vulnreport (par exemple https://my-vr-test.herokuapp.com ci-dessus) et connectez-vous avec l'utilisateur créé. Parcourez les paramètres de Vulnreport et de l'utilisateur pour configurer votre instance de Vulnreport.
Vous êtes prêt – pour la documentation sur l'utilisation de votre nouvelle instance Vulnreport, consultez la documentation complète sur http://vulnreport.io/documentation
Vulnreport est conçu et destiné à être utilisé avec des systèmes externes. Pour plus d'informations sur la façon d'implémenter les interfaces qui permettent l'intégration/synchronisation avec des systèmes externes, veuillez consulter la documentation des interfaces personnalisées sur http://vulnreport.io/documentation#interfaces.
Pour générer la documentation du code, exécutez simplement Yard :
yard doc
yard server
Actuellement, Vulnreport prend en charge un format XML pour importer des vulnérabilités dans un test spécifique. Cela est utile si vous souhaitez que Vulnreport soit sur un réseau différent de celui où vous effectuez vos tests d'intrusion et utilisez donc un client différent pour enregistrer les constatations pendant que vous effectuez activement le test, mais cela dépend de la configuration spécifique de votre instance Vulnreport et de la configuration des types de vulnérabilités (Vulntypes).
Nous travaillons sur la prise en charge de quelques autres types d'import XML (ZAP et Burp, par exemple) ainsi que sur la possibilité d'export/import XML arbitraire entre instances Vulnreport. Restez à l'écoute car nous espérons publier ces fonctionnalités prochainement.
Le format XML actuellement pris en charge par Vulnreport est :
<?xml version="1.0" encoding="UTF-8"?>
<Test xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<Vuln>
<Type>[Vulntype ID]</Type>
<File>[File Vuln Data]</File>
<Code>
[Code Vuln Data]
</Code>
<File>clsSyncLog.cls</File>
<Code>
hello world
</Code>
...etc...
</Vuln>
<Vuln>
<Type>6</Type>
<File>clsSyncLog.cls</File>
<File>CommonFunction.cls</File>
<Code>
12 Public Class CommonFunction{
</Code>
</Vuln>
</Test>
<?xml version="1.0" encoding="UTF-8"?>
<Test xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"">
<Vuln>
<Type>REQUIRED - EXACTLY 1 - INTEGER - ID of VulnType. 0 = Custom</Type>
<CustomTypeName>OPTIONAL - EXACTLY 1 - STRING if TYPE == 0</CustomTypeName>
<BurpData>OPTIONAL - UNLIMITED - STRING - Burp req/resp data encoded in our protocol</BurpData>
<URL>OPTIONAL - UNLIMITED - STRING - URL for finding</URL>
<FileName>OPTIONAL - UNLIMITED - STRING - Name/path of file for finding</FileName>
<Output>OPTIONAL - UNLIMITED - STRING - Output details</Output>
<Code>OPTIONAL - UNLIMITED - STRING - Code details</Code>
<Notes>OPTIONAL - UNLIMITED - STRING - Notes for vuln</Notes>
<Screenshot>
OPTIONAL - UNLIMITED - Screenshots of vuln
<Filename>REQUIRED - EXACTLY 1 - STRING - Filename with extension</Filename>
<ImageData>
REQUIRED - EXACTLY 1 - BASE64 - Screenshot data
</ImageData>
</Screenshot>
</Vuln>
....unlimited vulns....
<Vuln>
</Vuln>
</Test>